Données volées : Synacktiv décrit l'économie souterraine qui change la donne pour les DPO

Les fuites de données ne sont plus la fin d'une cyberattaque, elles en sont devenues le point de départ. Dans une analyse publiée le 28 mai 2026 sur Silicon.fr, le cabinet français Synacktiv décrit un marché structuré où chaque identifiant volé est revendu, raffiné, puis réexploité pendant des années. Pour les DPO et les RSSI, ce constat change l'horizon temporel d'une violation : une fuite n'est jamais vraiment refermée.

Une chaîne de valeur calquée sur l'industrie

Selon Synacktiv, la cybercriminalité fonctionne désormais comme un écosystème de sous-traitance avec des rôles clairement répartis. La collecte se fait via des infostealers ou des intrusions directes. L'agrégation et l'enrichissement viennent ensuite. Des services automatisés testent massivement les identifiants pour ne conserver que ceux qui sont effectivement utilisables, puis les structurent en « listes ULP » (URL, login, mot de passe) revendues à grande échelle.

« Ce modèle est comparable à des chaînes de sous-traitance industrielles. Une cyberattaque réussie résulte le plus souvent d'une succession d'interventions coordonnées », explique Maxence Fossat, expert en cybersécurité chez Synacktiv. L'ordre de grandeur donne le vertige : entre 1 et 2 milliards d'identifiants en circulation en 2025, selon les estimations citées par le cabinet. Une part est obsolète ou dupliquée, mais la profondeur du marché est désormais structurelle — et nous l'avions déjà décrite à propos du marché des infostealers révélé par Le Monde en mai 2026.

Pourquoi c'est un sujet RGPD, pas seulement cyber

L'industrialisation décrite par Synacktiv produit deux effets directs sur la conformité. D'abord, l'accès initial à un système repose de plus en plus sur des comptes légitimes compromis plutôt que sur des intrusions techniques. Une connexion frauduleuse devient indiscernable d'une connexion légitime — exactement le type d'incident qui échappe aux journaux d'authentification et fait dérailler le délai de notification 72h prévu par l'article 33 du RGPD.

Ensuite, les données issues d'anciennes fuites alimentent des opérations de phishing et d'ingénierie sociale beaucoup plus convaincantes. Noms de projets internes, organisation des équipes, habitudes de communication : tout ce contenu, exfiltré une fois, peut servir de matière première pendant des années à des campagnes ciblées. Le contexte explique aussi pourquoi la CNIL a enregistré 6 167 violations en 2025 et pourquoi les profils complets reconstitués à partir de fuites successives deviennent exploitables pour l'usurpation d'identité.

Au cœur de ce système, les Initial Access Brokers jouent un rôle de pivot : ils identifient des accès compromis et les revendent aux opérateurs de ransomware, qui prennent le relais. C'est cette même mécanique d'accès initial que l'on retrouve dans la plupart des incidents documentés sur les ransomwares récents.

Ce que ça change pour les DPO et les RSSI

L'analyse de Synacktiv impose trois ajustements concrets dans la posture de conformité :

• Considérer toute fuite comme un risque persistant. Les données exfiltrées une fois — y compris la documentation interne, les schémas d'architecture ou le code source — peuvent réapparaître plusieurs années après. La gestion d'incident ne s'arrête pas à la notification CNIL : un suivi du credential leak et une rotation systématique des secrets s'imposent.
• Durcir l'authentification. Si l'attaquant rentre avec un mot de passe valide, l'article 32 du RGPD impose de relever le plafond : MFA obligatoire sur les accès sensibles, surveillance des connexions atypiques, segmentation des privilèges. Les cinq bonnes pratiques de cybersécurité Leto détaillent comment construire ce socle.
• Préparer la chaîne de notification en amont. Le scénario qui se généralise — accès silencieux via identifiant volé, détection tardive, exfiltration progressive — pulvérise les procédures d'incident calibrées sur des attaques bruyantes. Notre guide sur la réaction à une violation de données rappelle les étapes pour tenir le délai 72h, même quand la chronologie de l'attaque est floue.

L'industrialisation est encore amplifiée par l'IA générative, qui permet à des acteurs au niveau technique limité de produire du code, tester des identifiants et exploiter des données à grande échelle. La barrière à l'entrée s'est effondrée. Pour les organisations, l'enjeu est de comprendre que la valeur d'une fuite de données pour un attaquant ne s'épuise pas : elle se déploie dans le temps long, à mesure que les données sont enrichies, combinées et revendues.

Ce que Leto pense de cette décision

L'analyse de Synacktiv confirme ce que nos équipes voient sur le terrain depuis dix-huit mois : la frontière entre cybersécurité et conformité RGPD n'existe plus. Un DPO qui considère encore la sécurité comme « un sujet RSSI » expose son organisation à un retard structurel — et à des sanctions de plus en plus lourdes. La bonne lecture, c'est de traiter chaque violation comme un événement à demi-vie longue : ce qui fuit aujourd'hui sera réutilisé dans cinq ans. La conformité commence là, dans la capacité à rendre les données volées moins utiles à l'attaquant — par la rotation des secrets, le MFA, le monitoring des accès et la cartographie des dépendances de sous-traitance.

Sources : Silicon.fr — Données volées : nouveau carburant d'une économie souterraine (28 mai 2026), Synacktiv.