---
url: 'https://www.corbado.com/fr/blog/risques-securite-applications'
title: '7 risques de sécurité des applications qui auraient pu être évités'
description: 'Analyse approfondie de 7 risques de sécurité des applications avec des exemples réels de violations et comment les prévenir avec une authentification moderne.'
lang: 'fr'
author: 'Muhammad Aqeel'
date: '2026-05-27T10:54:44.163Z'
lastModified: '2026-08-01T06:04:51.147Z'
keywords: 'risques sécurité applications, contrôle d''accès défaillant, mauvaise configuration cloud, exposition données sensibles'
category: 'Authentication'
---

# 7 risques de sécurité des applications qui auraient pu être évités

## Key Facts

- Les violations de données chez MGM, Uber, CircleCI et Ticketmaster entre 2022 et 2024
  ont exposé les données personnelles de plus de **600 millions d'utilisateurs** et causé
  des pertes dépassant des centaines de millions de dollars.
- La **violation de MGM Resorts** en 2023 a commencé par un appel de vishing (hameçonnage
  vocal) au support technique, permettant la réinitialisation des identifiants et le
  déploiement d'un ransomware qui a provoqué sept jours d'interruption du système.
- La **violation de Snowflake** a compromis 165 organisations, dont Ticketmaster (560
  millions d'enregistrements clients) et AT\&T, via des identifiants volés par des
  malwares infostealer attaquant des comptes sans MFA.
- Les **Device Bound Session Credentials (DBSC)** empêchent le vol de cookies de session
  en liant cryptographiquement les sessions à des appareils spécifiques, rendant
  inutilisables les cookies volés depuis d'autres machines.
- Toutes les organisations impliquées dans les violations signalées avaient la possibilité
  de déployer des clés d'accès (passkeys) avant que leurs systèmes ne soient compromis :
  les clés d'accès étaient une technologie mature et disponible tout au long de la période
  2022-2024.

## 1. Introduction

De grandes [entreprises](https://www.corbado.com/fr/blog/violations-donnees-japon), dont
[Uber](https://www.corbado.com/blog/uber-passkeys), MGM Resorts, CircleCI, Ticketmaster et de nombreuses autres,
ont subi des failles de sécurité de septembre 2022 à mai 2024 après que des attaquants ont
obtenu un accès non autorisé à leurs systèmes de comptes d'utilisateurs. Les attaques ont
causé plus de centaines de millions de dollars de dommages tout en exposant les données
personnelles de plus de 600 millions d'utilisateurs, et les systèmes
d'[authentification](https://www.corbado.com/fr/blog/webauthn-relying-party-id-rpid-passkeys) obsolètes de
l'époque auraient pu prévenir ces violations de sécurité.

L'histoire ne montre aucune preuve de [vulnérabilités](https://www.corbado.com/fr/blog/fuite-donnees-medibank)
"zero-day" sophistiquées ou d'attaquants en cybersécurité utilisant des failles inconnues
pour mener leurs attaques. Ces cas révèlent comment les organisations ont échoué à
prévenir les violations de sécurité. La plupart connaissaient les attaques par fatigue
[MFA](https://www.corbado.com/fr/blog/comment-passer-totalement-sans-mot-de-passe) mais n'ont pas réussi à s'en
protéger, et elles reconnaissaient les [vulnérabilités](https://www.corbado.com/fr/blog/fuite-donnees-medibank)
des systèmes basés sur les mots de passe mais ont continué à les utiliser.

## 2. Défaillances de l'authentification héritée

Une [authentification](https://www.corbado.com/fr/blog/webauthn-relying-party-id-rpid-passkeys) faible ou héritée
est un point d'entrée courant pour les attaquants. La majorité des violations de sécurité
commencent par l'obtention par les attaquants de mots de passe volés ou précédemment
utilisés, bien que les organisations aient accès à des systèmes
d'[authentification](https://www.corbado.com/fr/blog/webauthn-relying-party-id-rpid-passkeys) par
[clés d'accès](https://www.corbado.com/fr/glossary/cda) établis, qui offrent une protection contre le
[phishing](https://www.corbado.com/glossary/phishing).
[La violation de MGM Resorts en 2023](https://www.forbes.com/sites/steveweisman/2025/03/12/mgm-ransomware--attack-update/)
a commencé lorsque des attaquants ont utilisé le [vishing](https://www.corbado.com/glossary/vishing) pour
contacter le support technique informatique, ce qui leur a permis de réinitialiser les
identifiants puis de déployer un [ransomware](https://www.corbado.com/glossary/ransomware) et de causer sept
jours d'interruption du système.

Les systèmes de sécurité de MGM et d'autres organisations utilisaient des mots de passe
associés à une authentification à deux facteurs par SMS, ce qui n'a pas permis de protéger
contre les attaques d'ingénierie sociale et le vol d'identifiants. L'organisation n'a pas
réussi à mettre en place de meilleurs systèmes d'authentification car, bien qu'elle ait
compris les menaces de sécurité, ses systèmes et processus de travail actuels l'ont
empêchée d'apporter des changements.

Les [clés d'accès](https://www.corbado.com/fr/glossary/cda), qui utilisent la cryptographie à clé publique et
l'identification biométrique, auraient considérablement réduit le risque de succès de ces
attaques. Les [clés d'accès](https://www.corbado.com/fr/glossary/cda) sont plus sûres que les mots de passe car
les utilisateurs ne peuvent pas les réinitialiser via un accès à distance ou le support
technique en partageant des codes de réinitialisation, ce qui protège contre les attaques
d'ingénierie sociale. La sécurité des clés d'accès reste vulnérable à des méthodes
d'attaque spécifiques, qui se produisent lorsque les processus de
[récupération de compte](https://www.corbado.com/fr/blog/comment-passer-totalement-sans-mot-de-passe) ne sont pas
correctement sécurisés et lorsque les appareils sont infectés par des malwares.

## 3. Attaques basées sur les sessions et les cookies

Les attaquants se concentrent sur l'obtention de cookies car ils aideront à obtenir
l'accès au système et à contourner toutes les procédures d'authentification.
[La violation de CircleCI en 2022](https://thehackernews.com/2023/01/malware-attack-on-circleci-engineers.html)
souligne cela en montrant comment un [malware](https://www.corbado.com/glossary/malware) infostealer sur
l'ordinateur portable d'un employé peut facilement voler des cookies de session actifs. À
l'aide de ceux-ci, les attaquants ont ensuite contourné l'authentification à deux facteurs
et obtenu l'accès aux systèmes de production.

Les cookies de session servent de moyen de contourner les contrôles d'accès avec leurs
jetons porteurs, facilitant l'exposition de données sensibles. Pour prévenir de tels
incidents, les organisations peuvent mettre en œuvre des
[Device Bound Session Credentials](https://www.corbado.com/blog/device-bound-session-credentials-dbsc) (DBSC),
qui protègent les utilisateurs contre le vol de session en utilisant des méthodes
cryptographiques pour lier les sessions à des appareils spécifiques. Cela rend impossible
l'utilisation de cookies volés à partir d'autres ordinateurs. Le système
[DBSC](https://www.corbado.com/blog/device-bound-session-credentials-dbsc) offre une protection efficace contre
les malwares infostealer qui s'exécutent sur divers appareils, mais il ne peut pas arrêter
les attaques lorsque le [malware](https://www.corbado.com/glossary/malware) infecte l'appareil initialement
enregistré.

## 4. Autorisation défaillante

Lorsque les attaquants franchissent le contrôle d'accès dans l'application, ils peuvent se
déplacer latéralement sans se soucier de leurs permissions. Le risque de sécurité lié aux
[vulnérabilités](https://www.corbado.com/fr/blog/fuite-donnees-medibank) d'autorisation reste élevé car les
attaquants ont utilisé avec succès des contrôles d'accès insuffisants pour naviguer entre
les composants du système lors de multiples violations de réseau.

Pour identifier les vulnérabilités IDOR (Insecure Direct Object Reference), les
[développeurs](https://www.corbado.com/fr/blog/aide-memoire-cles-dacces) d'applications doivent utiliser la
modélisation des menaces basée sur des concepts pour détecter les structures de base de
gestion des accès et mettre en œuvre des processus de revue de code pour valider les
permissions des comptes de service.

Opter pour des attributions de rôles et une gestion des permissions complexes au lieu d'un
modèle de moindre privilège peut rendre les organisations vulnérables aux problèmes
d'autorisation. Des attributions de rôles complexes peuvent conduire à un accès non
autorisé à des informations sensibles et à des fonctions dans les applications destinées
aux clients. Les organisations sans un cadre d'autorisation sécurisé ne peuvent pas
protéger leurs données contre un accès et des opérations non autorisés.

Avec l'augmentation des problèmes de sécurité B2C, un seul compte compromis peut causer
des dommages importants à de multiples comptes utilisateurs. En mettant en œuvre la
gestion des accès à privilèges, les organisations peuvent donner à leurs employés et
clients uniquement l'accès minimum requis pour accomplir leur travail. En outre, une
modélisation régulière des menaces basée sur les concepts et une revue de code peuvent
aider à repérer facilement les risques et les vulnérabilités.

## 5. Intégrations d'IA non sécurisées

L'intégration rapide de la GenAI et des LLM dans les applications a dépassé la capacité
des contrôles traditionnels à détecter ces changements, ce qui entraîne un risque de
sécurité invisible.
[La violation de Snowflake en 2024](https://en.wikipedia.org/wiki/Snowflake_data_breach)
démontre comment les acteurs de la menace ont utilisé des identifiants volés lors
d'attaques par [malware](https://www.corbado.com/glossary/malware) infostealer pour pénétrer dans les
environnements clients de Snowflake, qui n'avaient pas mis en œuvre d'authentification
multifacteur. L'attaque a compromis plus de 165 organisations, dont Ticketmaster avec 560
millions d'enregistrements clients, ainsi qu'AT\&T et la banque Santander.

Les organisations omettent souvent de reconnaître
l'[IA](https://www.corbado.com/fr/blog/le-role-de-lia-dans-la-detection-des-cybermenaces) comme une partie
essentielle de l'environnement informatique, laissant les ressources
d'[IA](https://www.corbado.com/fr/blog/le-role-de-lia-dans-la-detection-des-cybermenaces) telles que les modèles,
les magasins de données vectorisées et les pipelines
d'[IA](https://www.corbado.com/fr/blog/le-role-de-lia-dans-la-detection-des-cybermenaces) vulnérables aux
mauvaises configurations et aux risques de cyberattaques. La plupart des organisations ont
des difficultés à surveiller efficacement les systèmes d'IA en raison de la «
[shadow AI](https://www.corbado.com/blog/shadow-ai-agent-debt-identiverse-2026) », où des individus non autorisés
peuvent mener des attaques basées sur des identifiants sans
[détection](https://www.corbado.com/fr/blog/le-role-de-lia-dans-la-detection-des-cybermenaces) interne.

Si les organisations appliquaient des contrôles de base tels que la validation des
entrées, l'isolation et la surveillance continue à leurs systèmes d'IA, comme elles le
font pour d'autres infrastructures informatiques, ces incidents de sécurité auraient pu
être évités. Les organisations peuvent automatiser l'identification et la remédiation des
mauvaises configurations à l'aide
d'[outils de sécurité de l'IA](https://www.wiz.io/academy/ai-security-solutions), qui
fournissent un inventaire complet de toutes les ressources d'IA.

## 6. Mauvaises configurations du Cloud et de l'environnement d'exécution

Les mauvaises configurations dans le cloud, notamment les compartiments de stockage
exposés, les groupes de sécurité trop permissifs et les conteneurs exposés, peuvent
entraîner des incidents de sécurité.
[La violation d'ePallet](https://www.websiteplanet.com/blog/epallet-leak-report/) en 2022
a montré qu'un compartiment Amazon S3 mal configuré peut exposer des données clients
sensibles d'autres [entreprises](https://www.corbado.com/fr/blog/violations-donnees-japon) utilisant leur outil.
Les attaquants ont utilisé deux vecteurs principaux pour accéder aux informations
sensibles : des compartiments de stockage non protégés et des groupes de sécurité avec des
contrôles d'accès inefficaces.

L'analyse de conformité de base montre que ces attaques proviennent de deux sources
principales, à savoir le stockage accessible publiquement avec des données spécifiques aux
utilisateurs et les ports de gestion virtuels exposés. Les organisations peuvent
considérer ces mauvaises configurations comme des solutions à court terme pour la
conformité, mais la plupart deviennent des points de brèche de sécurité.

L'identification et la remédiation des mauvaises configurations doivent être continues par
le biais de la gestion de la posture de sécurité cloud ou de contrôles de sécurité à
l'exécution, ce qui réduit considérablement le risque que les attaquants exploitent les
vulnérabilités. Les organisations peuvent utiliser des outils de balayage et de
surveillance automatisés pour trouver les mauvaises configurations, et la plateforme de
surveillance peut ensuite y remédier.

## 7. Sécurité manquante dans le SDLC

Les vulnérabilités entrent dans le processus de production lorsque les fonctions de
sécurité ne sont pas correctement intégrées dans le processus de développement logiciel.
Une
[mauvaise configuration de GitHub Actions dans le pipeline CI/CD](https://infosecwriteups.com/day-16-the-ci-cd-betrayal-how-a-tiny-github-action-misconfiguration-led-to-a-800-cloud-breach-05a229c0684d)
d'une startup crypto partageait silencieusement des identifiants
[AWS](https://www.corbado.com/blog/passkeys-amazon-cognito), aidant les attaquants à miner 800 dollars US en
cryptomonnaie.

Les analyses SAST/DAST, la revue de code sécurisée et l'analyse des dépendances peuvent
identifier les vulnérabilités de sécurité courantes. Elles peuvent aller des attaques par
injection à la désérialisation non sécurisée et aux références d'objets directes non
sécurisées, mais ces problèmes persistent lorsque la sécurité ne reçoit aucune attention.

L'intégration de la sécurité dans le cycle de vie du développement logiciel (SDLC) permet
aux [développeurs](https://www.corbado.com/fr/blog/aide-memoire-cles-dacces) d'identifier et de résoudre les
vulnérabilités de sécurité, qu'ils peuvent ensuite mettre en œuvre dans leurs applications
web avant le déploiement en production. La prévention de ces problèmes nécessite que les
organisations mettent en œuvre trois pratiques de sécurité fondamentales, qui comprennent
l'analyse automatisée, la gestion des dépendances et les revues de code sécurisées.

## 8. Processus de surveillance et de remédiation insuffisants

Les organisations continuent de subir des violations de sécurité en grande partie parce
qu'elles ne peuvent pas reconnaître les indicateurs d'avertissement et manquent de
processus de remédiation définis pour les anomalies du système. Elles doivent surveiller
constamment leurs systèmes informatiques et établir une procédure de réponse claire pour
les violations de sécurité, en suivant les normes actuelles de l'industrie à la lumière de
[la violation d'Uber en 2022](https://www.researchgate.net/publication/383425090_Dissecting_The_Uber_Security_Breach_Root_Cause_Analysis_and_Mitigation_Strategies).
Sans journalisation complète des événements de sécurité, les organisations peinent à
surveiller le [bourrage d'identifiants](https://www.corbado.com/fr/blog/mots-de-passe-complexes-bientot-craques),
les tentatives d'accès inhabituelles aux appareils ou les transactions de jetons
anormales.

Les organisations trouvent difficile de détecter les tentatives d'authentification et de
[connexion](https://www.corbado.com/fr/faq/connexion-second-appareil-cle-acces-liee) ou d'enregistrer les
événements d'inscription des utilisateurs car les informations qu'elles collectent
manquent de détails suffisants pour une identification précoce de l'abus des droits de
sécurité.

Les systèmes de l'organisation identifient et gèrent les événements anormaux grâce à une
télémétrie axée sur la vie privée et à des procédures de réponse algorithmiques
automatisées. Les capacités de
[détection](https://www.corbado.com/fr/blog/le-role-de-lia-dans-la-detection-des-cybermenaces) et de réponse de
l'IA aideront les organisations à identifier les relations entre les événements de
sécurité et à empêcher les violations de se produire.

## 9. Conclusion

La partie la plus frustrante de l'étude des violations de MGM, Snowflake,
[Uber](https://www.corbado.com/blog/uber-passkeys) et CircleCI est de comprendre que ces incidents auraient pu
être évités. L'incident est devenu inévitable parce que la technologie actuelle manquait
des capacités nécessaires que les [entreprises](https://www.corbado.com/fr/blog/violations-donnees-japon) axées
sur la sécurité utilisaient déjà pour leurs systèmes d'authentification.

Toutes les organisations de ce rapport avaient la possibilité de déployer des clés d'accès
avant que leurs systèmes ne soient piratés. Alors que les clés d'accès étaient une
technologie disponible et mature entre 2022 et 2024, les
[Device Bound Session Credentials](https://www.corbado.com/blog/device-bound-session-credentials-dbsc) (DBSC)
n'ont pas été largement disponibles avant 2024. Le système comprenait de multiples
contrôles de sécurité dans le cloud, tels que l'application du
[MFA](https://www.corbado.com/fr/blog/comment-passer-totalement-sans-mot-de-passe), les listes d'autorisation du
réseau, l'IAM au moindre privilège et la surveillance. Cependant, ces contrôles
nécessitaient une configuration manuelle pour une protection complète.

Les équipes de sécurité de certaines organisations soutenaient ces contrôles, mais elles
n'ont pas réussi à vaincre la résistance au changement à l'échelle de l'entreprise. Le
résultat a entraîné l'exposition des données personnelles de plus de 600 millions de
personnes, des enquêtes réglementaires et des pertes totales qui ont dépassé des centaines
de millions.

Des organisations ont mené des recherches démontrant que les attaques basées sur les
identifiants augmenteront à un rythme accéléré, de sorte que les organisations doivent
gérer cette menace de sécurité critique immédiatement. Votre organisation doit déterminer
si elle adoptera des systèmes d'authentification modernes avant ou après que d'autres
organisations utilisent votre échec de sécurité comme exemple dans leurs enquêtes sur les
violations.

Les outils de sécurité des applications existent et ils fonctionnent automatiquement grâce
à un processus simple qui ne nécessite aucune procédure d'installation complexe. Le ROI
est mesurable. La communauté de la sécurité manque d'un sentiment d'urgence, ce qui lui
permettrait de reconnaître la modernisation de l'authentification comme un contrôle de
sécurité essentiel. L'organisation doit agir immédiatement, car le prochain appel au
support technique, le prochain email de [phishing](https://www.corbado.com/glossary/phishing) et la prochaine
charge utile d'infostealer se transformeront en un incident à cent millions de dollars.

## Foire Aux Questions

### Comment la violation de CircleCI a-t-elle contourné l'authentification à deux facteurs ?

Lors de la violation de CircleCI en 2022, un malware infostealer sur l'ordinateur portable
d'un employé a directement volé les cookies de session actifs. Étant donné que les cookies
de session agissent comme des jetons porteurs accordant un accès immédiat, les attaquants
les ont utilisés pour contourner complètement l'authentification à deux facteurs et
accéder aux systèmes de production.

### Quelle est la différence entre DBSC et les cookies de session standard en matière de sécurité ?

Les cookies de session standard peuvent être volés par un malware infostealer et
réutilisés depuis n'importe quel appareil, contournant ainsi les contrôles
d'authentification. Les
[Device Bound Session Credentials](https://www.corbado.com/blog/device-bound-session-credentials-dbsc) (DBSC)
utilisent des méthodes cryptographiques pour lier une session à l'appareil spécifique qui
l'a créée, de sorte que les cookies volés ne peuvent pas être rejoués depuis des machines
contrôlées par des attaquants.

### Pourquoi le contrôle d'accès défaillant a-t-il causé des dommages si étendus lors de la violation de Snowflake ?

La violation de Snowflake a compromis plus de 165 organisations clientes car les
environnements individuels des locataires manquaient d'application du
[MFA](https://www.corbado.com/fr/blog/comment-passer-totalement-sans-mot-de-passe), ce qui signifie qu'un seul
ensemble d'identifiants volés pouvait déverrouiller des entrepôts entiers de données
clients. Ticketmaster a vu à lui seul 560 millions d'enregistrements clients exposés en
raison de cette seule lacune de contrôle.

### Quelle faille de sécurité du SDLC a conduit à l'incident de minage de cryptomonnaie via GitHub Actions ?

Un workflow GitHub Actions mal configuré dans le pipeline CI/CD d'une startup crypto
divulguait silencieusement des identifiants [AWS](https://www.corbado.com/blog/passkeys-amazon-cognito) à des
attaquants, qui les ont utilisés pour miner 800 dollars US en cryptomonnaie. L'article
identifie les scans automatisés SAST/DAST, la gestion des dépendances et les revues de
code sécurisées comme les trois pratiques qui auraient permis de détecter cette mauvaise
configuration avant le déploiement en production.