La majorité des victimes subissent désormais des violations de données impliquant des tiers

La prochaine violation qui risque d’atterrir sur votre bureau commence probablement chez une entreprise que vous ne possédez pas. Votre logo figure sur la lettre de notification, votre nom apparaît dans la boîte mail du régulateur, et votre conseil d’administration veut savoir pourquoi l’erreur d’un fournisseur est devenue votre incident. Le rapport Data Breach Outlook 2026 de Kroll chiffre ce phénomène. Parmi les personnes concernées par les violations traitées par Kroll de juin 2025 à juin 2026, 69 % ont été touchées via un tiers.

Ce chiffre mérite plus d’attention qu’un simple rappel sur le risque fournisseur. Il s’agit de personnes, pas d’incidents, et il montre où se concentre le vrai préjudice. Un seul prestataire technologique compromis peut toucher des millions de personnes chez des centaines de clients en même temps. L’équipe sécurité de chaque client n’a rien vu venir, et aucune ne contrôlait les systèmes défaillants.

Dans cet article, nous allons expliquer ce que Kroll a mesuré, pourquoi cela diffère du rapport Verizon Data Breach Investigations, ce que prévoient les règles de notification HIPAA en cas de violation chez un fournisseur, et quelles preuves un RSSI ou un responsable conformité doit détenir avant de recevoir un appel. En résumé, un questionnaire fournisseur ne constitue pas une preuve. Un journal retraçant les mouvements, les accès et la politique appliquée, si.

Résumé de l’article

1. Kroll a constaté que 69 % des personnes concernées ont été touchées via un tiers, et 79 % de ces cas remontent à des fournisseurs technologiques.

2. Kroll compte les personnes, Verizon compte les violations : ces chiffres mesurent des réalités différentes et ne doivent jamais être fusionnés.

3. Selon la HIPAA, une violation chez un sous-traitant ne dispense pas l’entité couverte de notifier les personnes concernées, et le délai peut commencer à courir dès lors que le fournisseur est considéré comme agent.

4. Le vrai risque caché est le décalage entre les dirigeants, car l’enquête de Kroll montre que les responsables IT sont bien plus confiants que les membres du comité de direction ou les responsables risques et conformité.

5. La meilleure défense repose sur les preuves que vous produisez vous-même, c’est-à-dire une seule voie gouvernée pour les contenus sensibles, avec un moteur de politique unique et un journal d’audit unique.

Ce que Kroll a mesuré

Commençons par les définitions, car le titre va plus vite que les détails. Kroll a publié son Data Breach Outlook 2026 le 22 octobre 2026. L’étude porte sur la période de juin 2025 à juin 2026. Le communiqué de presse de Kroll précise que 7 personnes sur 10 touchées par une violation de données l’ont été via un tiers, soit précisément 69 %.

Regardez bien l’unité de mesure. Kroll compte le nombre de personnes concernées, c’est-à-dire celles dont les données ont été exposées. Il ne s’agit pas du nombre d’organisations victimes d’une violation. Cette distinction est essentielle car une violation chez un fournisseur a un effet multiplicateur. Un incident chez un prestataire de paie, une plateforme de gestion de sinistres ou un fournisseur de transfert de fichiers peut exposer tous les clients qui l’utilisent.

Kroll a également mené une enquête auprès de 250 dirigeants en parallèle de son étude. 69 % de ces dirigeants déclarent que leur organisation a subi une violation, et 34 % en ont connu plusieurs. Ce second 69 % peut prêter à confusion. L’un concerne les personnes touchées via des fournisseurs, l’autre les organisations ayant subi une violation. Citez-les séparément, à chaque fois.

Le résumé de Kroll ne ventile pas ses résultats par pays. Considérez ces chiffres comme une tendance mondiale, pas comme une règle pour un marché donné. Si vous informez un conseil à Londres, Riyad ou Chicago, précisez-le d’emblée et laissez la section réglementaire locale apporter la nuance régionale.

Fournisseurs technologiques et effet de masse

Parmi les personnes touchées via un tiers, Kroll attribue 79 % aux fournisseurs technologiques, 9 % à la finance, 6 % à l’assurance et 5 % à la santé. À elle seule, la technologie représente 60 % de toutes les personnes concernées dans l’étude de Kroll.

En y regardant de plus près, le classement est révélateur. La technologie arrive en septième position pour le nombre d’organisations touchées, mais première pour le nombre de personnes concernées. L’assurance est neuvième pour les organisations et deuxième pour les personnes. Ces secteurs ne subissent pas plus de violations que les autres. Ils détiennent simplement plus de données d’autrui, ce qui amplifie l’impact de chaque incident.

Il s’agit d’un problème de concentration, pas de négligence. Vos fournisseurs ne sont pas forcément moins bons que vous en sécurité. Ils sont des points d’agrégation. Lorsqu’un prestataire stocke, transfère ou traite des données pour des centaines de clients, un attaquant qui s’introduit une fois récolte ce qui aurait nécessité des centaines d’intrusions séparées.

Kroll note également que la finance et les services professionnels représentent chacun 20 % des violations, avec une hausse de 45 % pour les services professionnels. Cabinets d’avocats, sociétés de conseil, cabinets comptables et prestataires externalisés sont au cœur des échanges sensibles. Ils reçoivent contrats, documents financiers et données personnelles, puis les transmettent. Chacune de ces étapes marque la fin de votre politique et le début de celle d’un tiers.

Si votre programme de gestion des risques supply chain se limite à demander aux fournisseurs de décrire leurs contrôles, il mesure l’intention. Les chiffres de Kroll mesurent les résultats, qui se concentrent dans quelques catégories de prestataires que votre programme doit prioriser.

Verizon compte les violations, Kroll compte les personnes

Les responsables sécurité vont rapidement consulter le Verizon 2026 Data Breach Investigations Report pour comparer avec Kroll. Le rapport Verizon recense une implication de tiers dans 48 % des violations, contre 30 % dans l’édition précédente. Sa période va d’octobre 2024 à novembre 2025 et couvre 145 pays.

À première vue, 48 % et 69 % semblent contradictoires. Ce n’est pas le cas. Verizon demande combien de violations impliquent un tiers. Kroll demande combien de personnes ont été touchées via un tiers. Comme les incidents impliquant des tiers sont généralement plus vastes, la part de personnes concernées dépasse celle des violations. Les deux chiffres sont donc compatibles et, ensemble, ils en disent plus que séparément.

Pris ensemble, ils révèlent deux tendances : la part des tiers dans les violations augmente rapidement, et les violations impliquant un tiers sont plus importantes. Un RSSI qui ne suit que le nombre d’incidents sous-estime l’exposition. Celui qui ne regarde que le nombre de personnes touchées passe à côté de la banalisation du phénomène.

Le rapport 2026 de Black Kite sur les violations de tiers apporte un avertissement utile sur les preuves fournies par les fournisseurs. Il a recensé 136 événements, 719 victimes nommées et environ 26 000 non identifiées, avec un délai médian de divulgation de 73 jours. La note moyenne des fournisseurs était de 90,27, mais 53,77 % d’entre eux présentaient encore une vulnérabilité critique. Un bon score et une faille majeure coexistent donc. Voilà pourquoi une note ne remplace pas la preuve du traitement de vos données.

Le décalage entre dirigeants, un risque ignoré

La partie la plus révélatrice de l’enquête Kroll ne concerne pas les attaquants, mais la confiance. Quand Kroll a interrogé les dirigeants sur leur niveau de préparation, 54 % des responsables IT se sont dits confiants. Côté comité de direction, ils ne sont plus que 40 %. Chez les responsables risques et conformité, seulement 30 %.

Ce fossé indique qui détient les preuves. Les personnes proches de la technologie se sentent les plus sûres, tandis que celles qui doivent rendre des comptes aux régulateurs, assureurs et conseils d’administration sont les moins confiantes. Les responsables conformité ne sont pas pessimistes : ils savent ce qu’un auditeur demandera, et ils savent que la réponse se trouve souvent chez le fournisseur, pas chez eux.

L’enquête annuelle de Kiteworks va dans le même sens. Sur 459 répondants, environ la moitié en UE et au Royaume-Uni et tous auto-déclarés, seuls 14 % citent une violation de tiers comme risque principal. Parallèlement, 54 % utilisent au moins quatre plateformes pour échanger des contenus sensibles, et 73 % n’appliquent aucune restriction technique sur ces canaux. Seuls 4 % utilisent une plateforme unifiée, et 19 % n’ont jamais testé la révocation d’un accès tiers.

Arrêtons-nous sur ce dernier chiffre : une organisation sur cinq n’a jamais vérifié qu’elle pouvait couper l’accès d’un fournisseur. Si votre fournisseur est compromis un mardi, la première question de votre CEO sera de savoir si vous pouvez couper la connexion. « Nous pensons que oui » n’est pas une réponse acceptable pour un conseil d’administration, ni pour un enquêteur.

C’est ce qu’on appelle le fossé de la preuve : l’écart entre la confiance affichée par votre équipe technique et la preuve que votre équipe conformité peut produire à la demande. Les trois chiffres de Kroll, 54, 40 et 30, cartographient cet écart.

L’obligation de notification ne change pas de main

Le secteur de la santé rend la responsabilité très concrète, car la HIPAA précise qui doit notifier qui. Selon le 45 CFR 164.410, un sous-traitant doit notifier l’entité couverte sans délai excessif et au plus tard 60 jours calendaires après la découverte. La règle précise aussi qu’une violation est considérée comme découverte dès que le sous-traitant ou l’un de ses employés ou agents en a connaissance.

Regardez maintenant le maillon suivant. Selon le 45 CFR 164.404, c’est l’entité couverte qui notifie les personnes concernées. La défaillance du fournisseur ne transfère pas cette obligation. C’est toujours votre organisation que les patients entendent, et c’est toujours votre lettre que lisent les régulateurs.

Le HHS a abordé un point subtil dans son commentaire de 2013 au Federal Register. Si un sous-traitant agit comme agent de l’entité couverte, sa connaissance d’une violation est imputée à l’entité couverte. Dans ce cas, le délai de notification peut commencer dès la découverte par le fournisseur, pas seulement lorsqu’il vous en informe. Le statut d’agent dépend du degré de contrôle exercé, c’est donc une question juridique à trancher avec votre conseil avant un incident, pas pendant.

C’est aussi là que la réforme HIPAA Security Rule entre en jeu. La mise à jour proposée n’est pas encore finalisée, et le HIPAA Journal indique que la décision finale est reportée à juillet 2027. N’attendez pas. Les règles de notification ci-dessus s’appliquent déjà, et vos preuves doivent être prêtes. Pour plus de contexte, consultez la synthèse de Kiteworks sur la conformité HIPAA.

Le même raisonnement s’applique hors des États-Unis. Selon l’article 33 du RGPD britannique, un responsable de traitement doit notifier le régulateur dans les 72 heures suivant la prise de connaissance d’une violation, si possible. La PDPL d’Arabie Saoudite prévoit aussi un préavis de 72 heures au régulateur, et une consultation ouverte depuis le 6 octobre 2026 propose de le renforcer. Pinsent Masons rapporte que le projet supprimerait le seuil de préjudice, imposerait un stockage local et ajouterait un délai de réponse de 20 jours ouvrés. La consultation se termine le 5 novembre 2026, et ces détails proviennent de sources secondaires : vérifiez le texte officiel avant d’agir. Le schéma est le même partout : le fournisseur peut causer la violation, mais c’est le responsable de traitement qui porte la responsabilité et le délai.

L’équation de l’assurance

Les assureurs ont repéré la même tendance. Selon Insurance Business, les fournisseurs sont à l’origine de la plupart des grandes violations de données de santé en juin. Quand les incidents majeurs d’un secteur commencent systématiquement chez un prestataire, les assureurs vont commencer à vous interroger sur vos fournisseurs.

Attendez-vous à quelques évolutions. Les demandes d’assurance vont examiner comment vous recensez les fournisseurs qui détiennent vos données. Lors des renouvellements, on vous demandera si vous pouvez prouver qui a accédé à quoi, et pas seulement si une politique existe. Les indemnisations dépendront de votre capacité à reconstituer les événements rapidement, car une réclamation non documentée risque de ne pas être honorée.

L’assurance occupe aussi une position particulière dans les données de Kroll. Elle est neuvième pour les organisations touchées, deuxième pour les personnes concernées. Les assureurs et leurs gestionnaires sont eux aussi des agrégateurs, ce qui signifie que l’acteur qui évalue votre risque est exposé au même effet de concentration que vous.

La leçon pratique : le coût d’une violation chez un fournisseur ne dépend pas du fournisseur, mais de votre capacité à répondre rapidement à quatre questions. Quelles données détenait ce fournisseur ? Qui a autorisé l’accès ? Qu’a-t-on partagé ces 90 derniers jours ? Pouvez-vous le prouver ? Chaque réponse provient de vos propres registres ou de la bonne volonté du fournisseur.

Les preuves à réunir avant l’appel du fournisseur

La plupart des organisations considèrent le risque tiers comme une fonction d’achat. Elles envoient un questionnaire, collectent un rapport SOC 2, classent les résultats et passent à autre chose. Ce processus a son utilité, mais il ne produit que des déclarations sur l’environnement du fournisseur. Il ne fournit pas de preuve sur la circulation de vos données.

La différence détermine ce que vous pourrez faire le jour critique. Une attestation fournie par le fournisseur vous dit ce qu’il prétend faire. Vos propres journaux d’audit vous disent ce qui est réellement arrivé à vos contenus. En cas d’incident, vous vous appuierez bien plus sur cette seconde source, tout comme le régulateur.

C’est là que l’architecture des échanges de contenus sensibles prend tout son sens. E-mail, partage de fichiers, SFTP, transfert sécurisé de fichiers, formulaires web et API sont les canaux par lesquels les données réglementées quittent votre organisation. Si chaque canal a ses propres outils, politiques et journaux, reconstituer une chronologie d’incident devient un vrai travail d’enquête. Les chiffres de Kiteworks montrent que cette fragmentation est fréquente : 54 % des répondants utilisent quatre plateformes ou plus.

Une approche « control plane » permet de tout regrouper. Kiteworks gouverne la messagerie électronique, le partage sécurisé de fichiers, le SFTP, le transfert sécurisé de fichiers, les formulaires et les API via un seul moteur de politique de données, avec des contrôles RBAC et ABAC, un journal d’audit unique et une traçabilité défendable. Le tout fonctionne comme une appliance virtuelle durcie à locataire unique, vos données et vos clés ne sont donc jamais mélangées à celles d’autres clients. Les agents IA sont gérés au même titre que les utilisateurs humains, ce qui devient essentiel avec l’automatisation croissante des processus fournisseurs.

Le principe est simple : si un incident survient chez un fournisseur, la question n’est pas ce que le fournisseur savait, mais ce que vous pouvez prouver sur les contenus que vous lui avez confiés, et selon quelles règles. Une voie gouvernée permet d’y répondre en quelques minutes, pas en plusieurs semaines.

La règle du minimum nécessaire HIPAA s’applique aussi ici. Transmettre moins de données à un fournisseur limite le nombre de personnes concernées en cas de problème. Le constat de concentration de Kroll et le principe du minimum nécessaire vont dans le même sens : limitez ce qui sort, et ce qui sort doit être contrôlé par une politique et journalisé.

Cinq actions pour les 90 prochains jours

Un constat comme celui de Kroll peut sembler insurmontable. Ce n’est pas le cas. Cinq actions tiennent sur un trimestre et chacune produit une preuve à présenter à un auditeur.

Action 1. Classez vos fournisseurs selon le volume de données, pas la valeur du contrat. Listez tous les tiers qui détiennent des contenus réglementés ou confidentiels, puis classez-les selon le nombre de personnes ou d’enregistrements concernés. Les données de Kroll montrent que la technologie et l’assurance méritent d’être traitées en priorité. Votre fournisseur le plus cher n’est pas forcément celui qui détient le plus de données sensibles.

Action 2. Testez la révocation, pas seulement la politique. Sélectionnez vos cinq fournisseurs les plus risqués et coupez leur accès lors d’un exercice contrôlé. Notez la durée, les personnes impliquées et les impacts. 19 % des organisations interrogées ne l’ont jamais fait, c’est le moyen le plus simple de quitter ce groupe.

Action 3. Tranchez la question de l’agent avec votre conseil juridique. Déterminez, fournisseur par fournisseur, si la relation peut être considérée comme une agence. Si oui, le commentaire du HHS indique que la connaissance du fournisseur peut devenir la vôtre. Votre plan de réponse aux incidents doit préciser quand le délai de notification commence selon chaque cas, et l’intégrer à votre plan de réponse aux incidents.

Action 4. Réduisez le décalage entre dirigeants avec un document partagé. Mettez sur une même page la vision IT et la vision conformité. Indiquez quels échanges avec des tiers sont encadrés par des contrôles techniques, lesquels reposent uniquement sur la politique, et lesquels ne sont pas journalisés. Quand 54, 40 et 30 deviennent une liste concrète de lacunes, le fossé de confiance devient un plan d’action.

Action 5. Regroupez les canaux qui transportent des données réglementées. Cartographiez tous les chemins utilisés pour transférer des contenus sensibles vers ou depuis un tiers. Supprimez ceux qui ne sont pas gouvernés. Placez les autres sous un moteur de politique unique et un journal unique, pour que la prochaine chronologie d’incident soit un reporting, pas une enquête. Pour aller plus loin, consultez les conseils de Kiteworks sur la gestion des risques fournisseurs et la gestion des risques tiers.

En appliquant ces cinq actions, vos prochains échanges avec le conseil d’administration changent : au lieu d’expliquer comment un fournisseur vous a fait défaut, vous pourrez démontrer ce que vous saviez, ce que vous contrôliez et la rapidité de votre réaction.

Que dire à votre conseil d’administration

Quand les administrateurs vous interrogent sur le rapport Kroll, tenez-vous en à trois phrases. La plupart des personnes victimes de violations le sont via des fournisseurs, pas via l’entreprise dont le nom figure sur la lettre. Notre obligation légale de notification reste la nôtre, même si le fournisseur est en tort. Notre défense, ce sont les preuves que nous détenons, et nous les mesurons et les renforçons selon un calendrier précis.

Puis apportez le document. Une liste de fournisseurs classés par exposition, le résultat d’un test de révocation et une chronologie complète d’un échange sensible feront plus qu’un score de maturité. Les conseils d’administration font confiance à ce qu’ils peuvent vérifier.

Dernière mise en garde sur la portée : l’étude de Kroll est un échantillon mondial, et les répondants à l’enquête de Kiteworks sont auto-déclarés et majoritairement en UE et au Royaume-Uni. Aucun de ces ensembles ne prédit ce qui arrivera à votre organisation. Ils montrent cependant que la structure du risque a changé, et que cette structure favorise les organisations capables de documenter leur gestion des données.

Testez sur vos propres données

Kiteworks offre aux équipes sécurité et conformité une voie gouvernée unique pour les contenus sensibles, avec un moteur de politique et un journal d’audit uniques couvrant la messagerie électronique, le partage de fichiers, le SFTP, le transfert sécurisé de fichiers, les formulaires et les API. Si vous voulez voir à quoi ressemble une chronologie d’incident fournisseur quand toutes les preuves sont réunies, réservez votre démo personnalisée dès maintenant.

Ressources complémentaires

• Article de blog Architecture Zero Trust : Ne jamais faire confiance, toujours vérifier
• Vidéo Microsoft GCC High : Les inconvénients qui poussent les acteurs de la défense vers des solutions plus intelligentes
• Article de blog Comment sécuriser les données classifiées après détection par le DSPM
• Article de blog Instaurer la confiance dans l’IA générative grâce à une approche Zero Trust
• Vidéo Guide ultime pour sécuriser le stockage des données sensibles à destination des responsables IT