Revue des données exfiltrées (data mining)
Travail qui ouvre les fichiers volés pour en extraire les données personnelles et dresser la liste des personnes à notifier, par outils automatiques puis revue humaine, qui peut coûter plus que l'investigation technique elle-même.
La revue des données exfiltrées est le travail qui ouvre les fichiers volés lors d'une intrusion pour en extraire les données personnelles et dresser la liste des personnes à notifier. En février 2024, Change Healthcare, filiale d'UnitedHealth, subit un rançongiciel précédé d'une exfiltration massive. En octobre 2024, le groupe déclare à l'Office for Civil Rights du ministère américain de la santé environ 100 millions de personnes touchées ; en janvier 2025, il annonce environ 190 millions, et le chiffre déposé le 31 juillet 2025 atteint 192,7 millions. Entre ces dates, il a fallu ouvrir les fichiers volés. Le marché parle de data mining ou de document review. Une fois que l'investigation numérique a fixé ce qui est sorti, un prestataire spécialisé reconstitue le jeu volé, le déduplique, le passe dans des outils de détection (noms, numéros de sécurité sociale, IBAN (International Bank Account Number), données de santé). Des réviseurs humains tranchent ensuite les documents ambigus et construisent la liste des personnes à notifier, avec leur adresse et la catégorie de données en cause. Cette liste nourrit les notifications des articles 33 et 34 du règlement (UE) 2016/679, ou celles des lois des États américains. La double extorsion rend l'exercice presque systématique : le site de fuite publie un échantillon, et l'assuré doit savoir avant les journalistes ce qu'il contient. Pour le souscripteur, le poste se range dans les frais de réponse à incident ou dans les frais de notification selon le libellé, et la ligne de partage compte dès que l'un des deux est sous-limité. Sur un téraoctet de documents bureautiques, la facture peut dépasser celle de l'investigation technique, parce qu'elle se paie au document ou à l'heure de réviseur. Ce qui coince au sinistre, c'est la proportionnalité. L'assureur discute une revue intégrale quand un échantillonnage aurait suffi ; l'avocat de l'assuré répond par le risque de sous-notification devant l'autorité, plus cher qu'une revue trop large.
Cas d'école : une mutuelle fictive se fait voler 800 Go, soit 2 millions de fichiers. Après déduplication et filtrage automatique, 120 000 documents restent à revoir à la main. À 40 documents par heure et 60 euros l'heure de réviseur, cela fait 3 000 heures et 180 000 euros, plus 50 000 euros de traitement automatisé : 230 000 euros. L'investigation technique avait coûté 140 000 euros. Si la police range la revue sous une sous-limite de notification de 150 000 euros, 80 000 euros restent à l'assuré.
data mining, revue documentaire, revue des données volées, exploration des données exfiltrées, document review, analyse des fichiers exfiltrés
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.