Les 17 plus grandes cyberattaques jamais enregistrées aux Pays-Bas

Les cyberattaques les plus importantes aux Pays-Bas présentent toutes un point commun dérangeant : elles sont rarement le fait d’un hacker de génie. Elles commencent par un mot de passe utilisé à deux reprises, un VPN dépourvu d’authentification multifactorielle, un e-mail de hameçonnage qui semblait authentique ou un fournisseur qui n’a jamais fait l’objet d’une vérification. Cette liste recense dix-sept cas néerlandais avérés, allant de la plus grande violation de données dans le secteur des télécommunications du pays à un géant des logiciels hospitaliers, en passant par la KNVB et une chaîne de cabinets dentaires, ainsi que leur coût.

Les chiffres relatifs à ces affaires ne cessent d’augmenter. L’Autorité néerlandaise de protection des données a reçu 39 407 signalements de violations de données en 2025, contre 37 839 l’année précédente, dont 2 428 étaient dues à une cyberattaque et à une forte augmentation des violations liées au hameçonnage. Dans le rapport « Cybercrimebeeld Nederland 2026 », publié le 3 septembre 2026, la police et le ministère public estiment que 2,5 millions de Néerlandais ont été victimes de cybercriminalité ou de fraude en ligne en 2025. Si vous souhaitez d’abord acquérir les notions de base, découvrez ce qu’est une cyberattaque; ci-dessous, nous passons directement aux cas, en commençant par les plus récents.

Les plus grandes cyberattaques aux Pays-Bas

1. Odido (2026)

Le 12 février 2026, l’opérateur de télécommunications Odido a confirmé la plus importante fuite de données de l’histoire des Pays-Bas. Le collectif de hackers ShinyHunters avait réussi à accéder à un fichier contenant les données d’environ 6,2 millions de comptes clients d’Odido et de sa marque Ben, et affirmait détenir des données sur plus de 8 millions de clients actuels et anciens au total, soit plus de 21 millions d’enregistrements. Les noms complets, adresses, numéros de téléphone, dates de naissance, adresses e-mail, numéros de compte bancaire, ainsi que les numéros et dates d'expiration des passeports et des permis de conduire ont été volés. Les mots de passe et les relevés d'appels n'ont pas été compromis.

L'intrusion relevait purement de l'ingénierie sociale: les cybercriminels ont obtenu par hameçonnage les mots de passe de plusieurs employés du service client par e-mail, puis les ont appelés en se faisant passer pour le service informatique afin de les amener à contourner l'authentification multifactorielle. Odido a refusé de payer la rançon, à la suite de quoi le groupe a publié l'intégralité du jeu de données. Une action collective contre l'entreprise a été intentée dans les deux mois qui ont suivi. Un simple appel téléphonique à un employé du service d'assistance a suffi à exposer un tiers de la population du pays.

2. ChipSoft (2026)

Le 7 avril 2026, une attaque par ransomware a touché ChipSoft, la société à l'origine de HiX, le dossier médical électronique utilisé par environ les trois quarts des hôpitaux néerlandais. ChipSoft a mis hors ligne Zorgportaal, HiX Mobile et sa plateforme Zorgplatform par mesure de précaution, et au moins onze hôpitaux, dont l'Erasmus MC et le Medisch Spectrum Twente, se sont déconnectés du fournisseur. Le centre de sécurité des soins de santé Z-CERT et le NCSC ont coordonné la réponse à cette attaque.

Deux semaines plus tard, le groupe se faisant appeler « Embargo » a affirmé avoir dérobé environ 100 gigaoctets de données et a menacé de les publier. ChipSoft a confirmé avoir négocié avec les pirates et a déclaré, le 28 avril, que les données volées avaient été détruites. La question de savoir si une rançon a été versée, et pour quel montant, n’a jamais été révélée. Pour les hôpitaux, la leçon était sans appel : un seul fournisseur peut mettre hors service les dossiers médicaux de tout un pays, ce qui explique pourquoi la sécurité de l’information dans le secteur de la santé est considérée comme une discipline à part entière.

3. Diagnostic clinique et dépistage du cancer du col de l'utérus (2025)

En août 2025, Bevolkingsonderzoek Nederland a annoncé que des malfaiteurs avaient dérobé les données de plus de 485 000 femmes ayant participé au programme national de dépistage du cancer du col de l'utérus. La fuite s'est produite chez Clinical Diagnostics à Rijswijk, un laboratoire appartenant à Eurofins et chargé d'analyser les échantillons. Parmi les fichiers volés figuraient des noms, des adresses, des numéros d'identification nationale, des résultats d'examens et les noms des médecins prescripteurs, certains de ces fichiers remontant à 2016.

Les pirates ont exigé une rançon à Eurofins et ont menacé de publier les données. Le parquet a ouvert une enquête pénale, l’Inspection de la santé et de la jeunesse a lancé une enquête sur la sécurité du laboratoire, et le programme de dépistage a suspendu sa collaboration avec ce dernier. Il s’agit de la plus importante fuite de données médicales jamais enregistrée aux Pays-Bas, qui a touché des personnes qui n’avaient fait que répondre à une invitation à passer un test de routine.

4. Ministère public (2025)

Le 17 juillet 2025, le ministère public a déconnecté l'ensemble de son environnement informatique d'Internet après que le NCSC eut signalé une vulnérabilité dans Citrix NetScaler, le système permettant l'accès à distance. L'enquête technique a par la suite confirmé que cette vulnérabilité avait bel et bien été exploitée. Aucune manipulation ni aucun vol de données n'a été constaté, mais cette mesure de précaution a à elle seule coûté cher.

Pendant près de trois semaines, les procureurs n'ont pas pu travailler à distance, les dossiers étaient en partie inaccessibles et les procédures judiciaires ont été retardées. Le service de messagerie électronique n'a été rétabli que le 7 août, et l'organisation a repris ses activités en ligne progressivement. Cette affaire montre les conséquences qu'un seul équipement non mis à jour, situé à la périphérie d'un réseau, peut avoir sur une organisation dont dépend l'ensemble de la chaîne de justice pénale.

5. Université technique d'Eindhoven (2025)

Le samedi soir 11 janvier 2025, l’équipe informatique de l’Université technique d’Eindhoven a détecté une activité suspecte sur ses serveurs et a coupé le réseau dans la nuit même. Pour les 14 000 étudiants, les cours ont été interrompus pendant une semaine entière, les examens ont été reportés et les systèmes sont restés indisponibles pendant environ une semaine et demie. Selon l’évaluation réalisée par l’université elle-même, le pirate s’apprêtait à déployer un rançongiciel.

La cause s'est avérée d'une banalité affligeante: l'attaquant s'est connecté via le VPN à l'aide de mots de passe provenant de comptes dont on savait déjà qu'ils avaient fait l'objet d'une fuite. Le VPN ne disposait pas encore d'authentification multifactorielle, et rien n'indiquait que d'anciens mots de passe compromis étaient toujours utilisés. Depuis, l'université a remplacé son VPN et y a mis en place l'authentification multifactorielle.

6. Police nationale (2024)

En septembre 2024, la police néerlandaise a signalé que des pirates avaient accédé à une liste d'adresses globale d'Outlook et volé les coordonnées professionnelles d'environ 62 000 policiers : noms, adresses e-mail, numéros de téléphone et, dans certains cas, des données et des photos à caractère privé. Les adresses e-mail d'organisations partenaires ont également été dérobées.

Les services de renseignement AIVD et MIVD, qui ont alerté la police de cette intrusion, estiment qu'il est très probable qu'un État étranger soit à l'origine de cet acte. Il ne s'agissait pas d'une attaque par ransomware et aucun système n'a été mis hors service, mais les conséquences ont été graves : pour les agents travaillant sous couverture ou sur des affaires sensibles, la divulgation d'un nom et d'un numéro de téléphone constitue un problème de sécurité personnelle, et pas seulement une atteinte à la vie privée.

7. KNVB

En avril 2023, la KNVB a été victime d’une attaque par ransomware menée par le groupe russophone LockBit, qui a menacé de divulguer des documents sensibles si la fédération de football ne s’acquittait pas de la somme réclamée. En septembre, la KNVB a confirmé avoir cédé à cette demande. Le montant exact n’a jamais été rendu public, mais la rançon demandée s’élèverait, selon certaines sources, à environ 1 million d’euros. Le président de l’Autorité néerlandaise de protection des données a réagi vivement, affirmant que le paiement de la rançon entretenait « un modèle économique répréhensible », car rien ne garantit que les criminels ne vendront pas les données de toute façon.

Lockbit a menacé de partager jusqu'à 300 Go de données, y compris des passeports et des informations salariales des joueurs d'Oranje. La KNVB a déclaré avoir payé la rançon, mais que les informations pourraient toujours être divulguées.

8. Commune de Hof van Twente

« Bonjour, besoin de récupérer vos données ? Contactez-nous rapidement. » C'est le message que Hof van Twente a reçu en décembre 2020. La municipalité s'est avérée avoir été piratée, et ses services à la communauté ont été interrompus pendant des mois à cause de cela. Les cybercriminels ont demandé une rançon de 750 000 euros, mais Hof van Twente a refusé de payer.

De ce fait, tous les systèmes informatiques ont dû être entièrement refaits. Cela a coûté à la municipalité 4,2 millions d'euros de dommages-intérêts, soit environ 120 euros par habitant.

Les hackers ont pu s'introduire sur l'un des serveurs car le mot de passe s'est avéré être « Welkom2020 ». De plus, des précautions plus élémentaires n'avaient pas été prises par la municipalité.

9. Université de Maastricht

En 2019, l'université de Maastricht a versé une rançon de 200 000 après avoir été victime d'une cyberattaque. Le rançongiciel a paralysé les systèmes informatiques de l'université pendant plusieurs mois. À l'époque, l'université avait déclaré ne voir d'autre issue que de payer la rançon.

Suite à une enquête menée par Fox-IT, il est apparu que la fuite de données avait été causée par une attaque de phishing. Quelqu'un au sein de l'organisation universitaire avait cliqué sur un lien de phishing qui semblait authentique.

Une fois les cybercriminels infiltrés, ils ont également profité de multiples mises à jour de sécurité non effectuées par l'université. Après un certain temps, ils avaient pris en otage l'ensemble du réseau. Les acteurs malveillants ont désactivé le logiciel antivirus et arrêté les systèmes.

Les sauvegardes étaient également connectées au réseau, ce qui a permis aux acteurs malveillants de les chiffrer également.

C'est l'une des rares histoires de fuites de données qui connaisse une fin plutôt positive. En 2022, les autorités ont retrouvé une partie de la rançon qui avait été payée en cryptomonnaie. Comme le bitcoin avait pris de la valeur, elles ont en fait réalisé un gros profit en la récupérant. Les 200 000 euros qu'elles avaient payés étaient désormais évalués à 500 000.

10. VDL

VDL Groep, un grand groupe de 105 entreprises réparties en Europe, en Amérique et en Asie, a été victime d'une attaque par rançongiciel en 2021. Les 105 entreprises ont été touchées par l'attaque, ce qui a mis à l'arrêt un grand nombre de leurs usines et les a empêchées de communiquer par e-mail. Le montant de la rançon exigée par les cybercriminels n'a pas été divulgué.

En 2021, VDL Groep employait plus de 15 000 personnes dans le monde et a réalisé un chiffre d'affaires de 4,7 milliards d'euros en 2020.

11. Van der Helm Logistics

Richard van der Helm, PDG de Van der Helm Logistics, a toujours affirmé ne jamais payer les criminels. C'est ce qu'il pensait jusqu'à ce qu'il découvre que les systèmes informatiques de son entreprise de logistique avaient été piratés. Les systèmes étaient complètement arrêtés et les cybercriminels ont exigé une rançon. Deux jours plus tard, il a payé la rançon.

Après qu'une entreprise de sécurité lui ait dit que tous les systèmes devaient être relancés et reconstruits, il savait que cela lui prendrait des semaines. Cela signifiait que les obligations contractuelles ne seraient pas respectées et que l'entreprise ferait faillite en un rien de temps.

Van der Helm utilisait un VPN obsolète et n'employait pas de logiciel de détection. Les acteurs malveillants avaient tenté d'innombrables variations de mots de passe. Cette activité aurait été détectée si un système de détection avait été en place.

12. Commune d'Alkmaar

La municipalité d'Alkmaar a également été victime d'un cybercriminel. Une personne se faisant passer pour le PDG d'une autre organisation a envoyé une facture de 236 000 euros, qui a été payée sous la pression du faux PDG. Cette forme de fraude à l'identité est un phénomène que nous observons de plus en plus souvent ces dernières années.

Plus tôt, en 2020, Alkmaar avait déjà été victime de cybercriminalité lorsqu'un employé a cliqué sur un lien de phishing. Cela a entraîné la divulgation publique des données de milliers de résidents pendant une courte période.

Ces deux incidents sont des exemples clairs de la raison pour laquelle le Security Awareness Training est crucial.

13. Le groupe De Mandemakers

En 2021, le groupe Mandemakers a été victime d'une attaque par rançongiciel. L'attaque a entraîné l'arrêt complet de tous les systèmes informatiques. L'entreprise n'a pas souhaité divulguer trop de détails sur l'attaquant ou le montant de la rançon, mais a indiqué qu'il s'agissait d'une « somme considérable ». Dans la plupart des cas, surtout en 2021, les attaquants exigent des sommes importantes en bitcoin ou autre cryptomonnaie.

14. RTL

Un autre exemple frappant de cyberattaque a été lorsque RTL a été touchée par un ransomware. La rançon de 8500 euros n'était pas élevée, ce qui est intéressant étant donné que RTL est une marque si connue.

Dans ce cas, les attaquants ont eu accès au réseau de RTL car les identifiants de connexion d'un employé d'une entreprise informatique externe ont été dérobés. Cette entreprise était responsable du réseau de RTL. Il n'y avait pas d'authentification à deux facteurs en place, ce qui a permis aux attaquants d'accéder facilement au réseau.

Les acteurs malveillants ont utilisé le ransomware CryTOX pour chiffrer des fichiers sur plusieurs ordinateurs. Un message s'affichait à l'écran, demandant le paiement d'une rançon. Plusieurs systèmes internes importants, tels que le système éditorial et le système de planification publicitaire, ont également été mis hors service.

15. Mediamarkt

En 2021, Mediamarkt a été victime d'une attaque par rançongiciel. Cela a interrompu l'ensemble de leurs activités en ligne pendant des semaines, obligeant l'entreprise à ne vendre que les produits disponibles en magasin. L'attaque a touché de nombreux systèmes Windows de Mediamarkt, y compris 49 magasins à travers les Pays-Bas.

L'organisation derrière cette attaque s'appelle Hive. Ce groupe est connu pour exiger généralement des millions de dollars de rançon en bitcoins. Lorsque Mediamarkt a initié une discussion avec le groupe, ils ont répondu aussi aimablement qu'un agent de service client ordinaire. « Bonjour, bienvenue chez Hive. Comment puis-je vous aider aujourd'hui ? » Et après quatre heures sans réponse, leur deuxième message est : « Pour rendre vos fichiers à nouveau accessibles, vous devrez payer 50 millions de dollars en bitcoins. »

Mediamarkt décide de ne pas payer cette rançon et les négociations durent longtemps. Au final, ils ne paient rien du tout.

16. Colloseum Dental Benelux

Colloseum Dental Benelux, une organisation regroupant 120 cabinets dentaires aux Pays-Bas, a été contrainte de fermer temporairement après avoir été victime d'une cyberattaque. L'organisation traite plus de 600 000 patients par an.

Tous les cabinets ont été touchés par une attaque de ransomware. De ce fait, les dentistes n'ont pas pu accéder aux dossiers de leurs patients, ce qui a rendu impossible la réalisation de tout traitement. Les sauvegardes n'étaient pas accessibles.

La rançon demandée a été payée par l'entreprise dentaire. « C'était le seul moyen pour nous de minimiser le risque à court terme pour toutes les parties impliquées. » Le montant exact de la rançon n'a pas été communiqué.

17. ID-Ware

En 2022, l'entreprise informatique ID-Ware a été piratée. ID-Ware était responsable des données personnelles de 3 500 fonctionnaires, entre autres entités. ID-Ware a découvert que des hackers avaient tenté d'infiltrer leurs systèmes. Grâce à un ransomware, les cybercriminels ont chiffré des données sensibles.

ID-Ware a rapidement récupéré toutes les données, mais les spécialistes de la sécurité ont découvert qu'un grand nombre de fichiers avaient été rendus publics.

Selon De Volksrant, l'organisation ALPHV/BlackCat est responsable de l'attaque. Elle a publié de nombreuses informations sur le dark web.

Aperçu des plus importantes cyberattaques aux Pays-Bas

Dix-sept cas répertoriés dans un tableau. Lisez la dernière colonne : hameçonnage, mot de passe réutilisé, fournisseur ou absence de deuxième facteur d'authentification. C'est toujours la même faille.

Ce que ces attaques ont en commun

Si l'on examine ces dix-sept cas les uns à côté des autres, on constate que la technologie n'est presque jamais l'élément le plus intéressant. Odido a perdu les données de millions de personnes parce qu'un employé du service d'assistance a cru un appelant se présentant comme un membre du « service informatique ». Hof van Twente a été piraté avec le mot de passe « Welkom2020 ». L'université technique d'Eindhoven a été victime d'une fuite de mots de passe sur un VPN dépourvu d'authentification à deux facteurs. RTL a été piratée via les identifiants d'un prestataire informatique externe, là encore sans authentification à deux facteurs. À Maastricht et à Alkmaar, tout a commencé lorsqu'un employé a cliqué sur un lien de hameçonnage. ChipSoft et le laboratoire d'analyse mettent en évidence un autre thème récurrent : vos données sont confiées à des prestataires, et leur employé le plus vulnérable devient également votre problème.

Ces chiffres corroborent les tendances générales. Dans le rapport 2025 de Verizon sur les enquêtes relatives aux fuites de données, environ six incidents confirmés sur dix impliquaient une action humaine : un clic, un appel téléphonique auquel on a cru, un fichier envoyé à la mauvaise personne. Le bilan du NCSC sur les ransomwares en 2025 a recensé 65 attaques signalées à la police et a souligné qu’une part croissante d’entre elles commençait par le piratage d’un compte plutôt que par une faille technique. Beaucoup de gens continuent de penser que ces attaques ne touchent que les grandes entreprises. Ce n’est pas le cas : les mêmes groupes appliquent la même stratégie contre une entreprise de logistique comptant quelques dizaines d’employés, et les petites entreprises disposent de moins de personnel pour détecter un problème.

Les conséquences d'une fuite de données pour votre entreprise

Chacun des cas cités ci-dessus constituait également une violation de données au sens juridique du terme : des données à caractère personnel ont été divulguées à des personnes non autorisées à y avoir accès. Au regard du RGPD, la manière dont cela s’est produit n’a pas d’importance. Une attaque par ransomware en est un exemple, tout comme un e-mail contenant une liste de clients envoyé à une mauvaise adresse, la perte d’un ordinateur portable ou un fournisseur qui laisse une base de données accessible. Il en découle trois obligations, qui s’appliquent aussi bien à un entrepreneur individuel qu’à un hôpital.

• Signalez-la à l'Autorité néerlandaise de protection des données dans un délai de 72 heures. Le délai commence à courir dès que vous constatez la violation, et non dès que vous en prenez conscience. La déclaration s'effectue via le portail de notification des violations de l'AP. Vous ne pouvez renoncer à la déclaration que si la violation est peu susceptible de présenter un risque pour les personnes concernées, et vous devez être en mesure d'en expliquer les raisons.
• Informez les personnes concernées lorsque le risque est élevé. La fuite d'identifiants de connexion, de données médicales, de documents d'identité, de données financières ou de données relatives à la religion ou à l'origine d'une personne est considérée comme un risque élevé. Expliquez aux personnes concernées ce qui s'est passé et ce qu'elles peuvent faire, par exemple changer leur mot de passe ou rester vigilantes face à d'éventuelles fraudes. Les données correctement chiffrées, que le pirate ne peut pas lire, constituent la principale exception.
• Conservez une trace de chaque incident et préparez-vous à payer l’amende. Chaque violation, qu’elle soit signalée ou non, est consignée dans votre registre interne des violations. Le non-signalement peut entraîner une amende pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial ; pour la faille de sécurité sous-jacente, le plafond est fixé à 20 millions d’euros ou 4 %. Dans la pratique, les dommages se situent généralement ailleurs : reconstruction des systèmes, semaines de perte de productivité et clients qui ne vous font plus confiance.

Pourquoi les criminels veulent-ils ces données ? Parce qu’elles rapportent. Les noms, adresses et numéros d’identification nationale volés sont utilisés pour l’usurpation d’identité : commander des produits au nom d’autrui, ouvrir des comptes, signer des contrats. Les adresses e-mail et numéros de téléphone divulgués alimentent la prochaine vague d’hameçonnage et de smishing, qui s’avère bien plus convaincante lorsqu’elle utilise un véritable numéro de commande ou le nom d’un vrai médecin. Et ces données constituent le moyen de pression dans presque tous les cas modernes de ransomware : « payez, ou nous publions ». Le NCSC a noté qu’en 2025, les attaquants volaient systématiquement des données avant de crypter quoi que ce soit, et qu’ils s’abstenaient parfois carrément de procéder au cryptage.

Comment prévenir une cyberattaque ou une fuite de données ?

Aucune organisation ne peut se déclarer « inviolable ». Mais les cas cités ci-dessus montrent que la plupart des attaques auraient été stoppées à l'une de ces six étapes.

1. Authentification multifactorielle sur tous les services exposés à Internet : messagerie électronique, VPN, bureau à distance, panneau d'administration de votre site web. L'université technique d'Eindhoven (TU Eindhoven) et RTL ont toutes deux été piratées via une connexion sans deuxième facteur d'authentification.
2. Mettez à jour vos systèmes en quelques jours, et non en plusieurs mois. Les appareils VPN, les pare-feu et les passerelles de type Citrix sont les premières cibles recherchées par les pirates. Le ministère public a été hors service pendant trois semaines à cause de l'un d'entre eux.
3. Supprimez les anciens comptes et les mots de passe réutilisés. Vérifiez si vos domaines figurent dans des fuites de mots de passe connues, imposez des réinitialisations et supprimez les comptes des personnes qui ont quitté l'entreprise. Utilisez un gestionnaire de mots de passe pour que l'utilisation de mots de passe uniques devienne la solution la plus simple.
4. Des sauvegardes inaccessibles à un pirate. Les sauvegardes de Maastricht se trouvaient sur le même réseau et étaient chiffrées, comme toutes les autres données. Conservez au moins une copie hors ligne ou immuable, et testez la restauration.
5. Apprenez à connaître vos fournisseurs. Demandez à votre partenaire informatique, à votre laboratoire et à votre éditeur de logiciels comment ils gèrent l'authentification multifactorielle (MFA), l'application des correctifs et la gestion des incidents. Prévoyez une clause relative à la notification des violations de données dans le contrat. Les clients de ChipSoft l'ont appris par les médias.
6. Formez vos collaborateurs, et continuez à les former. Une seule session de sensibilisation par an ne changera pas le comportement d’une personne un vendredi après-midi, lorsqu’elle est sous pression. En revanche, des formations courtes et régulières, associées à des simulations réalistes d’hameçonnage, y parviennent. C’est là qu’intervient Guardey : des défis hebdomadaires de quelques minutes qui permettent de prendre l’habitude de repérer les tentatives d’hameçonnage, les escroqueries de type « CEO fraud » et les connexions suspectes, le tout grâce à un tableau de bord qui vous indique où se situent les risques. En savoir plus sur la formation à la sensibilisation à la sécurité.

Et si les choses tournent mal malgré tout : isolez-vous, appelez à l'aide, signalez l'incident dans les 72 heures et réfléchissez-y à deux fois avant de payer. La police, le parquet et l'Autorité de protection des données donnent tous le même conseil, et l'affaire de la KNVB montre pourquoi : payer ne permet pas de reprendre le contrôle des données, cela ne fait que financer la prochaine attaque.

Foire aux questions sur les cyberattaques aux Pays-Bas

Quelle a été la plus grande cyberattaque aux Pays-Bas ?

Si l'on se base sur le nombre de personnes concernées, la violation de données subie par Odido en février 2026 est de loin la plus importante : elle a touché environ 6,2 millions de comptes clients, y compris des numéros de pièces d'identité et des numéros de compte bancaire. La violation la plus sensible est le vol, en 2025, des résultats de dépistage du cancer du col de l'utérus de plus de 485 000 femmes. En termes d’impact sociétal, l’attaque par ransomware contre ChipSoft en avril 2026 se démarque, car elle a perturbé simultanément le système de gestion des dossiers médicaux de la plupart des hôpitaux néerlandais.

Combien de fuites de données sont signalées chaque année aux Pays-Bas ?

L'Autorité néerlandaise de protection des données a reçu 39 407 signalements de fuites de données en 2025, contre 37 839 en 2024. Environ 2 428 d'entre elles ont été causées par une cyberattaque, et l'AP a constaté une forte augmentation des fuites ayant pour origine une tentative d'hameçonnage. La plupart des signalements restent toutefois liés à des erreurs courantes, telles que l'envoi de données à un destinataire erroné.

Dois-je signaler une fuite de données ?

Oui, sauf si la violation ne risque pas de présenter un risque pour les personnes concernées. Signalez-la à l'Autorité néerlandaise de protection des données dans les 72 heures suivant sa découverte, informez les personnes concernées si le risque qu'elles encourent est élevé, et consignez chaque violation dans votre registre interne, y compris celles que vous n'avez pas signalées.

Faut-il payer la rançon après une attaque par ransomware ?

La police néerlandaise, le ministère public et l’Autorité de protection des données le déconseillent. Le paiement n’offre aucune garantie que les données volées seront supprimées, et il finance la prochaine attaque. Les organisations qui avaient testé des sauvegardes hors ligne, telles que Hof van Twente et Mediamarkt, ont pu refuser, et Odido a refusé même si les données ont ensuite été publiées. Celles qui ne l’ont pas fait, comme la KNVB et Colloseum Dental, ont estimé qu’elles n’avaient pas le choix.

Les petites entreprises sont-elles elles aussi la cible de cyberattaques ?

Oui, et de plus en plus. Les groupes spécialisés dans les ransomwares automatisent leur recherche de VPN vulnérables et de mots de passe divulgués ; la taille de l'entreprise n'a donc pratiquement aucune importance à leurs yeux. Van der Helm Logistics et Colloseum Dental figurent sur cette liste non pas parce qu'elles étaient connues, mais parce qu'elles étaient accessibles.

Les dix-sept organisations figurant sur cette liste disposaient de budgets, de services informatiques et, dans la plupart des cas, d’une politique de sécurité couchée sur papier. Ce qui leur manquait, le jour où cela comptait vraiment, c’était un collègue qui aurait pris le temps de réfléchir avant de cliquer, une connexion exigeant une authentification à deux facteurs, ou une sauvegarde hors de portée du pirate. Ce ne sont pas là des problèmes propres aux grandes entreprises. Ce sont précisément des éléments qu’une entreprise de vingt personnes peut mettre en place dès ce mois-ci, et c’est la raison pour laquelle cette liste n’a pas besoin de s’allonger davantage.