Accumulation de piratages & Remédiations insuffisantes : l’État est-il en mesure de protéger le patrimoine informationnel qui lui est confié ?

Commission d’enquête parlementaire : une nécessité

Eté 2026 : Le piratage de la DGFiP

Eléonore Scaramozzino, Avocate Constellation Avocats,

Deuxième pays le plus piraté au monde en 2026, et le premier en Europe.

2026 est une année horrible pour la sécurité des données des français. En 2024-2025, le pays a enregistré une progression de 20,6 % des notifications de violations de données auprès de la CNIL, et les données personnelles d’un Français sur deux sont aujourd’hui considérées comme exposées. Dès 2024, le piratage des données de 33 millions de Français par des tiers-payants de santé, puis celui de France Travail, une violation majeure de données datant de mars 2024, qui a touché 36,8 millions d’inscrits et qui a valu à l’établissement une sanction de 5 millions d’euros par la CNIL en janvier 2026, avaient mis en évidence les risques considérables de fraude aux prestations sociales et d’usurpation d’identité qui découlent de telles failles. Dans leur note, les sénateurs rappellent qu’en 2025, la direction a détecté 6 972 cyberattaques, contre 2 579 en 2023, “soit une hausse d’environ 170 % en deux ans”, indiquent-ils. A la fin du mois d’août 2026, ce ne sont pas moins de 7 810 cyberattaques détectées depuis le début de l’année, soit davantage que sur l’ensemble de l’année 2025.  

Ces alertes n’ont pas été suivies des mesures nécessaires.

Début 2026, plus de 300 services français touchés, 23 millions de comptes compromis, 250 millions de données exposées.

Au cours du mois d’avril 2026, plusieurs incidents majeurs ont mis en évidence la gravité de la situation

• Le 5 avril 2026 : le groupe DumpSec a revendiqué le piratage de huit agences régionales de santé (ARS), compromettant 35 millions de dossiers médicaux, les données de 130 hôpitaux, ainsi que des données bancaires associées ;
• Le 6 avril 2026 : le groupe Akira a revendiqué le vol de 42 gigaoctets de données internes d’une société du secteur aéronautique, comprenant des documents techniques et des contrats financiers ;
•  Le 12 avril 2026 : la plateforme ÉduConnect a été compromise, exposant les données de 3,5 millions d’élèves mineurs et 7,2 millions de bulletins scolaires ;
• Le 15 avril 2026 : l’Agence nationale des titres sécurisés (ANTS) a été piratée, avec 18 à 19 millions d’identités civiles exposées (cartes nationales d’identité, passeports, permis de conduire) ;
•  Le 24 avril 2026 : l’Agence nationale des fréquences (ANFR) a été touchée, exposant les noms, adresses et dates de naissance de 330 000 personnes ;
• Le 24 avril 2026 : l’Agence de services et de paiement (ASP) a été ciblée, avec des données incluant noms, adresses et IBAN ;

Plusieurs incidents répétés ont été recensés au ministère de l’Éducation nationale : ayant perturbé la préparation de la rentrée scolaire.

• En avril 2026, le Ministère a révélé un incident ayant affecté un service de gestion des comptes des élèves rattaché à ÉduConnect. L’incident trouvait son origine dans l’usurpation, à la fin de l’année 2025, de l’identité d’un personnel habilité. Une faille de sécurité identifiée en décembre 2025 avait été exploitée peu avant sa résolution, permettant à l’attaquant de télécharger des données concernant des élèves au-delà de l’établissement initialement visé. Les informations concernées comprenaient notamment les nom et prénom, l’identifiant ÉduConnect, l’établissement et la classe, ainsi que, lorsqu’elle était renseignée, l’adresse électronique de l’élève.
• En juillet 2026, le ministère de l’Éducation nationale a par ailleurs rendu publique une seconde intrusion frauduleuse, survenue dans la nuit du 25 juillet, visant cette fois le système d’information consacré à la formation des personnels. Là encore, l’accès frauduleux a été réalisé à la suite de l’usurpation d’un compte professionnel. Le ministère a indiqué que cette intrusion avait pu conduire à l’exfiltration de données à caractère personnel concernant un nombre important de ses agents et que le système concerné contenait notamment des éléments d’identité et des informations professionnelles relatives à des agents ayant exercé en académie depuis 2001. Pour une partie d’entre eux, étaient également concernés des coordonnées, une adresse postale, un numéro de téléphone ou un numéro de sécurité sociale.

• Dès le 26 juillet, le ministère a suspendu l’accès externe au système concerné et activé une cellule de crise. Ces deux incidents au sein du ministère de l’Éducation nationale présentent un intérêt particulier pour les travaux de la commission : à quelques mois d’intervalle, deux systèmes distincts ont été affectés et, dans les deux cas, l’usurpation d’un compte d’un personnel disposant d’un accès légitime constitue un élément central de l’incident. Ils invitent donc à examiner l’efficacité des dispositifs de double authentification, de gestion des habilitations, de détection des comportements anormaux et de révocation des accès

Ils soulèvent également une question particulière quant à la protection des données des mineurs et des personnels de l’État. La commission devra notamment vérifier si les systèmes traitant ces données font l’objet d’une classification adaptée aux risques, si les accès sont limités au strict nécessaire et si les dispositifs de surveillance permettent d’identifier rapidement les utilisations anormales des comptes habilités.

L’État est-il vraiment en capacité de protéger le patrimoine informationnel qui lui est confié ?

Le piratage de la DGFiP : que s’est-il passé ?

Une intrusion détectée fin juin (et révélée en août) a exposé les données fiscales, d’identité, de cadastre et des coordonnées de centaines de milliers de contribuables français (près de 680 000 personnes concernées particuliers et professionnels).

La commission des finances du Sénat a rendu ses premiers travaux d’analyse sur la cyberattaque de la direction générale des finances publiques (DGFiP). Le président de la commission, le sénateur Claude Raynal, et le rapporteur Jean-François Husson, ont rédigé une note qui a été dévoilée par Le Monde » dans son édition du 4 septembre. L’attaque a conduit, entre autres, au vol des données fiscales d’environ 700 000 particuliers et entreprises. Cette fuite a été permise par des « fragilités structurelles » dans les systèmes d’information, selon plusieurs sénateurs.

Cet incident a conduit au vol de données fiscales par un accès frauduleux à l’application « e-contact » de l’administration fiscale, utilisée par les agents pour gérer les relations avec les usagers. Cette application n’avait pas de double authentification. Ceux des agents de la DGFiP, utilisés pour s’authentifier sur Ader, un portail applicatif du fisc, auraient été récupérés via un logiciel espion (infostealer). .

Trois défaillances sont explicitement pointées.

Ces piratages ont montré « plusieurs fragilités structurelles des systèmes d’information de la DGFiP ».

• Une première fragilité « tient à la multiplication des canaux d’accès aux applications et aux données de la DGFiP »,
• « l’absence de dispositifs permettant de détecter automatiquement un volume anormal de consultations ou d’extractions des bases de données ».

La note du Sénat relève enfin que les aménagements de connexion à distance mis en place pendant la crise sanitaire ont perduré sans mise à niveau :

• Les agents ont été autorisés à se connecter depuis leurs équipements personnels à des applications jugées moins sensibles (messagerie professionnelle, agenda, certains outils de ressources humaines),
•  Ces équipements étant précisément les plus exposés aux logiciels voleurs de mots de passe.
• Le même schéma avait été observé lors du piratage du ministère de l’Intérieur de décembre 2025, entré par l’ordinateur et la messagerie personnels d’un agent disposant d’un accès à distance 

Les sénateurs plaident pour un « meilleur équilibre entre la circulation des données et la sécurisation des accès », et relèvent l’absence de tout dispositif détectant les extractions massives, comme l’absence de double authentification sur un compte pourtant couvert par le secret fiscal.

L’attaquant ne franchit plus une barrière, il emprunte une porte ouverte au moyen d’une identité légitime. Ce déplacement de la menace, du logiciel vers l’identité, rend obsolètes les architectures conçues sur le modèle du périmètre de confiance.

Catégorie des données volées : gravité pour les personnes concernées

• Un fichier de coordonnées :

un fichier fiscal qualifie ses victimes. État civil, numéro fiscal, revenu fiscal de référence, quotient familial, nombre de parts, taux de prélèvement à la source

• le volet cadastral,

Les pirates connaissent les adresses et surfaces des biens détenus : un seul enregistrement livre le niveau de revenu, la composition du foyer et la consistance du patrimoine, avec l’adresse en regard. C’est exactement le matériau que recherchent les réseaux spécialisés dans les cambriolages ciblés et les séquestrations.

Audit de l’ANSSI

Le Gouvernement a demandé à l’Agence nationale de la sécurité des systèmes d’information (ANSSI) de conduire un audit à la suite des compromissions affectant la DGFiP. Les conclusions de cet audit devront permettre d’établir précisément les circonstances techniques et organisationnelles des incidents. La présente commission devra, sans préjuger de ces conclusions ni des responsabilités individuelles susceptibles d’être établies par les autorités compétentes, pouvoir en examiner les enseignements et déterminer si les mesures correctrices mises en œuvre répondent durablement aux vulnérabilités identifiées.

Reactiv :

Le premier ministre a demandé à l’Agence Nationale de la Sécurité des Systèmes d’information (ANSSI) de mettre en place une capacité renforcée de réaction, d’intervention et d’assistance aux services de l’Etat. Baptisée « Réponse & ACTi Interministérielle face aux Violations de données » (REACTIVE), ce dispositif opérationnel permet de mobiliser immédiatement les compétences et les moyens nécessaires à l’Agence aux côtés des ministères concernés. L’opération de Cyberdéfense REACTIV consiste ainsi en un basculement immédiat des efforts opérationnels de l’ANSSI pour renforcer l’appui qu’elle fournit aux ministères dans le traitement des compromissions de comptes utilisateurs et dans l’analyse des violations de données.

Ce n’est pas une « nouvelle » force mais un redéploiement de moyens, en complément de ce dont disposent déjà les ministères. L’agence ne fournit d’ailleurs aucun chiffre sur le contingent susceptible d’être mobilisé, notamment en cas d’attaques sur plusieurs fronts.

En revanche, les prérogatives de ces agents seront étendues. L’agence pourra désormais imposer aux administrations, dans des délais contraints, les mesures de protection qui s’imposent, et centralisera la communication technique de crise.

Reactiv est annoncé comme un « complément » à la feuille de route 2026-2027 de la sécurité numérique de l’État, dont l’exécution doit être « accélérée« . La feuille de route de la sécurité numérique de l’État 2026-2027 fixe la généralisation de l’authentification multi-facteurs aux systèmes « à enjeux » à février 2027, et à l’ensemble des systèmes à février 2028. L’articulation avec Ariane, la future autorité numérique associant Dinum et DITP, attendue pour 2027, reste également à préciser.

Volet judiciaire

Qualification juridique

La violation s’analyse en faute de service et relève du juge administratif. Le défendeur est l’État, représenté par le ministre chargé des comptes publics, et non « la DGFiP ». Aucune instance ne peut être engagée sans une demande préalable chiffrée : la victime doit avoir identifié ses postes de préjudice et articulé une somme avant même de saisir le tribunal, et la déchéance quadriennale, plus brève que la prescription de droit commun (5 ans). Articles R. 421-1 et R. 431-2 du code de justice administrative ; loi n° 68-1250 du 31 décembre 1968 relative à la prescription des créances sur l’État.

Le coût de la remédiation technique,

Pour le seul périmètre de la DGFiP, est pour sa part estimé autour de 26 à 40 M€ d’investissement, auxquels s’ajoutent 26 à 37 M€ par an (Estimation portant sur le seul périmètre de la DGFiP : authentification forte généralisée, gestion des accès à privilèges, journalisation centralisée et supervision comportementale, re-certification des habilitations).

Les actions en cours

• Le parquet de Paris a annoncé le 4 septembre la mise en examen et l’incarcération d’un homme de 18 ans, membre présumé du groupe ZeroBytes, déjà poursuivi pour d’autres cyberattaques. Un second suspect, mineur, a été relâché, son matériel informatique étant analysé. Il a depuis été mis en examen, le 4 septembre, dans un dossier distinct visant le collectif « Epsilon »

• La Cnil mène de son côté sa propre enquête. La loi interdit à l’autorité indépendante de prononcer des sanctions financières contre l’État. La DGFiP est une direction d’administration centrale dépourvue de personnalité juridique, dont les traitements sont mis en œuvre par l’État. Or l’article 20-IV de la loi du 6 janvier 1978 exclut, pour les traitements « mis en œuvre par l’État », non seulement l’amende administrative, mais aussi l’astreinte susceptible d’assortir l’injonction

• Démarche indemnitaire coordonnée fondée sur l’article 82 du RGPD, engagée le 24 août 2026. Une action indemnitaire coordonnée contre l’État a en effet été lancée. Elle revendiquait fin août environ un millier de plaignants

 Chaine complète de la sécurité

La succession de ces incidents est d’autant plus préoccupante qu’elle concerne des fonctions administratives très différentes. Les finances publiques, l’identité et les titres sécurisés, l’éducation, l’emploi et la protection sociale ne reposent pas sur les mêmes applications ni sur les mêmes catégories de données. Leur vulnérabilité successive invite donc à dépasser l’analyse de chaque incident pris isolément, afin d’examiner les éventuelles fragilités communes de la sécurité numérique de l’État

Ces affaires présentent en effet un point commun essentiel : elles démontrent que la protection des données publiques ne dépend pas uniquement de la sécurité des infrastructures techniques. Elle repose sur une chaîne complète de sécurité : sécurité des applications, gestion des comptes des personnels habilités, correction des vulnérabilités, contrôle des droits d’accès et capacité à détecter l’utilisation frauduleuse d’un compte pourtant légitime.

Une gouvernance des cyber risques à construire :

Plusieurs questions doivent notamment être examinées :

La cybersécurité n’est plus uniquement une question d’administration technique des systèmes d’information, mais bien une composante majeure de la gouvernance globale des risques d’entreprise.

La Gouvernance Cybersécurité stipule en effet que la stratégie de cybersécurité et l’appétence au risque doivent être arrêtées, financées et surveillées au plus haut niveau de la gouvernance de l’organisation. Il impose donc des canaux d’accountability reliant les équipes opérationnelles aux organes de décision.

De manière analogue, la norme ISO/IEC 27001 subordonne l’efficacité d’un Système de management de la sécurité de l’information (SMSI) à l’engagement explicite de la direction générale — clause 5, « Leadership » — et exige que les responsabilités et les autorités soient formellement déléguées et auditables à chaque strate hiérarchique.

Dans le cas de la DGFIP, le fait d’avoir autorisé la mise en ligne d’un système sans la mise en place d’une véritable authentification à facteurs multiples (MFA), tant pour les agents que pour les utilisateurs, relève donc d’un arbitrage stratégique, et non technique.

Même chose pour la dette technique, dont on comprend qu’elle est la priorité absolue du contrat d’objectifs et de moyens de la DGFIP. Dans sa feuille de route informatique, le fisc assure ainsi vouloir améliorer la situation, avec 52,2 % de ses systèmes répondant aux normes techniques actuelles, contre seulement 31 % en 2021, et un objectif de 78 % à fin 2027.

L’exposition résiduelle -conséquente- que génère cette dette technique non encore résolue doit donc être assumée par les dirigeants de la DGFIP au titre de leur accountability, ou redevabilité.

Chaine de décision

Il faut donc, dans le cas de la DGFIP comme dans toute organisation, reconstruire la chaîne de décision pour distinguer les différents niveaux de responsabilités et améliorer la résilience.

La nécessité d’une Commission d’Enquête sur les cyberattaques

L’accélération sans précédent des menaces au cours des premiers mois de 2026, la multiplication des incidents touchant simultanément des acteurs publics critiques (ANTS, ARS, EDF, ANFR, ASP), des données ultra-sensibles (identités civiles, données médicales, données nucléaires) et le tissu économique national justifient pleinement la création d’une instance d’investigation dotée des pouvoirs d’enquête les plus larges.

Evaluation indépendante :

A ce stade il apparaît essentiel de mettre en œuvre une évaluation indépendante afin

• D’apprécier l’état réel de la sécurisation des systèmes d’information de l’État et des opérateurs d’importance vitale ;
• D’évaluer le degré de dépendance de la France à des prestataires numériques extra-européens
• De vérifier l’adéquation des moyens humains, techniques et financiers de l’ANSSI (Agence nationale en matière de cybersécurité et de cyberdéfense) et du CERT-FR, d’une part, et, l’effectivité des sanctions prévues par la loi à l’encontre des auteurs et des utilisateurs de données piratées, d’autre part ;
• D’examiner les conditions dans lesquelles doit être développé un écosystème souverain d’entreprises françaises et européennes du secteur de la cybersécurité.
• Les incidents FICOBA, DGFiP et Éducation nationale rendent ces interrogations particulièrement concrètes.

La Sénatrice Nathalie Goulet, et plusieurs de ses collègues ont déposé au Sénat le 5 mai 2026, une proposition de résolution tendant à la création d’une commission d’enquête sur les cyberttaques et les fuites de données portant atteinte à la souveraineté numérique de la France. Cette commission d’enquête sera chargée :

• d’établir un bilan exhaustif des cyberattaques et fuites de données subies par les administrations, les opérateurs d’importance vitale et les entreprises françaises au cours des trois dernières années ;

• d’évaluer les capacités de détection, de réponse et de remédiation des services compétents, notamment de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et du centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), et l’adéquation de leurs moyens humains et budgétaires ;

• d’apprécier le degré de dépendance de l’État et des opérateurs stratégiques à l’égard de prestataires numériques extra-européens, et de formuler des recommandations pour y remédier, notamment en faveur d’un hébergement souverain des données sensibles ;

• d’examiner l’état de transposition des directives européennes en matière de cybersécurité (NIS2, CER, DORA) et leur effectivité ;

• de proposer les évolutions législatives, réglementaires et budgétaires nécessaires pour renforcer la souveraineté numérique de la France et la protection des données de ses citoyens ainsi que pour développer un écosystème d’entreprises françaises et européennes de cybersécurité.

]

Assemblée Nationale

Le jeudi 27 août 2026, le député Philippe Latombe, a déposé une proposition de résolution, tendant à la création d’une commission d’enquête sur les failles de cybersécurité ayant permis des accès, fuites et extractions illégitimes des données confiées par les Français à l’État et aux organismes publics, afin d’en identifier les causes, les conséquences et les responsabilités en matière de sécurité des systèmes d’information. Proposition de résolution n° 3112 de l’Assemblée nationale

La commission d’enquête

• Examinera les circonstances, les causes, les conséquences et la gestion des incidents de cybersécurité ayant affecté récemment des administrations, opérateurs et services publics,
• Évaluera notamment :
  • L’efficacité des dispositifs d’authentification, d’identification et de gestion des habilitations, notamment lorsque des comptes ou identifiants d’agents publics ont été compromis ou utilisés frauduleusement ;
  • La sécurité des systèmes traitant les données les plus sensibles, notamment les données fiscales, financières, d’état civil, d’identification, de scolarité, de santé, sociales et professionnelles ;
  •  La gestion des vulnérabilités et des correctifs de sécurité, ainsi que les délais de détection et de correction des failles ;
  •  La capacité des administrations à détecter les comportements anormaux, les accès illicites et les extractions massives de données, notamment au moyen de la journalisation et de l’analyse des traces de connexion ;
  •  La segmentation des réseaux et des systèmes d’information, ainsi que la limitation des droits d’accès au strict nécessaire ;
  • Les moyens humains, techniques et budgétaires consacrés à la cybersécurité, leur répartition entre administrations et leur adéquation au niveau de sensibilité des données traitées ;
  • La gouvernance de la cybersécurité de l’État, notamment la répartition des responsabilités entre administrations, opérateurs, directions des systèmes d’information, responsables de la sécurité des systèmes d’information, autorités de contrôle et organismes compétents en matière de cyberdéfense ;
  • Les conditions dans lesquelles les prestataires, sous-traitants et autres tiers accèdent aux systèmes et aux données publics, ainsi que les dispositifs de contrôle, d’audit et de révocation de ces accès ;
  •  Les procédures de détection, de signalement, de traitement et de notification des violations de données, ainsi que les conditions dans lesquelles les personnes concernées sont informées ;
  • Les conséquences des incidents pour les citoyens, les agents publics, les entreprises et la continuité des services publics, notamment les risques d’usurpation d’identité, de fraude, d’hameçonnage, d’espionnage économique ou d’ingérence étrangère.

• Déterminera si
  • cette chaîne de sécurité est aujourd’hui suffisamment robuste, homogène et contrôlée, pour garantir aux Français que les données qu’ils confient à la puissance publique sont protégées contre les accès, utilisations et extractions non autorisés, mais également si l’État dispose des moyens nécessaires pour détecter, contenir et traiter rapidement les incidents lorsqu’ils surviennent.
  • Les moyens humains, techniques et budgétaires consacrés à la cybersécurité, leur répartition entre administrations et leur adéquation au niveau de sensibilité des données traitées sont pertinents et suffisants ;
  • Il existe une gouvernance de la cybersécurité de l’État, établissant notamment la répartition des responsabilités entre administrations, opérateurs, directions des systèmes d’information, responsables de la sécurité des systèmes d’information, autorités de contrôle et organismes compétents en matière de cyberdéfense ;
  • Les conditions dans lesquelles les prestataires, sous-traitants et autres tiers accèdent aux systèmes et aux données publics, ainsi que les dispositifs de contrôle, d’audit et de révocation de ces accès ;
  • Les procédures de détection, de signalement, de traitement et de notification des violations de données, ainsi que les conditions dans lesquelles les personnes concernées sont informées ;
  • Les conséquences des incidents pour les citoyens, les agents publics, les entreprises et la continuité des services publics, notamment les risques d’usurpation d’identité, de fraude, d’hameçonnage, d’espionnage économique ou d’ingérence étrangère.

• Déterminera si les incidents précités relèvent principalement de défaillances ponctuelles propres aux systèmes concernés ou s’ils révèlent des vulnérabilités communes et structurelles dans l’organisation, la gouvernance, la sécurisation et la supervision des systèmes d’information publics ;

• Formulera, le cas échéant, des propositions visant à renforcer durablement la sécurité et la résilience des systèmes d’information de l’État et des organismes publics, à améliorer la protection des données confiées par les citoyens à la puissance publique et à renforcer les mécanismes de contrôle, d’audit, de prévention et de réaction en matière de cybersécurité.

A suivre…..