Comment cette étude a été menée

Chaque chiffre décrit une seule analyse externe, achevée le 21 août 2026. Rien n'est repris d'une analyse antérieure, et aucune tendance ni amélioration n'est revendiquée par rapport à celle-ci.

Ce que nous avons examiné

Deux listes : 220 des organisations caritatives britanniques les plus connues et 236 des plus importantes par revenus. Les 220 et les 236 ont toutes été analysées.

⚠️ Les deux groupes ne sont jamais additionnés. 76 organisations figurent dans les deux : l'étude couvre donc 380 organisations distinctes. Un total combiné de « 456 organisations » les compterait deux fois — 456 correspond aux analyses, pas aux organisations.

La liste par revenus comprend aussi des établissements d'enseignement supérieur qui sont des organisations caritatives ou des organisations caritatives dispensées d'enregistrement — environ 35 universités, écoles indépendantes et instituts de recherche, soit à peu près 15 % de ce groupe. Cela compte lorsqu'on compare les deux : en excluant entièrement l'enseignement, l'exposition des salariés s'établit à 40 % contre 30 % ; l'écart se réduit mais subsiste.

Ce que nous n'avons pas fait

L'évaluation est externe et non intrusive. Elle utilise des informations déjà observables depuis l'Internet public et les registres publics. Aucune connexion n'a été effectuée, aucun mot de passe n'a été essayé, et aucun système n'a été sondé au-delà de ce que peuvent voir un visiteur web ordinaire et une analyse externe non intrusive.

Ce que l'évaluation ne prouve pas

Rien dans cette étude n'affirme qu'une organisation a été piratée. Les constats sur les identifiants décrivent des connexions qui circulent dans des collections criminelles, souvent récupérées sur des appareils infectés de salariés, de fournisseurs ou du public. Un port accessible ne prouve pas qu'une base de données soit accessible. Une adresse IP d'hébergement présente dans un flux de menaces peut refléter un autre locataire d'une infrastructure partagée.

La posture externe est la preuve d'une exposition, pas d'une intrusion. Nous pouvons voir qu'une fenêtre semble ouverte. Nous ne pouvons pas voir si quelqu'un est entré par là, et dans bien des cas, personne ne l'a fait.

Comment lire les scores

Lors de l'analyse du 21 août 2026, la page d'accueil ne s'est pas affichée pour notre outil d'analyse pour 67 organisations du groupe des plus connues et 70 du groupe par revenus — environ trois sur dix dans chacun. Dans bien des cas, il semble s'agir d'une défense anti-robots refusant une requête automatisée, ce qui constitue en soi un contrôle de sécurité. Aucun constat n'est émis pour la partie qui n'a pas pu être lue, mais l'organisation n'y obtient pas non plus de points.

Les scores publiés sont donc des planchers, pas des verdicts. Les deux moyennes de groupe de 65 pourraient monter jusqu'à 69 si toutes les pages d'accueil avaient répondu, et l'effet sur les scores les plus faibles est plus marqué que sur les moyennes : sur les 25 organisations les moins bien notées de chaque groupe, neuf dans chacun sortiraient de cette tranche. ⛔ Aucune organisation ne devrait être publiquement décrite comme « à risque » sur la seule base d'un score sans avoir d'abord vérifié si sa page d'accueil était lisible. Une défense anti-robots ne doit pas être confondue avec une sécurité insuffisante.

À propos des chiffres sur les identifiants

Les identifiants se répartissent en trois groupes distincts : les adresses des salariés de l'organisation sur son propre domaine, les propres adresses de l'organisation connectées à des services extérieurs, et les comptes de donateurs ou d'usagers. Les trois ne se chevauchent pas — leur somme correspond exactement au total du fournisseur de données sur chacune des 440 analyses d'associations caritatives vérifiées. Les comptes de donateurs sont entièrement exclus du chiffre principal, car ils décrivent en grande partie des infections par logiciel malveillant sur les propres appareils de membres du public plutôt que la sécurité de l'association, et personne au sein de l'association ne peut les réinitialiser.

Le deuxième groupe est souvent qualifié d'exposition « fournisseurs ». C'est trompeur, et nous n'employons plus ce terme : ce sont les propres adresses e-mail de l'association, connectées à la plateforme de quelqu'un d'autre. Lorsque le fournisseur de données nomme les services, il s'agit d'outils d'identité et de collaboration — connexion Microsoft, Salesforce, Zoom, Dropbox, Mimecast. Les comptes se trouvent sur les systèmes d'autres entreprises ; les identités sont celles de l'association.

⚠️ Ces chiffres couvrent toutes les périodes que détient le fournisseur de données, et non les douze derniers mois. Le fournisseur de données renvoie ce qu'il a collecté sur l'ensemble de ses enregistrements, sans fenêtre temporelle, et cette étude n'en applique aucune non plus. Rien ici ne doit être lu comme « volé au cours de l'année écoulée ».

L'ancienneté de l'exposition ne peut pas être établie pour la plus grande partie. Une date n'est fournie que pour le groupe des salariés sur leur propre domaine, et la plupart des enregistrements n'en portent aucune — 14 sur 65 organisations exposées dans le groupe des plus connues et 23 sur 99 par revenus. Le groupe des services extérieurs n'a aucun champ de date. Parmi celles qui en portent une, 9 organisations (4 %) et 14 (6 %) se situent dans les douze derniers mois — et ce chiffre plus faible est le seul de l'étude qui soit étayé par une date.

Le chiffre principal signifie donc « ces adresses figurent dans des collections d'identifiants », et non « ces mots de passe ont été volés cette année ». L'exposition est réelle et mérite d'être traitée dans tous les cas — un identifiant non daté n'est pas pour autant sans danger — mais la date n'est pas un élément dont nous disposons.

Les volumes bruts d'identifiants ne sont délibérément pas utilisés comme chiffre principal : la plupart des identifiants de titulaires de comptes concernent des membres du public, et les grandes organisations multiplient naturellement les occasions d'exposition de leurs salariés.

Lorsque l'étude signale des vulnérabilités logicielles connues, celles-ci sont déduites de numéros de version publiés plutôt que confirmées par des tests. Un numéro de version peut être erroné, et un correctif peut être appliqué sans que le numéro change. C'est une invitation à vérifier, pas un constat de vulnérabilité.

Où ces chiffres diffèrent du PDF

Les chiffres sur les identifiants présentés sur la page de l'étude ont été recalculés le 1er septembre 2026 directement à partir des décomptes du fournisseur de données, pour l'ensemble des 440 analyses d'associations caritatives. Les deux parcs sont présentés séparément, comme dans le rapport ; ils ne sont jamais additionnés.

Mesure	Les plus connues (220)	Les plus importantes par revenus (236)
Adresses de salariés sur leur propre domaine	65 (30 %)	99 (42 %)
Propres adresses sur des services extérieurs	94 (43 %)	140 (59 %)
L'un ou l'autre — le chiffre principal	102 (46 %)	148 (63 %)
…portant une date du fournisseur dans les 12 derniers mois	9 (4 %)	14 (6 %)
Comptes de donateurs uniquement (exclus)	69 (31 %)	41 (17 %)

Le PDF indique 44 % et 56 % pour la ligne du chiffre principal. La différence tient à la règle d'ancienneté : son traitement utilisait la date des salariés pour écarter l'enregistrement entier, y compris la partie services extérieurs, qui ne porte aucune date propre. Lire directement les catégories, sans déduire une date que le fournisseur de données n'a jamais donnée, produit les chiffres plus élevés ci-dessus. Toutes les autres lignes concordent avec le rapport à une organisation près.

Une ligne du rapport mérite une lecture attentive. « Pages de connexion internes déjà enregistrées » n'est pas une mesure indépendante — il s'agit exactement des mêmes organisations que la ligne sur l'exposition des salariés, 65 sur 65 et 99 sur 99. Le fournisseur de données renvoie les pages capturées précisément lorsqu'il détient des identifiants de salariés, si bien que les deux lignes portent des décomptes identiques. L'association est donc universelle plutôt que partielle, ce qui est une affirmation plus forte que ne le laisse penser la présentation du rapport.

Comparaison avec l'enquête gouvernementale

L'étude met ses constats en regard de la Cyber Security Breaches Survey 2025/26. Les deux répondent à des questions différentes et ne doivent pas être assimilées : les chiffres gouvernementaux portent sur des incidents déclarés que les organisations ont identifiés et dont elles se souviennent, tandis que ces chiffres décrivent une posture observée de l'extérieur. L'une ne remplace pas l'autre.

Périmètre et statut

Aucun statut d'enregistrement caritatif n'a été vérifié de manière indépendante. Aucune organisation nommée dans l'analyse sous-jacente n'a été contactée pour un droit de réponse. Cette étude n'est pas un conseil juridique, et ce n'est pas un verdict sur la sécurité d'une organisation — c'est le compte rendu de ce qui était visible de l'extérieur un jour donné.

Le rapport complet

Les sources, le tableau complet de comparaison avec l'enquête gouvernementale, et chaque chiffre avec sa réserve.

Lire le rapport complet (PDF en anglais, 19 pages)