La Commission européenne elle-même devient victime d'une violation alors que ShinyHunters exfiltre 350 Go depuis son infrastructure cloud — soulevant des questions gênantes sur la conformité NIS2 au sein des institutions européennes. Au Royaume-Uni, les violations de données des employés atteignent un pic sur sept ans, provoquées par les failles du travail hybride plutôt que par des pirates. L'ICO sanctionne des démarcheurs prédateurs ciblant les personnes âgées. Parallèlement, la course aux armements de l'IA accélère l'urgence d'application de l'AI Act européen, et la percée quantique de Google comprime le calendrier de la résilience cryptographique imposée par DORA dans les services financiers.
La Commission européenne a confirmé le 27 mars que des pirates avaient compromis l'infrastructure cloud hébergeant sa plateforme Europa.eu , dans ce qui apparaît comme l'une des violations les plus importantes touchant une institution européenne depuis des années. Le groupe d'extorsion ShinyHunters revendique la responsabilité de l'attaque, affirmant avoir exfiltré plus de 350 Go de données sensibles.
La Commission européenne est l' architecte de NIS2 — la directive exigeant des entités essentielles et importantes à travers l'Europe qu'elles mettent en œuvre des mesures de cybersécurité robustes, signalent les incidents sous 24 heures et maintiennent la sécurité de la chaîne d'approvisionnement. Cette violation soulève des questions pointues quant à savoir si les institutions européennes elles-mêmes respectent les normes qu'elles imposent aux États membres et aux organisations privées.
| Réglementation | Implication |
|---|---|
| NIS2 | Les institutions européennes sont censées montrer l'exemple. Cette violation expose des lacunes dans la sécurité de la chaîne d'approvisionnement (dépendance à AWS) et dans la détection des incidents (délai de découverte de 3 jours). |
| RGPD | Des données personnelles (PII) d'employés ont été compromises. La Commission doit notifier les personnes concernées en vertu de l'article 34 si un risque élevé est établi. Étant à la fois responsable du traitement et organe d'application, l'image renvoyée est dommageable. |
| EU Cybersecurity Act | L'implication potentielle de l'ENISA (des rapports non confirmés suggèrent que l'ENISA pourrait également avoir été touchée) soulève des questions sur la résilience de l'agence de cybersécurité de l'UE elle-même. |
La Commission a déclaré que ses « systèmes internes » n'avaient pas été affectés et qu'elle avait pris des « mesures immédiates » pour contenir la violation. Cependant, les analystes en sécurité notent que les clés DKIM et les identifiants SSO dérobés créent des risques persistants d'attaques de spear-phishing et d'usurpation d'identité contre des responsables européens et des contacts au sein des États membres.
Les signalements de violations de données d'employés auprès de l' Information Commissioner's Office (ICO) britannique ont atteint 3 872 incidents en 2025 — un pic sur sept ans, soit 29 % de plus qu'en 2019, selon une analyse du cabinet d'avocats Nockolds. Mais le moteur surprenant n'est pas les pirates : c'est le travail hybride.
Les violations liées au piratage ont en réalité chuté de 6 % d'une année sur l'autre. Les incidents non liés au piratage — ordinateurs portables perdus, e-mails mal adressés, documents papier non sécurisés — ont bondi de 15 % pour atteindre 2 304 incidents. Le passage au travail hybride a créé des vulnérabilités physiques et procédurales que les défenses numériques ne peuvent pas traiter.
En vertu des articles 5(1)(f) et 32 du RGPD, les organisations doivent mettre en œuvre des « mesures techniques et organisationnelles appropriées » pour protéger les données personnelles. La hausse des violations non liées au piratage suggère que de nombreuses organisations ont massivement investi dans la sécurité informatique tout en négligeant les garanties physiques et procédurales que le RGPD exige également.
Nockolds a averti que même des violations accidentelles causées par des employés peuvent engager la responsabilité de l'entreprise si les politiques sont obsolètes ou le personnel insuffisamment formé. Les employés dont les données sont compromises ont le droit d'intenter une action si la violation cause du stress ou de l'anxiété — créant une exposition financière directe pour les employeurs.
Action de conformité : Les organisations doivent mettre à jour leurs analyses d'impact relatives à la protection des données (AIPD) au titre du RGPD pour tenir explicitement compte des modes de travail hybrides. Les politiques de sécurité physique, les exigences de bureau propre et le chiffrement lors du transport méritent le même investissement que les pare-feux et la détection des terminaux.
L'ICO a infligé une amende à la société d'alarme basée à Birmingham TMAC, de 100 000 £, après que l'entreprise a passé plus de 260 000 appels de démarchage intempestifs à des numéros inscrits sur le Telephone Preference Service (TPS). Ces appels ciblaient délibérément des personnes de plus de 60 ans en utilisant des tactiques trompeuses.
L'ICO a prononcé près de 1 million de £ d'amendes à l'encontre de démarcheurs intempestifs rien qu'en 2025. Le pire contrevenant de l'année dernière, Green Spark Energy, a été sanctionné pour avoir passé près de 10 millions d'appels automatisés ciblant des personnes âgées. La tendance est claire : les régulateurs se concentrent de plus en plus sur la protection des populations vulnérables contre les usages abusifs des données.
Intersection RGPD/PECR : Alors que le PECR régit le marketing électronique, le RGPD s'applique au traitement sous-jacent des données personnelles. Les organisations qui acquièrent des listes de marketing doivent vérifier la base juridique du traitement au titre de l'article 6 du RGPD, et les données acquises auprès d'entreprises précédentes nécessitent une nouvelle évaluation du consentement. L'amende PECR de 100 000 £ n'est peut-être que la partie visible de l'iceberg — les amendes RGPD pour traitement illicite de données prévoient des sanctions maximales bien plus élevées (jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial).
Le paysage de la cybersécurité connaît une accélération sans précédent des attaques propulsées par l'IA. Les acteurs malveillants — des États-nations aux entreprises criminelles — automatisent l'intégralité de la chaîne d'attaque, compressant la découverte de vulnérabilités, l'exploitation et les mouvements latéraux, qui passent de plusieurs semaines à quelques heures.
L'interdiction par l'AI Act européen des systèmes d'IA à risque inacceptable (y compris la notation sociale et la surveillance biométrique en temps réel) est entrée en vigueur en février 2025. Mais les obligations plus larges de l'Act — exigences de transparence, évaluations de conformité des systèmes à haut risque et gouvernance des modèles d'IA à usage général — ne s'appliquent pleinement qu'à partir d' août 2026. L'écart entre l'accélération des menaces liées à l'IA et l'application de la réglementation se creuse.
| Exigence de l'AI Act européen | Application défensive |
|---|---|
| Classification des risques | Classez les outils d'IA présents dans votre environnement. Sachez lesquels sont à haut risque avant que les régulateurs ne le demandent. |
| Obligations de transparence | Documentez l'usage de l'IA dans les opérations de sécurité. Le renseignement sur les menaces généré par IA doit être étiqueté comme tel. |
| Gouvernance de l'IA à usage général | Auditez les intégrations de LLM dans les outils du SOC pour détecter les fuites de données, l'injection de prompts et les risques d'hallucination. |
| Supervision humaine | Maintenez un humain dans la boucle pour les actions de réponse pilotées par l'IA. Les décisions de SOC entièrement autonomes engagent la responsabilité. |
Les organisations ne doivent pas attendre l'entrée en application d'août 2026. La combinaison des attaques propulsées par l'IA et d'une réglementation imminente signifie que la préparation à la conformité et l'adoption d'une IA défensive doivent avancer en parallèle.
Des chercheurs de Google ont publié des résultats montrant que le cassage du chiffrement de Bitcoin et Ethereum nécessite 20 fois moins de qubits de calcul quantique qu'estimé précédemment. Bien que le « Q-Day » — le jour où les ordinateurs quantiques pourront casser le chiffrement actuel — reste peut-être encore à des années de distance, le calendrier se resserre. Certaines estimations le situent désormais dès 2029.
Le Digital Operational Resilience Act (DORA), pleinement applicable depuis janvier 2025, exige que les entités financières maintiennent des cadres complets de gestion des risques TIC incluant des contrôles cryptographiques. L'article 9 impose spécifiquement des politiques en matière de « chiffrement et contrôles cryptographiques » garantissant la confidentialité et l'intégrité des données.
Les institutions financières s'appuyant sur la cryptographie à courbe elliptique (ECC) pour la signature de transactions, l'échange de clés ou l'authentification des clients disposent d'une fenêtre de plus en plus étroite pour amorcer leur migration post-quantique. L'exigence de DORA en matière d'évaluation continue des risques TIC signifie que le risque quantique doit désormais figurer au registre des risques — non plus comme une menace future théorique, mais comme un risque quantifiable et borné dans le temps.
Recevez des briefings quotidiens sur la réglementation et la conformité couvrant NIS2, DORA, le RGPD et l'AI Act européen.
En savoir plus sur KENSAI