Secu
L’infernal été des fuites de données des services numériques de l’Etat
Par Laurent Delattre, publié le 24 août 2026
Tchap, JeVeuxAider, Insee, Compte Asso, Éducation nationale, Bloctel, Santé publique France, France VAE et désormais DGFiP… L’été 2026 a tourné au cauchemar pour les services numériques publics. Mais derrière l’impression d’une avalanche de piratages se cache surtout un changement de paradigme : les attaquants ne défoncent plus nécessairement les portes du SI. Ils empruntent les badges de ceux qui ont le droit d’entrer. Et l’Etat semble bien fragile face à ce nouveau paradigme.
À première vue, la liste donne le tournis. Depuis juin, les annonces de fuites de données dans la sphère publique s’enchaînent à un rythme presque industriel. Et le contexte n’a rien de rassurant : selon l’ANSSI, les ministères et collectivités représentaient déjà 24 % des incidents traités en 2025, tandis que l’éducation et la recherche en concentraient 34 %. Cybermalveillance.gouv.fr constate parallèlement une envolée des violations de données, avec des demandes d’assistance qui avaient déjà progressé de 107 % en 2025 après +82 % l’année précédente.
Mais les chiffres ne racontent qu’une partie de l’histoire. Car cet été 2026 aura révélé une nouvelle réalité bien plus embarrassante : le problème n’est plus seulement d’empêcher quelqu’un d’entrer dans le système d’information. Il faut désormais savoir reconnaître l’attaquant une fois qu’il est entré avec des droits parfaitement valides.
Retour sur une inquiétante succession de fuites de données au cœur de l’Etat numérique français…
Tchap ouvre le bal avec 73 000 agents exposés
Le 7 juin, c’est Tchap, la messagerie sécurisée de l’État, qui donne le coup d’envoi. Un compte utilisateur est compromis à la suite d’une usurpation. À partir de cet accès légitime, l’attaquant peut consulter les informations associées à quelque 73 467 comptes, soit moins de 9 % des plus de 825 000 utilisateurs du service. Noms, prénoms, adresses électroniques professionnelles, organisme de rattachement et avatars sont potentiellement exposés. Les conversations privées, elles, restent protégées par le chiffrement ; seules des discussions présentes dans des salons publics ont pu être consultées.
L’incident paraît presque bénin face à ceux qui vont suivre. Il ne l’est pas. Un annuaire gouvernemental de cette taille constitue une matière première idéale pour construire des campagnes de phishing extrêmement crédibles, cartographier les administrations, identifier les fonctions intéressantes et préparer des attaques ciblées.
La piqure de rappel : « Une donnée professionnelle n’est pas une donnée sans valeur. Un organigramme enrichi de milliers d’identités devient une carte d’attaque. »
JeVeuxAider et la vulnérabilité qui ouvre 550 000 dossiers
Neuf jours plus tard, changement de scénario. Sur JeVeuxAider.gouv.fr, ce n’est plus un compte usurpé mais une vulnérabilité du service qui permet une extraction en lecture seule d’environ 550 000 comptes. Noms, prénoms, emails, téléphones, dates de naissance et historique d’engagement bénévole peuvent avoir été récupérés. Les mots de passe, coordonnées bancaires et pièces d’identité ne sont pas concernés. La faille est identifiée puis corrigée.
La conséquence immédiate n’est donc pas la prise de contrôle des comptes. Mais la richesse contextuelle des informations change tout. Connaître l’identité d’une personne, son téléphone, son âge et les causes pour lesquelles elle s’engage suffit à personnaliser une arnaque avec une précision redoutable.
La piqure de rappel : « Tel est le paradoxe des bases de données modernes. Chacun de leur champ pris isolément peut paraître peu sensible. Mais leur combinaison fabrique une identité numérique exploitable. »
À l’Insee, l’annuaire interne devient lui aussi une cible
Le 19 juin, l’INSEE détecte à son tour une compromission portant sur environ 12 800 agents, anciens agents et membres des corps de l’institut. Identités et coordonnées professionnelles sont exposées. L’Insee précise en revanche que les données statistiques collectées auprès des particuliers et entreprises, les mots de passe, coordonnées personnelles, informations bancaires, numéros de Sécurité sociale ou données de santé ne sont pas concernés. Le vecteur initial de compromission n’a pas été rendu public.
Encore une fois, la quantité impressionne moins que la qualité. Un annuaire interne permet de savoir qui travaille où, pour quelle institution et avec quelle adresse professionnelle. Exactement ce qu’il faut pour fabriquer la prochaine usurpation.
La piqure de rappel : « Une première fuite est potentiellement le kit de préparation de la suivante. »
Le Compte Asso ajoute les coordonnées bancaires au cocktail
Fin juin, Le Compte Asso, utilisé notamment par les associations pour leurs demandes de subventions, rejoint la liste des grands « poutrés » de l’Etat Français. Le ministère informe les utilisateurs d’une exfiltration. Le volume de 227 000 enregistrements est revendiqué par l’attaquant mais n’a pas été officiellement confirmé. Le vecteur technique précis n’a pas davantage été rendu public.
Cette fois, les informations concernées peuvent aller beaucoup plus loin : identité et coordonnées de responsables associatifs, informations relatives aux demandes de subventions, mais également données bancaires des associations, dont IBAN et BIC.
Un IBAN volé ne permet pas, à lui seul, de vider un compte. Mais associé au nom du responsable, à son association, à son téléphone et à une demande de financement connue, il devient une formidable pièce de décor pour monter une fraude au changement de coordonnées bancaires ou une campagne d’ingénierie sociale.
La piqure de rappel : « Le cyber-attaquant 2026 ne s’intéresse plus simplement aux données. Il traque le contexte métier nécessaire pour raconter une histoire vraisemblable à sa victime ».
L’Éducation nationale, brutal changement d’échelle
Dans la nuit du 25 juillet, un compte professionnel usurpé ouvre aux hackers de ZeroBytes un accès à un système d’information consacré à la formation des personnels de l’Éducation nationale. L’administration coupe les accès extérieurs dès le lendemain.
Le premier périmètre confirmé de l’attaque concerne des personnels ayant travaillé dans les académies depuis 2001. Identité, statut et fonctions peuvent avoir été exfiltrés et, pour certains agents, adresse postale, téléphone et numéro de Sécurité sociale. Le ministère indiquait alors que les données des élèves n’étaient pas présentes dans le système concerné.
Mais l’affaire prend une autre dimension le 17 août. ZeroBytes revendique alors le vol d’un ensemble beaucoup plus vaste de données concernant potentiellement plus d’un million d’élèves et des millions d’identifiants de personnels. Le groupe affirme avoir exfiltré quelque 43 Go répartis dans environ 2 500 fichiers, soit 346 millions de lignes brutes et non dédupliquées. Le Monde a pu examiner des échantillons comprenant notamment des coordonnées récentes d’élèves et de parents, des informations de scolarité, des choix de cours et, dans certains cas, des appréciations ou éléments de suivi. Le ministère reconnaît que les données publiées pourraient être liées à l’intrusion du 25 juillet, mais poursuit toujours ses investigations pour en déterminer précisément le périmètre. Au 24 août, aucun nombre officiel d’élèves ou de personnels victimes n’a donc été confirmé. L’incident a toutefois désormais des conséquences très concrètes : plusieurs académies ont restreint l’accès à leurs messageries et applications métier afin de sécuriser leurs systèmes, perturbant la préparation de la rentrée.
Si l’étendue revendiquée est confirmée, les conséquences dépassent largement le spam ou le phishing : usurpation d’identité, harcèlement, ciblage de mineurs, localisation de familles, escroqueries aux parents, voire exposition physique de certaines personnes.
Et une autre question dérange : combien de données anciennes conserve-t-on simplement parce qu’on peut les conserver ? Lorsqu’un système contient encore les informations d’agents remontant à 2001, la durée de rétention devient elle-même un sujet de cybersécurité.
La piqure de rappel : « La durée de conservation n’est pas un simple sujet de conformité. C’est, certes, une Lapalissade, mais plus une donnée reste longtemps dans le système, plus elle prolonge la fenêtre d’exposition. »
Bloctel montre le danger des comptes tiers
Le 12 août, la DGCCRF révèle qu’un compte professionnel autorisé à interroger Bloctel a été compromis. L’attaquant récupère des fichiers contenant trois millions de numéros de téléphone, dont environ 600 000 appartiennent à des personnes inscrites sur Bloctel. Ni noms ni adresses n’ont été exposés et la base centrale Bloctel elle-même n’a pas été piratée.
Ce détail est essentiel. Ici, le problème ne réside pas dans la forteresse centrale mais dans une porte latérale ouverte à un utilisateur légitime.
Trois millions de numéros semblent moins dangereux que des données fiscales. Sauf qu’une fuite ne vit jamais seule. Croisés avec une adresse email issue de JeVeuxAider, une identité récupérée ailleurs et éventuellement des données fiscales, ces numéros deviennent parfaits pour du smishing ou du vishing ciblé.
La piqure de rappel : « La sécurité d’une base centrale ne suffit pas si les comptes autorisés à l’interroger deviennent des portes dérobées. Et une donnée presque banale devient toxique dès qu’elle peut être recoupée avec d’autres fuites. »
Santé publique France rappelle que le SI s’arrête rarement aux murs de l’organisation
Le 13 août, Santé publique France annonce à son tour une fuite touchant près de 80 000 personnes. Particularité : l’attaque vise moncoupon.santepubliquefrance.fr, une plateforme hébergée par un prestataire externe et distincte des principaux systèmes de l’agence. Adresses email, postales et numéros de téléphone sont concernés, mais aucune donnée de santé.
Selon le récit des attaquants, qui n’a pas été confirmé techniquement par Santé publique France, une mauvaise vérification des autorisations côté serveur aurait permis à un utilisateur standard d’élever ses privilèges, de devenir administrateur puis d’utiliser la fonction d’export prévue par l’application.
Si cette mécanique est confirmée, elle mérite d’être encadrée en rouge dans tous les cours de sécurité applicative. Car l’attaque ne contourne pas l’application : elle utilise ses propres fonctions. La vulnérabilité transforme simplement un utilisateur en administrateur et l’export légitime fait le reste.
La piqure de rappel : « On peut externaliser un service, jamais le risque. Quand un simple compte peut devenir administrateur et aspirer toute la base, l’application se transforme en arme. »
France VAE rejoint à son tour la liste
Même constat autour de France VAE. Le 10 août, des utilisateurs sont informés d’un incident ayant exposé des informations particulièrement riches : identité, coordonnées, date et lieu de naissance, nationalité, certifications, expériences professionnelles, résultats d’évaluation ou encore éléments relatifs au financement.
Ni le volume total ni le vecteur technique précis n’ont été publiquement détaillés à ce stade.
Mais l’intérêt criminel du jeu de données est évident. Un CV enrichi de données administratives fournit précisément ce dont un escroc a besoin pour se faire passer pour un organisme de formation, un employeur, France Travail ou une administration.
La piqure de rappel : « L’attaque suivante est déjà cachée dans la fuite précédente. Une fuite riche en contexte est une usurpation prête à l’emploi. »
Et puis la DGFiP fait sauter le compteur
La séquence aurait déjà été préoccupante sans la DGFiP. Elle devient systémique avec elle.
Les 12 et 13 août, le groupe de hackers ZeroBytes revendique des accès frauduleux réalisés en juin et juillet grâce aux identifiants compromis d’un agent de la DGFiP et d’un tiers disposant d’un accès autorisé. L’administration avait bien détecté les intrusions et coupé les comptes concernés. Mais elle reconnaît surtout un point beaucoup plus instructif : ses dispositifs de contrôle n’avaient pas détecté l’extraction des données !
Le 14 août, Bercy évoque 678 000 particuliers et professionnels concernés et des données autrement plus exploitables : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, informations cadastrales et données d’entreprises. Les espaces personnels sur impots.gouv.fr et leurs mots de passe ne sont heureusement pas compromis.
Le 18 août, la DGFiP affine encore le tableau et distingue désormais trois fuites : environ 350 000 particuliers concernés par l’accès à des échanges avec l’administration fiscale ; jusqu’à 433 485 particuliers et 1 082 professionnels pour des données cadastrales ; et un troisième accès portant sur des informations liées aux successions, dont l’étendue reste en cours d’analyse. Les populations pouvant se recouper, additionner ces chiffres serait trompeur.
Reste que pour un cybercriminel, voilà un vrai trésor. Connaître le revenu fiscal, le patrimoine immobilier ou l’existence d’une succession permet de construire un phishing fiscal quasiment sur mesure. Plus besoin d’écrire « Cher contribuable » en espérant tomber juste. L’escroc peut connaître le contexte avant de décrocher son téléphone. Le vrai problème n’est donc pas tant le fait que ZeroBytes a exfiltré ces données sensibles, mais bien plus davantage de savoir à qui le groupe de hackers va les revendre.
La piqure de rappel : « Rien ne sert de détecter une intrusion si l’on ne sait pas détecter suffisamment tôt ce que faisait l’intrus ».
Le mot de passe n’est plus une frontière
Tchap : compte usurpé. Éducation nationale : compte professionnel usurpé. Bloctel : compte professionnel compromis. DGFiP : identifiants d’un agent et d’un tiers autorisé détournés.
C’est probablement le principal fil rouge de cet infernal été. On s’attendait à déferlement d’attaques zero-day avec l’arrivée des nouveaux modèles IA comme Mythos 5, GPT-5.6-Cyber, Kimi K3… On retrouve pourtant une toute autre entrée : celle des identités.
Cela ne signifie pas que ces administrations n’utilisaient pas de MFA ni que l’authentification multifacteur serait devenue inutile. Au contraire. La CNIL pousse typiquement explicitement les grandes bases d’information vers une indispensable MFA pour les salariés, partenaires, sous-traitants et accès distants et annonce renforcer ses contrôles sur ce point en 2026.
Mais authentifier quelqu’un ne suffit plus à lui faire confiance pendant toute sa session.
Les campagnes modernes de phishing savent voler des sessions, intercepter certains mécanismes de double authentification et profiter d’identifiants récupérés ailleurs. Cybermalveillance.gouv.fr constate d’ailleurs que le piratage de comptes en ligne est devenu la première menace signalée par les publics professionnels.
Le périmètre de sécurité se déplace vers l’identité : MFA résistante au phishing pour les comptes sensibles, accès conditionnels, gestion des comptes privilégiés, droits minimaux, accès temporaires, séparation rigoureuse des identités internes et tierces. Voilà les sujets chauds à ajouter à l’agenda des DSI et RSSI si ce n’est pas déjà fait !
« Un identifiant valide ne doit plus être synonyme de comportement légitime. »
Le problème n’est pas seulement qui entre, mais ce qu’il peut sortir
La seconde leçon est probablement encore plus importante.
Pourquoi un compte normalement utilisé pour consulter quelques dossiers peut-il soudain en lire des centaines de milliers ? Pourquoi une fonction d’export peut-elle restituer une base presque entière ? Pourquoi l’accès d’un prestataire ou d’un professionnel permet-il parfois d’extraire des volumes sans rapport avec son activité habituelle ?
Le contrôle d’accès reste trop souvent binaire : autorisé ou interdit.
Il devrait devenir comportemental.
Un agent qui consulte trente dossiers par jour et en demande soudain 200 000 à trois heures du matin devrait déclencher autre chose qu’une simple ligne supplémentaire dans un journal. Même chose lorsqu’un partenaire télécharge brutalement plusieurs gigaoctets ou qu’un compte fraîchement connecté lance des requêtes qu’il n’utilise jamais.
La CNIL insiste justement sur la surveillance en temps réel des journaux et sur la nécessité de détecter les accès massifs. Elle constate que, lors de nombreuses fuites importantes, les indicateurs existaient parfois mais étaient insuffisants… ou simplement pas exploités.
C’est ici que le SOC doit rejoindre le métier. Détecter une connexion depuis une adresse IP étrange reste utile. Mais détecter qu’un utilisateur fiscal consulte cent mille contribuables est beaucoup plus utile.
L’État paie aussi sa dette numérique
Reste une question : pourquoi cette accumulation maintenant ?
L’explication facile serait celle de l’été, des équipes réduites et des pirates profitant des vacances. Rien ne permet d’en faire la cause principale.
Autre explication facile, la France est entrée en période électorale et devient une cible prioritaire. Mais, là encore, rien ne montre le moindre lien entre ces attaques et les groupuscules étatiques ennemis.
Le problème est en réalité plus structurel.
Après la fuite ayant touché l’ANTS au printemps, le gouvernement lui-même reconnaissait en avril une « dette numérique » importante, des fonctions numériques historiquement négligées et de nombreux systèmes anciens. Matignon soulignait également que les services situés à la périphérie du cœur régalien étaient généralement plus fragiles. Le nouveau plan cyber prévoit notamment 200 millions d’euros d’investissements et, à partir de 2027, l’affectation de 5 % du budget numérique de chaque ministère à la cybersécurité.
Voilà probablement une partie de l’explication.
L’État a numérisé massivement les démarches, interconnecté les systèmes, ouvert des portails à ses agents, aux collectivités, aux associations, aux entreprises, aux prestataires et aux citoyens. C’était nécessaire. Mais chaque ouverture crée une identité, un droit, une API, un export ou une dépendance supplémentaire à surveiller.
La surface d’exposition a grandi plus vite que la capacité à la gouverner. Et les attaquants l’ont compris.
Le troisième risque est désormais le tiers de confiance
Bloctel passe par un compte professionnel. La DGFiP mentionne explicitement un tiers autorisé. Santé publique France est touchée via une plateforme exploitée chez un prestataire.
La cybersécurité ne s’arrête donc plus au domaine Active Directory, au firewall ou au réseau de l’administration.
Le SI réel est devenu une fédération d’identités et de services.
Dès lors, donner accès à un partenaire ne devrait jamais revenir à lui donner une version légèrement bridée du badge interne. Il faut pouvoir limiter ce qu’il consulte, combien il consulte, depuis quel terminal, pendant combien de temps et avec quelle capacité d’export. Et surtout révoquer immédiatement ce droit sans dépendre du système du prestataire.
Le Zero Trust n’est plus ici une formule de conférence. C’est une question très concrète : même authentifié, pourquoi cet utilisateur devrait-il avoir accès à cette donnée, maintenant et en pareille quantité ?
Il va falloir apprendre à jeter des données
La quatrième leçon est moins spectaculaire mais probablement la moins bien assimilée : la minimisation.
Les organisations veulent accumuler les données parce qu’elles pourraient « servir un jour ». L’IA générative donne même une seconde jeunesse à cette vieille tentation du data lake sans fond.
La cybersécurité devrait retourner le raisonnement.
Une donnée qui n’existe plus ne peut pas être volée. Une donnée cloisonnée ne peut pas contaminer tout le SI. Une donnée anonymisée perd une bonne partie de sa valeur pour un attaquant.
Le dossier de l’Éducation nationale pose brutalement cette question. Lorsqu’une base contient des informations remontant à plusieurs décennies, chaque année supplémentaire de conservation augmente le patrimoine informationnel… mais aussi la dette de sécurité.
Pour les DSI, RSSI et DPO, la politique de rétention devient donc une politique de réduction de la surface d’attaque.
L’attaquant de demain est peut-être déjà authentifié
Au fond, cet été 2026 ne raconte pas une extraordinaire progression technique des cybercriminels. C’est précisément ce qui devrait inquiéter.
Ils n’ont pas toujours eu besoin de techniques extraordinaires.
Un compte volé. Un tiers trop bien autorisé. Une vérification de privilèges défaillante. Une fonction d’export généreuse. Des volumes de données que personne ne s’étonne de voir sortir. Puis quelques bases différentes que l’on recolle pour fabriquer une identité presque complète.
Les DSI et RSSI ont passé vingt ans à fortifier l’entrée du château. Désormais, ils doivent surveiller ce qui se passe derrière les murailles : qui utilise réellement chaque identité, pourquoi, quelles données elle consulte, en quelles quantités et ce qu’elle tente d’en faire sortir.
L’ANSSI observait déjà une multiplication des exfiltrations de données en 2025. Le millésime 2026 montre ce que cela signifie lorsque le phénomène percute les immenses réservoirs d’informations de l’État.
Et le prochain enjeu pourrait être encore plus délicat. Car toutes ces fuites ne s’additionnent pas seulement en nombre de victimes. Elles se combinent. L’annuaire professionnel d’un côté, le téléphone de l’autre, l’adresse ailleurs, la carrière ici, les revenus ou le patrimoine là.
Individuellement, chaque brèche est un incident. Assemblées, elles commencent à ressembler à une base de renseignement.
Et maintenant ?
La rentrée promet d’être également chaude. D’autant que la France entre désormais de plain-pied dans la précampagne présidentielle de 2027. Les états-majors sont déjà en mouvement et plusieurs candidats ont commencé à occuper le terrain. Et les campagnes de désinformation et d’influence étrangères ont déjà largement débuté. Dans ce contexte, les bases de données dérobées cet été changent encore de nature. Elles ne constituent plus seulement un carburant pour le phishing, l’usurpation d’identité ou la fraude. Elles peuvent aussi alimenter des campagnes de manipulation beaucoup plus ciblées, faciliter l’approche de fonctionnaires ou de responsables publics, nourrir le doxing, ou servir de point d’entrée à des opérations cherchant moins l’argent que l’information et l’influence.
L’État va devoir faire bien plus non seulement pour colmater les brèches révélées et moderniser les défenses de ses systèmes d’information mais aussi pour protéger la confiance dans les services qu’il prodigue et qui le font fonctionner, dans les données qu’ils détiennent et, au bout de la chaîne, dans le fonctionnement même du débat démocratique.
À LIRE AUSSI :
À LIRE AUSSI :
