Les bases de données ne sont plus le seul trésor

Pendant des années, le récit a été simple : une attaque réussie, c’est une base de données aspirée, puis revendue. Or, la réalité observée sur le terrain est en train de déplacer le centre de gravité. Les cybercriminels n’ont pas besoin d’un schéma relationnel parfait pour faire des dégâts. Ils veulent ce qui raconte une entreprise de l’intérieur : ses échanges, ses contrats, ses tableaux “provisoires”, ses dépôts de code, ses pièces jointes. Bref, tout ce qui échappe aux inventaires classiques et qui, pourtant, fait tourner l’activité au quotidien.

Une analyse récente, fondée sur plus de 141 millions de fichiers issus de près de 1 300 incidents de ransomware, met ce basculement en évidence. Elle ne décrit pas seulement une hausse du volume de données volées, mais un changement de paradigme : l’information non structurée devient plus utile — et souvent plus rentable — que les bases de données traditionnelles.

Le chaos documentaire, ou pourquoi ces données résistent à la protection

Les données non structurées ont un défaut majeur : elles prolifèrent naturellement. Un fichier naît dans un e-mail, est téléchargé, renommé, glissé dans un dossier “à trier”, partagé dans une équipe, copié dans un espace projet, puis réapparaît en pièce jointe dans une nouvelle discussion. Chaque duplication dilue la notion de “propriétaire” et fragilise la logique d’accès.

À cela s’ajoute l’empilement des environnements. Entre le poste de travail, la messagerie, les outils collaboratifs, les espaces cloud, les sauvegardes et les dépôts de code, la surface d’exposition devient une mosaïque. On peut sécuriser correctement un système de gestion de bases de données tout en laissant, à quelques clics de là, des exports Excel contenant des données sensibles, ou des documents de travail annotés qui n’auraient jamais dû sortir d’un cercle restreint.

Le problème n’est pas uniquement technique. Il est organisationnel. Beaucoup d’entreprises savent qui administre une base client, mais peinent à répondre à une question pourtant décisive : “où dorment nos informations les plus exploitables, et qui peut réellement y accéder ?” Tant que cette réponse reste floue, la protection repose sur des hypothèses. Les attaquants, eux, travaillent sur des preuves : ce qu’ils exfiltrent, ils le lisent, le recoupent, l’indexent.

Fraude, espionnage, manipulation : la valeur opérationnelle des fichiers volés

Les chiffres issus de l’analyse sont difficiles à ignorer. Dans 93 % des incidents étudiés, des documents financiers étaient présents. Plus concret encore : des extraits bancaires apparaissaient dans 49 % des cas, et des IBAN dans 36 %. Ce type de contenu ne sert pas seulement à “faire peur” dans une négociation de rançon. Il sert à agir.

D’abord, l’extorsion devient plus précise. Menacer de publier “des données” est abstrait ; montrer un relevé bancaire, un tableau de trésorerie, un reporting interne ou un contrat en cours de signature, c’est forcer un décideur à mesurer le coût immédiat de l’exposition. La pression n’est plus médiatique seulement, elle devient économique, juridique, parfois personnelle.

Ensuite, ces fichiers alimentent une fraude plus sophistiquée. Un IBAN repéré dans un dossier “facturation”, un modèle de mail de relance, une signature scannée, un organigramme à jour : l’attaquant peut construire des scénarios de détournement de paiement crédibles, avec le bon ton, les bons interlocuteurs, les bons montants. L’ingénierie sociale change alors de nature. On ne “tente” plus un phishing générique ; on rejoue un processus interne, en exploitant les habitudes et les circuits de validation.

Enfin, l’espionnage corporatif trouve dans ces données un terrain fertile. Les documents de travail révèlent les négociations, les marges, les choix technologiques, les irritants opérationnels, parfois même les failles de gouvernance. Le code source, lui, est un accélérateur : il permet d’identifier des secrets mal stockés, des dépendances vulnérables, des endpoints internes, et d’anticiper les défenses. Dans ce contexte, le ransomware n’est plus seulement un verrouillage avec rançon. Il devient une phase d’accès et d’extraction, dont les retombées peuvent dépasser largement l’incident initial.

Repenser les évaluations de cybersécurité : du système au contenu

Beaucoup d’audits restent structurés autour d’un imaginaire “infrastructure” : segmentation réseau, durcissement, EDR, correctifs, sauvegardes. Tout cela est nécessaire. Mais l’analyse des fichiers exposés rappelle une limite : on peut restaurer des serveurs et redémarrer la production, tout en laissant circuler, hors de contrôle, les informations qui permettent la fraude et la coercition.

Il faut donc compléter la lecture traditionnelle par une approche centrée sur la donnée elle-même. Où sont les documents financiers ? Qui a accès en écriture, en lecture, en partage externe ? Quels espaces contiennent des exports, des archives, des copies oubliées ? Les contrôles d’accès sont-ils cohérents, ou hérités de projets anciens ? La classification existe-t-elle autrement que sur le papier ? Et surtout : l’entreprise est-elle capable de détecter une exfiltration silencieuse de fichiers “banals” en apparence, mais explosifs par leur contenu ?

Ce déplacement impose aussi un réalisme opérationnel. L’objectif n’est pas de transformer chaque collaborateur en expert de la protection documentaire. Il s’agit d’industrialiser la découverte et la réduction du risque : cartographier, minimiser, limiter les droits, surveiller les partages, assainir les dépôts de code, traiter les secrets, et intégrer ces exigences dans les projets, pas après coup.

Vers une gouvernance des données à la hauteur du risque

Si les données non structurées sont devenues une mine d’or, c’est aussi parce qu’on les gouverne rarement comme un actif critique. La réponse ne sera pas un outil miracle, ni une nouvelle couche de contrôle ajoutée à la hâte. Elle passera par des arbitrages clairs : ce qu’on conserve, où on le conserve, qui en répond, combien de temps, et avec quelles règles de partage.

La cybersécurité, ici, rejoint la discipline de la gouvernance. Une organisation qui sait réduire le bruit documentaire, limiter les duplications, maîtriser ses espaces collaboratifs et donner une visibilité réelle sur l’accès à l’information se prive d’un levier majeur d’extorsion et de fraude. Et elle transforme, au passage, un point faible chronique en avantage : une donnée mieux gouvernée est aussi une donnée plus fiable, plus exploitable, et moins dangereuse lorsqu’elle tombe entre de mauvaises mains.