Un indice n’est pas un incident
Une adresse professionnelle dans un fichier tiers, un ancien compte et un signal concernant un accès actif sont des situations différentes. Elles ne justifient pas automatiquement la même réaction.
Have I Been Pwned précise que sa couverture est incomplète et conserve les mentions historiques après un changement de mot de passe. Une absence de résultat ne garantit pas une absence d’exposition ; un résultat ne prouve pas qu’un accès fonctionne encore. [1]
Distinguer trois dates
Nous recommandons de séparer la date de l’événement, la première observation et la dernière vérification. Un élément découvert aujourd’hui peut concerner un événement ancien.
Une date inconnue doit rester indiquée comme telle. Des republications du même élément ne doivent pas devenir artificiellement plusieurs incidents nouveaux.
L’attribution avant le score
Vérifier si l’indice concerne un domaine, une identité précise, un service ou seulement un nom proche. Notre proposition de fiche minimale évite de constituer une collection de fichiers tiers.
- Source ou référence vérifiable
- Domaine ou identité autorisée
- Dates d’événement, d’observation et de contrôle
- Nature de l’indice et fiabilité de l’attribution
- Vérification recommandée, responsable et résultat
Un exemple concret
Cas fictif : l’ancienne adresse d’un salarié apparaît dans un fichier historique. La première question est de savoir si le compte et les accès applicatifs ont réellement été désactivés. Ce résultat seul ne démontre pas une attaque en cours.
Une activité inexpliquée sur un compte actif justifierait une investigation différente. Le suivi aide à choisir la vérification, sans la remplacer.
Ne pas oublier les sessions
Microsoft indique que des applications gèrent leurs propres jetons de session. Une modification centrale des accès ne ferme donc pas automatiquement chaque session applicative.
Nous recommandons une vérification par application, identité, droit et appareil avant de choisir une mesure. Tester des identifiants exposés pour renforcer artificiellement un constat ne fait pas partie de cette démarche. [2]
Définir la mission
Les domaines, identités, sources autorisées et intervalles sont convenus pour le Level 3. Un rapprochement de sources, une observation directe de sources dark web accessibles et une investigation d’incident sont des activités distinctes.
Le critère d’acceptation proposé : comprendre pourquoi un indice est pertinent, ce qui le justifie et ce qu’il faut vérifier ensuite. Les lacunes de couverture restent visibles.
À lire aussi
Sources et approfondissements
Sources primaires vérifiées le 26.09.2026.
Les sources et les limites sont indiquées dans l’article.