99 fuites de données en deux mois, l'ANSSI dévoile la terrible ampleur du piratage des ministères français

Avec près d'une centaine de fuite de données portées à la connaissance de l'ANSSI, les brèches de l'État sont nombreuses. L'agence a publié mercredi son point de situation de l'opération REACTIV, lancée après les intrusions des derniers mois.

Au lendemain de son rapport sans fard sur le piratage de la Direction générale des Finances publiques, la DGFiP, l'ANSSI (l'agence française de cybersécurité) a fait un point de situation attendu de l'opération REACTIV, qui recense les violations de données, nombreuses, qui ont touché les services de l'État depuis le 1er août 2026. Entre les enseignants, élèves, contribuables, propriétaires ou inscrits sur la liste Bloctel, la liste des publics exposés s'allonge de page en page, presque jour après jour, et certains chiffres peuvent vite donner le tournis. Surtout, au-delà de cette avalanche de fuites, l'ANSSI pointe des failles d'une banalité presque désarmante.

Depuis le 1er août 2026, 99 fuites de données présumées ont été signalées à l'ANSSI. Après vérification, 67 se sont révélées bien réelles, et l'Agence en traite encore elle-même 32. Ce bilan reste provisoire, prévient-elle, les enquêtes se poursuivent aujourd'hui, et les chiffres peuvent encore bouger. Le rapport passe en revue sept pôles de l'État, de l'Éducation nationale à l'Agriculture, en passant par Bercy, la Transition écologique ou les services du Premier ministre. Quand les informations dérobées le justifiaient, les personnes concernées ont été prévenues, un moindre mal.

L'Éducation nationale est parmi les ministères les plus touchés, avec plus d'une dizaine d'académies visées depuis juillet. Fin juillet justement, une intrusion liée à l'application GAIA a potentiellement exposé l'identité, l'affectation, le grade et les indemnités de 4,35 millions d'enseignants. Le 17 août, une revendication a révélé le vol de la base élèves SIECLE de l'académie de Créteil, avec un million d'élèves concernés, avec leurs responsables légaux. Le 19 août, enfin, la DINUM, la direction interministérielle du numérique, repérait le compte piraté d'un agent sur Tchap, la messagerie instantanée de l'État. Ses conversations, jusque dans des salons de la DGFiP et du cadastre, ont été exfiltrées.

Ailleurs, ce n'est pas plus rassurant. À la DGFiP, environ 353 000 particuliers ont vu fuiter jusqu'à leur revenu fiscal de référence, et 252 000 professionnels leur SIREN et leurs coordonnées. Le cadastre a laissé filer des informations sur quelque 434 000 usagers. Zéro Logement Vacant, outil des collectivités pour remobiliser les logements durablement vacants, concernerait 48 millions de propriétaires. Et concernant Bloctel, en comparant les deux listes d'une archive téléchargée depuis le compte d'une entreprise, le cybercriminel a pu identifier environ 600 000 numéros inscrits, pour un service qui a pris fin le 11 août dernier.

Sans double authentification, les pirates entrent comme chez eux

S'il fallait désigner un fil rouge pour tou tça, ce serait Metabase, l'outil de visualisation de données qui souffre d'une faille d'injection SQL (CVE-2026-72898). En glissant du code malveillant dans une requête, un visiteur non authentifié accède à la base de l'application et s'octroie les droits d'administrateur. La brèche, hélas largement exploitée depuis début août, a fait tomber pas moins de neuf instances ministérielles, alors même qu'un correctif, ne tombez pas de votre chaise, est disponible depuis le 6 août. France VAE y a perdu l'intégralité de ses données utilisateurs, Qualicharge 102 000 sessions de recharge. Ironie du sort, même le laboratoire d'innovation de l'ANSSI y est passé, avec la compromission de 118 comptes utilisateurs Metabase.

Le deuxième coupable, plus prosaïque, ce sont les identifiants volés. Ils sont généralement aspirés par des logiciels malveillants taillés pour dérober notamment les données de connexion (on les appelle des infostealers) sur des ordinateurs personnels utilisés pour travailler, ou glanés dans d'anciennes fuites. Dans tous les cas, ils ouvrent grand les services exposés sans double authentification. Pourtant, un second facteur reçu par e-mail ne vaut guère mieux, prévient l'ANSSI. L'Agence pour l'enseignement français à l'étranger (AEFE) a vu son annuaire interne pillé depuis un compte compromis ; au cadastre, c'est celui d'un géomètre-expert qui a servi.

Des failles de type IDOR, qui permettent d'atteindre des données sans authentification préalable, auraient exposé 275 000 utilisateurs d'un portail du Service national universel. On n'oublie pas non plus les prestataires, qui ouvrent aussi la voie à des attaques par rebond. Chez TRACFIN par exemple, la compromission d'un sous-traitant du support a exposé 136 professionnels et le contenu de 213 demandes d'assistance, sans toucher aux déclarations de soupçon. L'administration a depuis cessé toute relation avec ce prestataire.

REACTIV, la nouvelle arme de l'ANSSI contre les fuites de données

Pour endiguer cette vague plus violente encore que celle que les meilleurs surfeurs peuvent affronter, le Premier ministre a demandé à l'ANSSI, le 1er septembre, de lancer REACTIV, pour « REponse & ACTion Interministérielle face aux Violations de données ». Concrètement, l'agence a dû basculer ses efforts opérationnels vers les ministères, pour ne pas s'attirer les foudres de Sébastien Lecornu. Elle peut désormais leur imposer, à brève échéance, les mesures d'urgence nécessaires pour protéger les données des citoyens. Elle centralise la communication technique en cas d'attaque de ce type. Matignon a aussi réclamé l'accélération de la feuille de route de sécurité numérique de l'État 2026-2027.

Sur le terrain, cela passe par le partage de marqueurs d'attaque et un appui à l'analyse forensique, comme à la remédiation. La méthode porte ses fruits, car grâce aux indicateurs de l'ANSSI, les Douanes ont relié le piratage de trois comptes de messagerie d'agents à celui d'un serveur d'échange avec des prestataires, dont la solution de partage a été coupée pour de bon. Même scénario à la Transition écologique, où plus de 300 comptes du Bureau numérique, porte d'entrée vers une messagerie commune à plusieurs ministères, ont été débusqués. La double authentification y est désormais activée, au point que certains utilisateurs n'arrivent plus à se connecter.

Mais pourquoi tant de fuites se découvrent-elles par la revendication des pirates eux-mêmes, ou les révélations des lanceurs d'alerte, salués par les uns, conspués par les autres ? Le rapport consacré la veille à la DGFiP esquissait une réponse, en rappelant que les sondes de l'ANSSI surveillent le réseau, pas l'intérieur des applications, et en concédant que cette compromission « n'est pas la conséquence d'une attaque sophistiquée ». Supervision, cloisonnement, authentification solide… les remèdes sont connus. Il faudra désormais les appliquer à l'échelle de tout l'État.

Inscrivez-vous à notre newsletter quotidienne

Recevez un résumé quotidien de l'actu technologique

En cliquant sur s'inscrire, j’accepte de recevoir par email des informations, actualités et offres commerciales de Clubic. Conformément au RGPD, vous pouvez retirer votre consentement à tout moment en cliquant sur le lien de désinscription présent dans chaque email. Pour en savoir plus sur la gestion de vos données, consultez notre Politique de confidentialité