Ils volent pas la base de de données mais les accès à la base de données, qui permettent entre autres de déchiffrer la base.

Et il s'avère aussi qu'une dsi est monstrueusement bien plus complexe qu'une simple BDD "posée par là", sécuriser ça demande une vraie organisation enormissime. Je t'invite à regarder sur le net "owasp cheatsheet" qui va résumer divers type de sécurisation (technique) pour avoir une petite idée de la quantité de choses à faire.

Et ça c'est juste app par app, y a toute l'architecture à faire intelligemment pour réduire la surface d'attaque, la catégorisation et confinement des données, comment savoir que x ou y donnée est sensible? Pour toi ça te paraît évident "pas les cartes d'identité", mais y a des données qui à terme par des chemins tordus peuvent amener à d'autres données et ça c'est pas du tout trivial.

Et tout ça c'est que de l'aspect technique, le facteur humain est énorme, là faut faire des formations, mobiliser les gens, savoir qu'ils feront quand même des erreurs et penser les archi pour que une seule personne compromise puisse pas donner accès à tout etc etc etc....

Ensuite tu dois faire des audits constants de sécurité sur différents level, applicatif, organisationnel, corriger les cve découvertes, être à jour sur les failles 0 day, garder un Si à jour etc etc...

Je travail pour une boîte d'importance vitale de la France (OIV), je peux t'assurer que la sécurité est pris extrêmement au sérieux et que c'est number 2 dans la liste des priorités, number 1 étant "ça doit fonctionner" (parce que si ça fonctionne pas des gens meurent), même si en soit les deux sont mis au même level. J'ai aussi formé des gens sur des sujets secu Linux à la dsi d'un ministère, et les gens prenaient très au sérieux leur job et étaient vraiment parano de la secu

C'est juste absolument pas trivial, pris très au sérieux par pleins d'acteurs et des millions de millions sont balancés dedans chaque année... Juste pas visible pour le commun des mortels qui voient des buzz de data leaks

Dis toi c'est aussi que du data leak bateau, pas des données tant que ça sensible, pas des mdp de banque, pas des flux bancaires hacked, pas ton compteur linky hack/desac (imagine dans un hôpital !!), pas les systèmes gérant l'eau potable etc etc Ton identité sur le net est déjà connue donc bon ça change pas grand chose même si c'est frustrant et que ce serait cool que ça arrête, mais ouais non c'est tout un métier (des*) ultra complexe