LexisNexis, Aflac, National Public Data, Equifax avant eux. Les entreprises qui concentrent des millions de dossiers personnels sont devenues les cibles numéro un des cybercriminels. Et la tendance ne fait que s'accélérer. Voici pourquoi cette réalité devrait inquiéter bien au-delà des seules victimes directes.

Le paradoxe du coffre-fort numérique

Un data broker ou un assureur majeur, c'est un peu comme une banque qui stockerait les clés de millions de maisons sans avoir les mêmes obligations de sécurité qu'un établissement bancaire. LexisNexis détenait 400 000 profils cloud avec noms, e-mails, numéros de téléphone et fonctions — dont 118 comptes gouvernementaux américains. Aflac concentrait les dossiers médicaux et numéros de sécurité sociale de 22,65 millions de personnes. Ces entreprises sont assises sur des montagnes de données d'une valeur considérable, mais leur posture de sécurité ne reflète pas toujours cette réalité.

Le problème est structurel. Ces organisations ont historiquement investi dans la collecte, l'agrégation et la monétisation des données — pas dans leur protection. La sécurité est un centre de coût, pas un centre de profit. Et quand il faut arbitrer entre une nouvelle fonctionnalité qui génère du chiffre d'affaires et un audit de sécurité cloud, le choix est souvent vite fait. Jusqu'au jour où FulcrumSec ou Scattered Spider vient frapper à la porte.

Le terrain de jeu a changé

Ce qui rend 2026 différent, c'est la sophistication des vecteurs d'attaque et l'industrialisation de l'exploitation. LexisNexis n'a pas été compromis par une attaque de force brute ou un phishing basique. L'attaquant a exploité React2Shell, une vulnérabilité dans le framework React — une porte d'entrée que personne n'aurait imaginée il y a deux ans pour atteindre une infrastructure cloud AWS. Le frontend est devenu un vecteur d'accès au backend, et les équipes de sécurité qui ne surveillent que les API et les bases de données ont un angle mort béant.

Côté assurance, Scattered Spider a démontré que l'ingénierie sociale reste le vecteur le plus efficace contre les organisations qui gèrent des données sensibles. Pas besoin d'un zero-day quand un appel téléphonique bien préparé suffit à obtenir un accès VPN. Le groupe a systématiquement ciblé le secteur de l'assurance en 2025, exploitant sa relative immaturité cyber comparée aux secteurs bancaire ou technologique.

Les victimes collatérales que personne ne compte

Quand LexisNexis est compromis, ce ne sont pas seulement les 400 000 profils directs qui sont affectés. Ce sont les cabinets d'avocats qui utilisent la plateforme, les juges dont les données sont exposées, les entreprises dont les litiges sont référencés. Quand Aflac est piraté, ce sont les employeurs qui avaient souscrit des assurances complémentaires pour leurs salariés qui voient les données médicales de leurs équipes dans la nature. L'effet de cascade est massif et largement sous-estimé.

En France et en Europe, nous ne sommes pas à l'abri. Les data brokers européens — courtiers en données, agrégateurs de leads, prestataires de scoring — opèrent souvent avec des budgets sécurité dérisoires par rapport au volume de données qu'ils manipulent. Le RGPD impose des obligations de protection, mais entre l'obligation légale et la réalité du terrain, l'écart peut être abyssal. Et quand une brèche survient, l'amende RGPD s'ajoute au coût de l'incident sans avoir empêché quoi que ce soit.

Ce qu'il faut changer, maintenant

Première chose : les organisations qui concentrent des données sensibles doivent être auditées avec la même rigueur que les infrastructures critiques. Un data broker qui détient 20 millions de profils représente un risque systémique, au même titre qu'un opérateur d'énergie ou un hôpital. La directive NIS2 va dans ce sens, mais son application reste à démontrer.

Deuxième point : la surface d'attaque ne se limite plus au périmètre réseau. Le frontend, les dépendances npm, les intégrations cloud — tout est un vecteur potentiel. Les audits de sécurité doivent couvrir l'ensemble de la chaîne, du composant React déployé en production jusqu'au bucket S3 qui stocke les données. C'est coûteux, c'est contraignant, mais c'est le prix de la responsabilité quand on gère les données de millions de personnes.

Mon avis d'expert

On ne peut pas demander aux citoyens de « faire attention à leurs données » quand des entreprises qui en détiennent des millions ne font pas le minimum. LexisNexis avait un frontend React non patché depuis des mois. Aflac a mis neuf mois à identifier l'étendue de sa brèche. Ce n'est pas une fatalité, c'est un choix budgétaire. Tant que la sécurité des données restera un poste de dépense qu'on réduit en premier quand les marges se contractent, les incidents de cette ampleur se multiplieront. La vraie question n'est plus « si » mais « qui sera le prochain ».

Conclusion

Les data brokers et les assureurs sont devenus les nouvelles banques à braquer — avec souvent moins de gardes à l'entrée. Les incidents LexisNexis et Aflac ne sont pas des cas isolés mais les symptômes d'un problème systémique : la concentration massive de données sensibles dans des organisations dont la sécurité n'est pas à la hauteur de leur responsabilité. Pour les RSSI et les dirigeants, la leçon est claire : si vous détenez des données, vous êtes une cible. Agissez en conséquence, avant que quelqu'un d'autre ne le fasse pour vous.

Besoin d'un regard expert sur votre sécurité ?

Discutons de votre contexte spécifique.

Prendre contact