Le fait brut : douze fuites en huit mois

Pas de commentaire. Pas d’indignation. Le tableau suffit.

Le cumul de ces seuls incidents dépasse vingt millions de comptes exposés, hors doublons entre bases. Il s’agit d’un calcul mécanique à partir des volumes officiellement confirmés ou revendiqués : il ne correspond pas à un nombre de personnes uniques, un même citoyen pouvant figurer dans plusieurs de ces fichiers.

Le détail qui accuse : qui prévient qui ?

Dans l’affaire de la DGFiP, l’administration a détecté en juin et juillet la compromission de comptes utilisés par l’attaquant, a coupé ces accès, et n’a pas identifié le vol de données. La confirmation publique n’intervient que le 14 août, au lendemain de la revendication du pirate sur un forum criminel. Entre l’intrusion et l’aveu : environ quarante-huit jours.

Le déclencheur de la communication n’a donc pas été la découverte de l’incident par l’État. C’est sa publicité par l’attaquant. Sans la vantardise du pirate, personne n’aurait rien su.

Ce que révèlent les vecteurs d’attaque

Lisez la colonne de droite du tableau. Il n’y a pas une seule attaque sophistiquée.

Pas de faille inédite achetée à prix d’or, pas de service de renseignement étranger, pas de logiciel malveillant que personne n’aurait su détecter. Des identifiants d’agents volés par hameçonnage. Des comptes de prestataires réutilisés. Et, à deux reprises, une vulnérabilité qui porte un nom que tout développeur connaît depuis vingt ans : l’IDOR, la plus élémentaire des failles de contrôle d’accès. Il suffit de changer un numéro dans une adresse web pour lire le dossier de quelqu’un d’autre.

C’est ainsi que le portail de France Titres, qui gère les passeports, cartes d’identité, permis de conduire et cartes grises, a exposé 11,7 millions de comptes — près d’un Français sur six. L’auteur présumé, interpellé le 25 avril 2026, avait quinze ans.

Une nuance mérite d’être portée au crédit de l’attaquant, et elle est plus inquiétante que la faille elle-même : dans le cas de la DGFiP, les données ne sont pas sorties par un tunnel clandestin. Elles sont sorties par le canal applicatif normal, celui qu’utilisent les agents toute la journée. Une extraction de plusieurs centaines de milliers de lignes a pu ressembler, dans les journaux de connexion, à un fonctionnaire très consciencieux. C’est très exactement ce qu’un dispositif de détection élémentaire — un quota de consultation, une alerte sur volume anormal — aurait arrêté en quelques minutes.

Autrement dit : ce n’est pas la défense qui a été débordée. C’est qu’il n’y avait pas de défense à cet endroit.

Ce que je sais de l’intérieur

J’ai été ingénieur territorial, spécialité informatique, dans le service informatique d’une métropole : une ville-centre de plus de 350 000 habitants et vingt-sept communes, dont les serveurs hébergeaient l’état civil, les régies, la paie, les marchés publics, les données sociales.

Un jour, la direction a commandé un audit de sécurité. Le directeur pavanait : les serveurs avaient été « travaillés », la sécurité était « au point ». Nous étions prêts.

Au bout d’une demi-heure, les auditeurs sont ressortis avec l’intégralité des mots de passe administrateur.

La sécurité déclarée n’est pas la sécurité constatée. Et personne, jamais, ne mesure l’écart entre les deux.

Je ne raconte pas cette histoire pour accabler ce directeur, qui n’était ni incompétent ni négligent au sens ordinaire. Il croyait sincèrement ce qu’il disait. C’est précisément le problème : dans l’administration française, le niveau de sécurité est une déclaration. Il figure dans un tableau de bord, dans un rapport d’activité, dans une réponse à un questionnaire budgétaire. Il n’est presque jamais vérifié par un tiers hostile, et quand il l’est, le résultat reste dans un tiroir.

Ce que révèlent les douze fuites de 2026, ce n’est pas une agression venue de l’extérieur. C’est le même écart, à l’échelle de l’État : entre ce qu’on croit avoir protégé et ce qui est réellement protégé, il y a une demi-heure de travail pour quelqu’un qui sait ce qu’il fait.

La réponse de l’État : ajouter une case à l’organigramme

Quatre mois, trois annonces de gouvernance, aucun ingénieur supplémentaire.

30 avril 2026. Après la fuite de France Titres, le Premier ministre annonce la création d’une nouvelle autorité numérique de l’État, ARIANE — Autorité nationale du numérique et de l’intelligence artificielle — directement rattachée à ses services, issue de la réforme conjointe de la DINUM et de la DITP. Sa mission : standardiser et sécuriser des infrastructures ministérielles jugées trop disparates. Création administrative prévue avant le 1^er janvier 2027.

11 mai 2026. Un préfigurateur est nommé par lettre du Premier ministre, puis installé par décret le 10 juin.

19 août 2026. Après les trois fuites de la DGFiP, le Premier ministre écrit au secrétaire général de la défense et de la sécurité nationale pour exiger la constitution d’une « nouvelle unité cyber », une équipe de contact chargée d’intervenir en première ligne. Délai accordé pour présenter son organisation et ses règles d’engagement : trois jours.

Dans cette même lettre, le chef du Gouvernement écrit que « peu de ministères sont au niveau requis » et que « ce n’est pas acceptable ». Il a raison. Mais c’est un constat, pas une mesure.

Ce que pèsent réellement ces structures

Trois constats sortent de ce tableau, et aucun n’est une opinion.

Un. ARIANE ne crée aucun poste. Le mot « fusion », employé le 30 avril, a été corrigé dès la semaine suivante : la DITP reste autonome et absorbe même une partie des effectifs de la DINUM — accessibilité, démarches en ligne, service aux usagers — tandis que la DINUM est recentrée sur son rôle d’architecte du numérique de l’État. Ce n’est pas un renforcement. C’est un déplacement de cases entre deux directions existantes.

Deux. Le budget de l’ANSSI est plat. Ses crédits métier restent à 26,9 M€, l’effort portant sur douze emplois supplémentaires. L’agence avait pourtant prévenu : pour préparer la directive NIS 2, elle avait demandé 35 M€ et soixante emplois. Elle a obtenu 27 M€ et aucun poste.

Trois. Le rapport de forces est arithmétiquement intenable. Avec la transposition de NIS 2, le périmètre de régulation de l’ANSSI passe d’environ cinq cents opérateurs à quinze mille entités. Avec 668 agents.

À la DGFiP, la directrice générale a précisé que plus de cent emplois étaient consacrés à la cybersécurité sur plus de 5 300 informaticiens. Moins de deux pour cent. Pour l’administration qui détient le revenu, le patrimoine et la composition familiale de chaque foyer français.

Une faille ne se répare pas par un organigramme.

La preuve par le vide juridique

L’État exige des entreprises un niveau de sécurité qu’il n’a ni transposé, ni appliqué.

La directive européenne NIS 2 devait être transposée en droit national avant le 17 octobre 2024. Le projet de loi français — dit « loi Résilience », qui transpose simultanément NIS 2, la directive sur les entités critiques et le règlement DORA — a été adopté par le Sénat le 12 mars 2025, examiné en commission spéciale à l’Assemblée nationale en septembre 2025, puis n’a plus bougé. L’examen en séance publique, annoncé pour juillet 2026, a été repoussé à la rentrée parlementaire.

Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France pour défaut de transposition, en demandant des sanctions financières sous forme de somme forfaitaire et d’astreintes journalières.

Conséquence concrète : entre quinze mille et vingt mille entreprises et collectivités françaises doivent construire leur conformité sans cadre légal opposable. L’ANSSI a publié le 17 mars 2026 un référentiel — le ReCyF — qui n’a, faute de loi, qu’une valeur de recommandation. Le régulateur travaille sans mandat, les régulés sans obligation, et l’État sans exemplarité.

Un détail achève le tableau : l’un des points de blocage du texte porte sur un article interdisant l’imposition de portes dérobées dans les services de chiffrement. La France n’arrive pas à voter sa loi de cybersécurité parce qu’une partie de l’appareil d’État voudrait pouvoir affaiblir le chiffrement.

Ce que font les pays réellement attaqués

L’argument n’est pas que d’autres ne sont jamais piratés. C’est qu’ils survivent au piratage.

Disons-le d’emblée pour ne pas prêter le flanc : l’Estonie et l’Ukraine sont attaquées, et durement. L’Estonie a subi en 2007 l’une des premières cyberattaques massives visant un État. Son agence nationale recense chaque année des incidents sérieux : attaques par déni de service ayant paralysé près d’une journée la vente de billets de train, intrusion sur le réseau de chauffage urbain, vol de données de santé de dix mille personnes.

Quant à l’Ukraine, elle a subi en décembre 2024 ce que ses autorités ont qualifié de plus grande cyberattaque externe contre ses registres d’État : quatorze registres du ministère de la Justice désactivés, naissances, mariages et décès enregistrés à la main sur papier, transactions immobilières suspendues. L’attribution a été portée sur le renseignement militaire russe.

Trois choix techniques estoniens méritent d’être copiés, et ils sont documentés :

La décentralisation. La plateforme X-Road organise un échange de données direct entre l’émetteur et le destinataire, sans stockage dans un hub central. Il n’existe donc pas de fichier unique à voler. Chaque organisation exploite son propre serveur de sécurité, chaque donnée transmise est signée et horodatée, chaque accès est traçable.

La journalisation opposable. Le citoyen peut voir qui a consulté son dossier. En France, la DGFiP a mis quarante-huit jours à s’apercevoir qu’un compte d’agent aspirait sa base.

La continuité hors sol. L’Estonie a signé dès 2017 avec le Luxembourg un accord d’ambassade de données, opérationnelle en 2018, qui garantit la continuité des services essentiels de l’État même si le territoire national devient inaccessible.

L’Ukraine, elle, a restauré ses registres étape par étape après l’attaque — notaires, état civil, registre unique — en quelques semaines, sous les bombes.

Le contraste est là, et il est humiliant : l’Ukraine est attaquée toutes les nuits par un service de renseignement d’État et remet ses registres en service en quelques semaines. La France est attaquée par deux personnes derrière un pseudonyme et ne s’aperçoit de rien pendant plus d’un mois.

Le cas de l’identité numérique : deux applications, un citoyen

Le même désordre produit les mêmes effets sur le chantier le plus stratégique du numérique public.

La carte nationale d’identité électronique existe depuis le 2 août 2021, au format carte bancaire, avec puce sécurisée, en application d’un règlement européen. C’est une bonne carte. Le problème n’est pas le titre : c’est ce que l’État en a fait.

Aujourd’hui, un citoyen français qui veut dématérialiser ses papiers doit composer avec deux applications, deux émetteurs, deux ministères et deux parcours d’activation :

• France Identité, portée par l’Agence nationale des titres sécurisés et le ministère de l’Intérieur, qui embarque la carte d’identité, le permis de conduire et la carte grise. Elle exige une CNIe, un téléphone équipé du NFC, iOS 16.6 ou Android 11 minimum.
• L’appli carte Vitale, portée par le GIE SESAM-Vitale et l’Assurance Maladie, généralisée le 18 novembre 2025 à tous les assurés — soit par France Identité pour les détenteurs d’une CNIe, soit par un parcours d’activation vidéo biométrique distinct pour les autres.

Deux chaînes d’identification pour une seule personne. Et un cadre réglementaire séparé : le référentiel autorisant l’appli carte Vitale comme moyen d’authentification a été publié au Journal officiel le 10 février 2026, avec vingt-sept exigences et quatre recommandations propres ; les fournisseurs ne pourront déposer une demande d’autorisation qu’à partir de juin 2026, pour une mise en service envisagée au quatrième trimestre.

Le plus révélateur est ailleurs. Interrogé à l’Assemblée nationale, le Gouvernement a reconnu que si le permis et la carte grise numériques sont acceptés partout par les forces de l’ordre, le justificatif d’identité produit par France Identité ne bénéficie pas d’une reconnaissance équivalente à une photocopie de carte d’identité : le droit français ne permet pas encore la généralisation d’attestations électroniques interopérables au sens du règlement eIDAS 2.

L’État a donc construit l’outil, dépensé l’argent, formé les usagers — et n’a pas écrit le droit qui rend l’outil opposable. Exactement comme il a construit une agence de cybersécurité sans voter la loi qui lui donne mandat.

La cible est pourtant évidente, et elle est déjà écrite dans le droit européen : un seul portefeuille, un seul émetteur, un seul protocole, réunissant identité, droit à conduire et droits sociaux, avec présentation sélective — prouver qu’on a plus de dix-huit ans sans révéler sa date de naissance, prouver son droit à conduire sans livrer son adresse. Et une carte physique unique pour ceux qui n’ont pas de smartphone, ou qui n’en veulent pas.

Un titre. Une identité. Un protocole. Ce n’est pas une révolution technologique : c’est de l’ordre.

Nos six mesures

Aucune ne crée de comité. Aucune ne crée d’autorité. Toutes sont vérifiables.

Le financement n’est pas le problème. Les 200 millions d’euros débloqués en avril 2026 et l’affectation des amendes de la CNIL suffisent à amorcer ces six chantiers. Ce qui manque n’est pas l’argent : c’est la décision de faire faire le travail à des ingénieurs plutôt qu’à des organigrammes.

On ne colmate pas une passoire en ajoutant une autorité au-dessus.