Cinq intrusions, une même clé
En 2026, les fichiers de l’État ont été forcés au moins cinq fois. Fin janvier, le fichier des comptes bancaires : 1,2 million de comptes consultés, présentés comme « moins de 1 % » du total, mais 1,2 million de personnes tout de même 6. En mars, une base de l’Éducation nationale : 243 000 agents, tuteurs et stagiaires 5. Au printemps, des données d’élèves 4. En juillet, un autre système de l’Éducation nationale 3,4. En juin et juillet, le fisc et le cadastre : 678 000 particuliers et entreprises au décompte officiel provisoire 1,2.
Un chiffre circule sur cette série : 285 000 professionnels touchés. Il n’est pas officiel. Sur l’incident de juillet à l’Éducation nationale, le ministère se dit lui-même « pas en mesure de chiffrer » le nombre de personnes concernées 3,4. Il donne une seule borne : les agents ayant travaillé en académie depuis 2001. C’est une population, pas un volume de données volées. Additionner les décomptes d’un incident à l’autre n’a pas de sens. Ce ne sont ni les mêmes fichiers, ni les mêmes gens.
Le point commun est ailleurs. Sur quatre de ces cinq intrusions, aucune porte blindée n’a été forcée. Le pirate est entré avec des identifiants vrais. Un compte d’agent, un compte de tiers habilité, un accès professionnel. Détournés, puis utilisés comme la personne elle-même 1,3,5,6. Pas de faille inconnue. Des clés légitimes, dans de mauvaises mains.
Le vol repéré trop tard, ou pas du tout
Au fisc, l’administration a coupé les accès suspects. Mais elle n’a pas vu que des données étaient déjà parties.
« Dès la détection de ces intrusions, la DGFiP a immédiatement interrompu les accès de l’ensemble des comptes utilisés dans les incidents identifiés. Néanmoins, les contrôles d’accès réalisés à cette occasion n’ont pas permis de détecter que ces intrusions avaient conduit à des vols de données, en raison de la sophistication de l’attaque. »
L’administration met en avant la « sophistication » de l’attaque. C’est sa version. Le fait, lui, est simple. C’est la mise en vente publique des données, le 12 août, qui a révélé le vol 1,2. Pas la surveillance interne. Près de deux mois s’étaient écoulés.
À l’Éducation nationale, en mars, l’intrusion du 15 avait été repérée le 19. Quatre jours 5. Plus vite, mais les données étaient déjà accessibles. Le pirate, de son côté, revendique bien plus que le décompte officiel : plus de deux millions de personnes pour le seul cadastre. Invérifiable, et c’est aussi un argument de vente 2.
L’État ne voit d’ailleurs qu’une part de ce qui le vise. En 2024, ses services de cybersécurité ont recensé 310 incidents touchant des ministères 7. Ce sont ceux qui ont été signalés, pas ceux restés invisibles. La série de 2026, découverte en retard ou par les pirates eux-mêmes, mesure l’écart entre les deux.
Des moyens qui ne suivent pas la menace
La faille de 2026 est d’abord une affaire d’organisation. Des accès mal surveillés, des identifiants volés, une détection lente. L’argent n’explique pas tout, et il faut le dire.
Mais les organes de contrôle décrivent, depuis des années, un décalage. L’agence de l’État chargée de la cybersécurité garde ses crédits dits « métiers » stables, à 26,9 millions d’euros en 2026 7. Ses effectifs gagnent douze postes. Face à elle, la menace, elle, change d’échelle.
Le déséquilibre saute aux yeux côté public. En 2024, cette agence a été saisie 4 386 fois. La plateforme d’aide aux particuliers, elle, a reçu 420 000 demandes 7. Les deux chiffres ne comptent pas la même chose. Mais les rapporteurs du Sénat y lisent « une disproportion » entre les moyens et les besoins 7. Et le budget de cette aide au grand public n’a pas bougé depuis 2017 7.
Ces mêmes rapporteurs pointent un autre trou. Personne n’a présenté de schéma clair de qui fait quoi. Ni les ministres successifs, ni l’agence 7. La Cour des comptes, de son côté, réclame une programmation des moyens sur plusieurs années 7. Côté agents, un syndicat des finances publiques affirme avoir alerté sa direction dès juin sur ce risque 2. Sans confirmation de l’administration à ce stade.
Ce que devient une donnée volée
Une donnée d’identité ne se change pas. Un nom, une adresse sont sortis pour de bon 1,3. Pour certains agents de l’Éducation nationale, s’y ajoute le numéro de sécurité sociale 3,4. Un mot de passe se remplace en deux minutes. Un numéro fiscal, non.
Le danger porte un nom : l’hameçonnage. Un faux courriel du fisc, un faux SMS, crédibles parce qu’ils s’appuient sur de vraies démarches déjà faites 2. L’administration le reconnaît elle-même : « l’accès à des données personnelles facilite l’usurpation d’identité » 2. À ce jour, aucune fraude massive n’a été constatée à partir de ces fuites. Le risque est sérieux, mais il n’est pas encore réalisé. Dire l’inverse serait mentir.
Reste que, si ça tourne mal, la personne fichée est seule. Le gendarme des données personnelles peut punir l’organisme fautif. Il ne verse rien à la victime 8. Un exemple récent le montre. Un grand organisme public a été sanctionné de 5 millions d’euros après une fuite touchant 36,8 millions de personnes. Cette somme est allée à l’État. Aux personnes fichées, rien 10.
Pour être indemnisé, il faut aller au procès soi-même. Et prouver un préjudice précis. La justice européenne l’exige, la simple fuite ne suffit pas 9. L’action collective existe, mais elle reste peu utilisée, et lente 11.
Celui qui garde le fichier
L’État demande à chacun de déclarer ses revenus, ses comptes, ses biens. Sous peine d’amende en cas de retard. C’est lui qui rassemble ces données, dans de grands fichiers. La règle qui va avec est simple. Protéger ces données est l’obligation de l’organisme qui les détient, pas de la personne fichée.
En juin et en juillet, des identifiants ont ouvert ces fichiers. Le vol n’a été vu ni en juin, ni en juillet. Il a fallu qu’un pirate mette les données en vente pour que l’État l’apprenne 1,2.