Fuites de données dans l’administration : ce que l’été 2026 révèle de la résilience de l’État

Quatre administrations françaises ont reconnu des intrusions cet été, de l’ANTS à la DGFiP. Dans presque tous les cas, l’attaquant n’a pas forcé les lignes de défense : il est entré par un compte disposant déjà de droits légitimes.

Une version courte de cette analyse a été publiée le 19 août 2026 par LeMagIT. Nous en proposons ici une version développée, avec l’ensemble des sources.

La directive européenne NIS 2 ( Network and Information Security, Sécurité des Réseaux et des Systèmes d’Information) devait être transposée par les États membres au plus tard le 17 octobre 2024. La France n’y est toujours pas parvenue. Le 8 juillet 2026, la Commission européenne l’a renvoyée devant la Cour de justice de l’Union européenne, aux côtés de l’Irlande, de l’Espagne et des Pays-Bas, en requérant des sanctions financières.

Entre-temps, quatre administrations ont reconnu des intrusions dans leurs systèmes d’information. Le 21 avril, le ministère de l’Intérieur annonçait que 11,7 millions de comptes de l’ANTS seraient concernés. Le ministère de l’Éducation nationale a signalé trois incidents distincts : environ 243 000 agents en mars, des données d’élèves en avril dont le volume n’a jamais été établi, puis fin juillet une intrusion visant le système d’information de formation des personnels, concernant les agents ayant exercé en académie depuis 2001, numéro de sécurité sociale compris. Le 12 août, presque inaperçue, la DGCCRF signalait l’exfiltration de trois millions de numéros de téléphone du service Bloctel. Le 14 août enfin, Bercy confirmait des accès illégitimes au système d’information de la DGFiP touchant 678 000 particuliers et professionnels, avant d’admettre le 18 août une troisième fuite distincte.

Une séquence à replacer dans le contexte européen

Selon l’ENISA, l’agence européenne de cybersécurité, l’administration publique demeure le premier secteur visé dans l’Union, avec 38 % des incidents recensés entre juillet 2024 et juin 2025, sur près de 4 900 événements analysés (Threat Landscape 2025).

Le chiffre appelle une nuance que l’on lit rarement. Environ 96 % de ces incidents procèdent de dénis de service d’origine hacktiviste, que l’agence qualifie elle-même de faible impact : seuls 2 % d’entre eux ont provoqué une interruption de service. Les rançongiciels ne représentent que 2,2 % des événements du secteur. Autrement dit, la statistique mesure surtout un bruit de fond militant. Les compromissions qui aboutissent à une exfiltration de données sont beaucoup moins nombreuses, et ce sont les seules qui laissent des traces durables pour les usagers.

La France n’est pas un cas isolé, ni même le plus grave. La Bulgarie a vu en 2019 les données de cinq millions de contribuables sortir de son administration fiscale, soit près de sept adultes sur dix, et son autorité de protection des données lui a infligé une amende de 2,6 millions d’euros, sanction confirmée par la justice en 2023. Au Royaume-Uni, la compromission du registre électoral a exposé les données de quarante millions de personnes ; l’ICO s’est contenté d’un simple blâme en juillet 2024. En Estonie, pays le plus avancé d’Europe dans l’administration numérique, un attaquant a téléchargé en 2021 286 438 photos d’identité depuis une base d’État, soit un habitant sur cinq.

La responsabilité politique, elle, n’a été engagée qu’une seule fois en dix ans : en Suède, en 2017, où deux ministres ont quitté le gouvernement après le scandale de l’agence des transports, et pour une défaillance d’externalisation, pas pour un piratage.

Le point d’entrée n’est presque jamais technique

Une lecture attentive des communiqués officiels donne une vision claire. Dans tous ces incidents, les attaquants n’ont pas eu à forcer frontalement les lignes de défense : ils se sont appuyés sur des identités disposant déjà de droits légitimes.

« L’accès frauduleux a été réalisé dans la nuit du 25 juillet 2026, à la suite de l’usurpation d’un compte professionnel », écrit l’Éducation nationale. La DGFiP évoque « des usurpations d’identifiants d’un agent de la DGFiP et d’un tiers habilité ». La DGCCRF décrit également un compte professionnel compromis. Pour l’ANTS, le vecteur n’a jamais été confirmé officiellement, même si l’hypothèse d’une vulnérabilité applicative a été largement avancée, y compris au Parlement.

Le cas de la DGFiP mérite qu’on s’y arrête, car il touche au cœur de la gestion de crise. Les intrusions avaient été repérées et les comptes concernés bloqués, mais les contrôles effectués n’avaient pas permis d’établir qu’une exfiltration avait eu lieu. Il a fallu attendre la revendication publique de l’attaquant, les 12 et 13 août, puis des investigations approfondies, pour que le vol soit confirmé. Sa directrice générale a décrit des attaquants procédant par « des tests manuels qu’ils ont ensuite massifiés, en restant sous les seuils de détection ».

Le 18 août, l’administration a reconnu ses manquements : l’authentification à plusieurs facteurs n’était pas généralisée, le VPN n’était pas obligatoire sur certaines applications, et le taux de conformité de ses systèmes est passé de 25 % en 2020 à 50 % aujourd’hui (Acteurs Publics, Next).

Détecter une intrusion et savoir en qualifier l’impact sont deux compétences distinctes. La seconde procède de la gestion de crise : le délai d’information des personnes, la qualité de la communication publique, la capacité à décider vite. Une administration qui met plusieurs semaines à savoir ce qui est sorti de ses systèmes ne subit pas seulement un incident de sécurité. Elle entre en crise.

L’État l’a d’ailleurs traité comme telle. Le 17 août, quatre jours après la revendication, Sébastien Lecornu a présidé depuis Matignon une cellule interministérielle de crise, dont sont sorties trois décisions : un audit approfondi, l’information individuelle des personnes concernées et l’accélération du plan de sécurisation lancé le 30 avril. Aucun compte rendu écrit n’a été publié. Le lendemain, à Bercy, le gouvernement présentait ses excuses et révélait une troisième fuite, sur le portail des successions vacantes, détectée le 17 août, c’est-à-dire le jour même de la cellule de crise.

Ce que NIS 2 exige déjà, et que la France n’a pas inscrit dans sa loi

L’article 21 de la directive énumère dix familles de mesures minimales qui recouvrent presque mot pour mot les manques reconnus cet été : contrôle d’accès et gestion des actifs, authentification à plusieurs facteurs, sécurité de la chaîne d’approvisionnement, continuité d’activité et reprise après sinistre, hygiène cyber et formation. L’article 20 rend les organes de direction responsables de l’approbation et du suivi de ces mesures, et leur impose une formation. L’article 23 fixe le rythme de la notification : alerte sous vingt-quatre heures, notification à soixante-douze heures, rapport final à un mois.

Ce régime n’est pas applicable en droit français. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS 2 et REC et adapte le droit national au paquet DORA, a été adopté par le Sénat le 12 mars 2025, puis à l’unanimité en commission spéciale de l’Assemblée le 10 septembre 2025. Il n’a jamais été inscrit en séance publique. Aucun décret d’application n’existe, et l’ANSSI le rappelle sans détour : NIS 2 n’entrera en vigueur en France que lorsque l’ensemble des textes auront été promulgués.

Le périmètre à venir est pourtant considérable : environ 15 000 entités contre 500 sous NIS 1, dont près de 1 500 collectivités et établissements d’enseignement supérieur, les régions, les départements, les communes de plus de 30 000 habitants et les services d’incendie et de secours. Rappelons qu’au plein cœur d’un mégafeu, le SDIS des Landes a été victime fin juillet d’une cyberattaque avec exfiltration de données.

Deux points méritent d’être connus, car ils sont souvent mal rapportés. Le texte ne fixe aucune échéance de mise en conformité : les rapporteurs du Sénat avaient proposé de différer contrôles et sanctions de trois ans pour les entités essentielles et de quatre ans pour les entités importantes, mais l’amendement a été retiré en séance le 12 mars 2025 à la demande du gouvernement, et un amendement de même esprit a été rejeté à l’Assemblée le 10 septembre 2025. Par ailleurs, l’État, les collectivités et leurs établissements publics administratifs sont expressément exclus des amendes, qui peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles. L’astreinte, en revanche, ne fait l’objet d’aucune exclusion.

Le retard ne porte pas seulement sur la cybersécurité

Le même texte transpose la directive REC sur la résilience des entités critiques, restée largement absente du débat public. Là où NIS 2 traite de la maîtrise du risque numérique, REC pose une question plus large : une entité critique est-elle capable de continuer à assurer ses missions essentielles quand son système d’information, son fournisseur ou une infrastructure dont elle dépend devient indisponible ?

Les cas européens récents montrent que les deux questions sont indissociables. En Suède, la compromission de l’éditeur Miljödata a touché en août 2025 plus d’un million et demi de personnes dans des communes servant 80 % du territoire, conduisant l’autorité de protection des données à ouvrir quatre contrôles simultanés, dont trois visant les donneurs d’ordre publics. En Allemagne, l’attaque contre le prestataire mutualisé Südwestfalen-IT a privé une centaine de collectivités de la délivrance des cartes d’identité et des permis de conduire, bloqué le versement de prestations sociales et fermé des écoles, pour un rétablissement complet en un an environ. Nous avons détaillé dans un article spécifique  ce que la directive REC change pour les entités critiques.

Ce n’est ainsi plus de la sécurité informatique, mais de la continuité de service public dont il s’agit.

Deux chantiers qui n’attendent aucune loi

Le premier relève de la résilience opérationnelle, c’est-à-dire de la capacité d’une organisation à continuer d’assurer ses missions en mode dégradé. Il suppose de cartographier les services essentiels et leurs dépendances réelles, applicatives comme contractuelles, de rejouer des plans de continuité que beaucoup d’organisations n’ont pas rouverts depuis leur rédaction, de faire descendre les exigences de sécurité dans les marchés publics et les conventions avec les opérateurs. Il suppose surtout de traiter la question des habilitations : qui accède à quoi, depuis quand, et pourquoi encore.

Le second relève de la gestion de crise. Quand l’intrusion réussit, la technique cesse d’être le sujet principal. Ce qui se joue relève du décisionnel : la capacité d’une cellule de crise à arbitrer vite avec des informations incomplètes, à isoler sans paralyser, à décider ce que l’on dit et à quel moment. Les administrations concernées cet été ont toutes communiqué après la revendication de l’attaquant, parfois plusieurs mois après les faits. Ce décalage n’est pas seulement un problème d’image : il prive les victimes du temps nécessaire pour se protéger contre l’hameçonnage ciblé qui suit invariablement ce type de fuite. Un plan de crise ne vaut que s’il a été éprouvé sous contrainte, avec les directions générales et les élus autour de la table, et non avec les seules équipes techniques.

Le gouvernement a annoncé le 30 avril un plan de 200 millions d’euros, la création d’une autorité numérique de l’État avant le 1er janvier 2027 et l’affectation de 5 % des budgets numériques ministériels à la cybersécurité dès 2027. C’est un signal. Ce n’est pas une stratégie de résilience.