Les violations de données signalées aux États-Unis ont atteint un niveau record en 2025

Analyse des causes, conséquences et impact industriel d’une recrudescence des cyberattaques

Ce qu’il faut retenir

• Les violations de données aux États-Unis ont atteint un niveau record en 2025, avec 3 322 incidents signalés, soit une augmentation de 4 % par rapport à l’année précédente.
• Les cyberattaques restent la principale cause, responsables de 80 % des violations de données, ciblant principalement des informations personnelles identifiables telles que les numéros de sécurité sociale et les informations bancaires.
• Les secteurs des services financiers, de la santé et des services professionnels sont ceux qui ont enregistré le plus grand nombre de violations.
• Le nombre de notifications de violation envoyées aux consommateurs a fortement diminué par rapport à 2024, probablement en raison d’un nombre moins élevé de violations de grande ampleur.
• Les modifications réglementaires ont peut-être contribué à la hausse des taux de signalement, ce qui ne permet pas de savoir si le nombre d’incidents réels a augmenté ou si la transparence s’est améliorée.

Selon l’organisation à but non lucratif Identity Theft Resource Center (ITRC), le nombre de violations de données signalées l’année dernière a atteint un niveau record aux États-Unis, avec 3 322 cas signalés, ce qui représente une augmentation de 4 % par rapport à l’année précédente.

Cependant, le nombre de notifications de violation envoyées l’année dernière (environ 279 millions) a fortement diminué par rapport à l’année 2024, au cours de laquelle 1,4 milliard de notifications ont été envoyées à la suite de plusieurs incidents de grande ampleur.

Il est toutefois difficile de savoir si cette hausse des violations de données traduit une réelle hausse des incidents ou si elle reflète simplement le fait qu’elles sont mieux signalées qu’avant. De plus en plus de réglementations exigent leur signalement. Il se peut donc simplement que davantage d’incidents soient signalés.

Ce qui est évident, cependant, c’est que 80 % de ces violations (2 656 incidents) étaient le résultat direct de cyberattaques. Dans ces cas, les cybercriminels ont principalement ciblé les informations personnelles identifiables, qui sont difficiles à modifier, plutôt que les numéros de cartes de crédit, qui peuvent être remplacés plus facilement. Deux tiers des violations signalées l’année dernière impliquaient des numéros de sécurité sociale, suivis d’un tiers qui concernaient des coordonnées bancaires, des numéros de permis de conduire ou les deux.

Les sociétés de services financiers ont signalé le plus grand nombre de violations (739), suivies par la santé (534), les services professionnels (478), l’industrie manufacturière (299) et l’éducation (188).

L'impact d'une violation de données réussie

Aussi inquiétant que cela puisse paraître, il ne faut pas oublier que les États-Unis comptent des dizaines de millions d’entreprises, le chiffre de 3 322 incidents est donc à relativiser. Bien sûr, toutes les entreprises ne signalent pas chaque violation de données, mais dans l’ensemble, de nombreuses organisations semblent faire un travail crédible pour protéger les données.

Malheureusement, lorsqu’il y a un incident, l’impact est généralement important. Une autre enquête menée par l’ITRC auprès de 1 040 consommateurs révèle que 80 % des personnes interrogées ont reçu une notification de violation de données au cours des 12 derniers mois. Près de 40 % ont déclaré avoir reçu trois à cinq notifications distinctes au cours de l’année écoulée.

Pas moins de 88 % des personnes ayant reçu une notification de violation de données ont subi au moins une conséquence négative après une violation, notamment une augmentation des tentatives d’hameçonnage ciblées après une violation (54 %), une augmentation des courriers indésirables ou des appels automatisés (49 %), une augmentation des tentatives d’hameçonnage ou d’escroquerie (40 %) et une tentative de prise de contrôle d’un compte existant (40 %).

Toutes ces attaques n’aboutissent pas, certes, mais elles sont manifestement assez nombreuses pour justifier des investissements constants en cybersécurité. Le défi, bien sûr, est de trouver le bon équilibre entre la menace pour l’entreprise et le coût total de l’investissement dans la cybersécurité.

Alors que le pourcentage du budget informatique alloué à la cybersécurité a augmenté ces dernières années, de plus en plus de dirigeants d’entreprises s’inquiètent. Dans leur esprit, chaque dollar dépensé pour la cybersécurité est un dollar de moins qui pourrait être mieux utilisé pour générer des revenus supplémentaires.

Les responsables de la cybersécurité qui cherchent activement à augmenter leurs dépenses chaque année se heurteront inévitablement à un certain scepticisme quant au risque réel encouru par l’entreprise. Le défi, comme toujours, est de garantir le bon niveau de cybersécurité sans se ruiner.