Secu
Après une fuite de données, le vrai danger commence : l’usurpation d’identité des services publics
Par Laurent Delattre, publié le 10 septembre 2026
Par Loïc Guézo, Directeur de la Stratégie Cybersécurité chez Proofpoint
Les fuites de données de ces derniers mois ont mis à disposition des cybercriminels des millions de lignes de données appartenant aux citoyens Français. Noms, prénoms, dates de naissance, adresses email, IBAN et dans certains cas, adresses postales et numéros de téléphone. Des brèches massives qui ont légitimement inquiété les autorités et les citoyens.
Mais le véritable danger ne réside pas uniquement dans cette fuite initiale. Il se trouve dans ce qui va suivre : l’exploitation de ces données pour des campagnes de phishing d’une sophistication sans précédent.
L’effet multiplicateur : quand les données se recoupent
Cette accumulation de fuites crée un effet multiplicateur préoccupant. Chaque nouvelle brèche fournit des éléments supplémentaires permettant de construire des profils de citoyens toujours plus détaillés et des attaques toujours plus crédibles.
Avec les données d’organismes publics, un acteur malveillant peut croiser informations bancaires, identités civiles complètes, dates de naissance, adresses email et parcours administratifs. Cette connaissance approfondie permet de créer des emails frauduleux d’une crédibilité désarmante.
Imaginons un citoyen recevant un email semblant provenir de la Direction Générale des Finances Publiques, l’appelant par son nom complet, mentionnant des détails bancaires pour paraître authentique, et alertant sur une prétendue anomalie fiscale nécessitant une action urgente. Ou un email d’une préfecture demandant de régulariser un dossier administratif avec tous les détails d’état civil déjà préremplis.
Ces scénarios ne relèvent pas de la théorie. Ce sont les conséquences directes et prévisibles de la combinaison entre des fuites de données massives et l’absence de protections contre l’usurpation d’identité par email.
Un manque de protection préoccupant
Car c’est là que se situe un problème structurel. Une étude menée en janvier 2026 auprès de près de 300 organisations du secteur public français révèle que 88% de ces organisations ne disposent pas des mesures de sécurité nécessaires pour empêcher activement l’usurpation de leur nom de domaine par email.
Concrètement, cela signifie qu’un email frauduleux peut sembler provenir d’un organisme du service public, sans que ce dernier puisse bloquer ces messages avant qu’ils n’atteignent les boîtes de réception des citoyens. Seulement 12% des entités publiques analysées ont mis en œuvre la politique de protection maximale contre l’usurpation d’identité par email. 10% des noms de domaines ne disposent d’aucun enregistrement de protection de base.
Le protocole DMARC : une solution existante, encore sous-utilisée
La solution pour contrer cette menace existe. Le protocole DMARC (Domain-based Message Authentication, Reporting and Conformance) est une mesure de protection qui authentifie l’identité de l’expéditeur avant qu’un message n’atteigne sa destination. DMARC offre trois niveaux de protection : la surveillance, la mise en quarantaine, et le rejet. Ce dernier niveau, le plus sécurisé, permet de bloquer complètement les messages frauduleux avant qu’ils n’atteignent les boîtes de réception.
L’ANSSI recommande explicitement la mise en œuvre de DMARC dans son guide d’hygiène informatique. Il s’agit d’une mesure gratuite, accessible à toute organisation, et ne nécessitant qu’une simple modification des enregistrements DNS. Pourtant, malgré ces recommandations claires et la simplicité de déploiement, le déploiement au niveau de protection maximal reste à accélérer.
Un impératif d’action
Le gouvernement a reconnu l’ampleur du problème, annonçant 200 millions d’euros supplémentaires et la création d’une « autorité numérique de l’État » suite à la fuite de l’ANTS. Ces investissements en cybersécurité défensive pour protéger les bases de données sont essentiels. Il est tout aussi important de déployer les protections qui empêchent l’exploitation de ces fuites une fois qu’elles se sont produites.
Les citoyens français ont le droit de savoir si les emails qu’ils reçoivent de leur préfecture, de leur mairie, des finances publiques ou de France Travail sont authentiques. Ils ont le droit d’être protégés contre les tentatives d’usurpation d’identité qui exploiteront les fuites de données des derniers mois. Les organisations publiques ont la responsabilité de mettre en place les protections nécessaires pour garantir cette sécurité.
Une fenêtre d’opportunité qui reste ouverte
Le risque créé par ces fuites de données à répétition ne s’arrête pas aux données volées. Les acteurs malveillants disposent maintenant d’un arsenal d’informations personnelles, financières et professionnelles sur des millions de Français. Sans protection adéquate contre l’usurpation d’identité par email, les campagnes de phishing ultra-ciblé qui se préparent représentent une menace significative qu’il est encore temps de contrer efficacement.
À LIRE AUSSI :
À LIRE AUSSI :
