Deux incidents en quelques jours Début octobre, la Région Hauts-de-France révélait une fuite majeure. Près de 700 000 personnes touchées selon la presse. Noms, adresses e-mail, contrats d'apprentissage, attestations d'hébergement, RIB. Des lycéens et des apprentis parmi les victimes. L'intrusion visait deux prestataires informatiques de la collectivité. Le 10 octobre, nouvelle découverte. Cette fois, un service en ligne lié à un programme régional d'accompagnement des études longues. Hébergé en interne. Les auteurs seraient les mêmes. Un nombre limité de bénéficiaires est concerné, et environ 2 000 contacts ont été informés par précaution. Plainte déposée, CNIL notifiée. Du prestataire au patrimoine interne La succession des deux incidents raconte quelque chose. Le premier passait par la sous-traitance. Le second touche un service géré par la Région elle-même. L'attaquant n'est pas reparti une fois la première porte refermée. Il a cherché ailleurs. Et trouvé. C'est le schéma classique d'un adversaire motivé : une fois une cible identifiée comme intéressante, il en explore méthodiquement la surface exposée. Le problème des petits services Une collectivité accumule des dizaines de services en ligne, créés au fil des politiques publiques. Formulaires d'inscription, plateformes d'aide, sites de dispositifs. Chacun répond à un besoin réel. Beaucoup sont moins surveillés que les grandes plateformes, maintenus par peu de personnes. Et ils contiennent souvent des données sur des publics jeunes. C'est là que se loge le risque. Pas forcément dans le système central. Après la notification, la revue La notification à la CNIL est une étape. Pas une fin. Une violation devrait déclencher une revue de l'ensemble des services exposés, en partant d'une hypothèse simple : l'attaquant reviendra. Concrètement, cela suppose une cartographie des traitements à jour, capable de répondre en quelques heures à une question précise. Quels autres sites détiennent des données comparables ? Qui les héberge ? Qui en est responsable ? Sans cette cartographie, la revue prend des semaines. Avec elle, quelques jours. Et pour une collectivité, la différence peut se compter en nouvelles victimes.
