Data brokers : les coffres-forts que tout le monde veut

La cybersécurité contemporaine exige une approche holistique combinant technologies de pointe, processus éprouvés et formation continue des équipes, face à des menaces qui ne cessent de gagner en sophistication et en fréquence. Dans le contexte actuel de menaces cybernétiques en constante évolution, la protection des systèmes d'information requiert une approche structurée combinant expertise technique, veille permanente et mise en œuvre de bonnes pratiques éprouvées. Les professionnels de la cybersécurité font face à des défis croissants : sophistication des attaques, complexification des environnements IT, et pression réglementaire accrue avec des cadres comme NIS2, DORA et le RGPD. Cet article analyse les enjeux, les risques et les stratégies de protection pertinentes pour votre organisation. À travers l'analyse de Data brokers : les coffres-forts que tout le monde, nous vous proposons un décryptage complet des enjeux et des solutions à mettre en œuvre.

LexisNexis, Aflac, National Public Data, Equifax avant eux. Les entreprises qui concentrent des millions de dossiers personnels sont devenues les cibles numéro un des cybercriminels. Et la tendance ne fait que s'accélérer. Voici pourquoi cette réalité devrait inquiéter bien au-delà des seules victimes directes.

Le paradoxe du coffre-fort numérique

Un data broker ou un assureur majeur, c'est un peu comme une banque qui stockerait les clés de millions de maisons sans avoir les mêmes obligations de sécurité qu'un établissement bancaire. LexisNexis détenait 400 000 profils cloud avec noms, e-mails, numéros de téléphone et fonctions — dont 118 comptes gouvernementaux américains. Aflac concentrait les dossiers médicaux et numéros de sécurité sociale de 22,65 millions de personnes. Ces entreprises sont assises sur des montagnes de données d'une valeur considérable, mais leur posture de sécurité ne reflète pas toujours cette réalité.

Le problème est structurel. Ces organisations ont historiquement investi dans la collecte, l'agrégation et la monétisation des données — pas dans leur protection. La sécurité est un centre de coût, pas un centre de profit. Et quand il faut arbitrer entre une nouvelle fonctionnalité qui génère du chiffre d'affaires et un audit de sécurité cloud, le choix est souvent vite fait. Jusqu'au jour où FulcrumSec ou Scattered Spider vient frapper à la porte.

Le terrain de jeu a changé

Ce qui rend 2026 différent, c'est la sophistication des vecteurs d'attaque et l'industrialisation de l'exploitation. LexisNexis n'a pas été compromis par une attaque de force brute ou un phishing basique. L'attaquant a exploité React2Shell, une vulnérabilité dans le framework React — une porte d'entrée que personne n'aurait imaginée il y a deux ans pour atteindre une infrastructure cloud AWS. Le frontend est devenu un vecteur d'accès au backend, et les équipes de sécurité qui ne surveillent que les API et les bases de données ont un angle mort béant.

Côté assurance, Scattered Spider a démontré que l'ingénierie sociale reste le vecteur le plus efficace contre les organisations qui gèrent des données sensibles. Pas besoin d'un zero-day quand un appel téléphonique bien préparé suffit à obtenir un accès VPN. Le groupe a systématiquement ciblé le secteur de l'assurance en 2025, exploitant sa relative immaturité cyber comparée aux secteurs bancaire ou technologique.

Les victimes collatérales que personne ne compte

Quand LexisNexis est compromis, ce ne sont pas seulement les 400 000 profils directs qui sont affectés. Ce sont les cabinets d'avocats qui utilisent la plateforme, les juges dont les données sont exposées, les entreprises dont les litiges sont référencés. Quand Aflac est piraté, ce sont les employeurs qui avaient souscrit des assurances complémentaires pour leurs salariés qui voient les données médicales de leurs équipes dans la nature. L'effet de cascade est massif et largement sous-estimé.

En France et en Europe, nous ne sommes pas à l'abri. Les data brokers européens — courtiers en données, agrégateurs de leads, prestataires de scoring — opèrent souvent avec des budgets sécurité dérisoires par rapport au volume de données qu'ils manipulent. Le RGPD impose des obligations de protection, mais entre l'obligation légale et la réalité du terrain, l'écart peut être abyssal. Et quand une brèche survient, l'amende RGPD s'ajoute au coût de l'incident sans avoir empêché quoi que ce soit.

Ce qu'il faut changer, maintenant

Première chose : les organisations qui concentrent des données sensibles doivent être auditées avec la même rigueur que les infrastructures critiques. Un data broker qui détient 20 millions de profils représente un risque systémique, au même titre qu'un opérateur d'énergie ou un hôpital. La directive NIS2 va dans ce sens, mais son application reste à démontrer.

Deuxième point : la surface d'attaque ne se limite plus au périmètre réseau. Le frontend, les dépendances npm, les intégrations cloud — tout est un vecteur potentiel. Les audits de sécurité doivent couvrir l'ensemble de la chaîne, du composant React déployé en production jusqu'au bucket S3 qui stocke les données. C'est coûteux, c'est contraignant, mais c'est le prix de la responsabilité quand on gère les données de millions de personnes.

Conclusion

Les data brokers et les assureurs sont devenus les nouvelles banques à braquer — avec souvent moins de gardes à l'entrée. Les incidents LexisNexis et Aflac ne sont pas des cas isolés mais les symptômes d'un problème systémique : la concentration massive de données sensibles dans des organisations dont la sécurité n'est pas à la hauteur de leur responsabilité. Pour les RSSI et les dirigeants, la leçon est claire : si vous détenez des données, vous êtes une cible. Agissez en conséquence, avant que quelqu'un d'autre ne le fasse pour vous.