Fuites publiques : ce n'est plus une série d'incidents, c'est un régime

Sur les dix derniers jours, quatre organismes publics français ont été visés par des revendications de vol de données : la Direction générale des Finances publiques, Santé publique France, le portail France VAE et l’Agence pour l’enseignement français à l’étranger. Le ministère de l’Éducation nationale a par ailleurs confirmé une intrusion visant les données de ses propres agents.

Traiter chacun de ces événements comme un incident isolé revient à manquer ce qu’ils ont en commun.

Ce que la série révèle

Le point commun n’est pas technique au sens où on l’entend habituellement.

Dans le cas de la DGFiP, dont nous détaillons l’incident dans un article distinct, Bercy indique que l’accès a été obtenu après une usurpation d’identité. En février, le fichier national des comptes bancaires FICOBA avait été atteint après l’usurpation des identifiants d’un fonctionnaire, avec 1,2 million de comptes potentiellement concernés.

Deux fois le même ministère, deux fois le même vecteur : un accès légitime détourné.

Le cas de Santé publique France présente une variante instructive. Selon les éléments publiés, l’attaquant décrit une élévation de privilèges obtenue en modifiant le rôle d’un utilisateur dans une requête envoyée au serveur. C’est une faille d’autorisation classique, connue depuis des décennies, qui figure en tête des listes de vulnérabilités les plus courantes.

L’agence a confirmé le 13 août que 80 000 contacts étaient concernés, en précisant que la plateforme visée, moncoupon.santepubliquefrance.fr, était hébergée par un prestataire, indépendante des applications de santé, et qu’aucune donnée médicale n’était en cause.

Aucun de ces incidents ne relève d’une vulnérabilité inédite. Ce sont des défaillances d’hygiène : gestion des accès, authentification, cloisonnement, contrôle des prestataires.

Les chiffres disponibles

Ils sont partiels, et il faut le dire.

Le décompte le plus cité pour 2026 fait état de 43,4 millions de comptes compromis en France sur six mois, tous secteurs confondus. Il provient d’un site spécialisé dans le recensement des fuites, pas d’une autorité publique.

Pour le secteur public, le bilan 2024 de l’ANSSI, cité dans une question écrite parlementaire, recensait 218 incidents affectant directement des collectivités territoriales, soit 14 % des signalements nationaux de l’année.

Aucun tableau de bord public ne permet aujourd’hui de suivre en temps réel le nombre d’administrations touchées, le volume de données concernées ni le délai moyen entre l’incident et son signalement. Cette absence est en elle-même une information.

La réaction politique existe, sans réponse

Quatre questions écrites déposées à l’Assemblée nationale portent sur ce sujet, et leurs intitulés en disent long.

La question n° 12799, déposée par le député Julien Odoul, s’intitule sans détour « Cyberattaques à répétition : l’échec de la politique de cybersécurité de l’État ». Elle cite notamment la compromission des données d’environ 90 000 usagers de la Carte avantages jeunes de Bourgogne-Franche-Comté en janvier 2026.

La question n° 13161, de la députée Michèle Tabarot, porte sur la hausse des attaques visant les services publics et s’appuie sur les chiffres de l’ANSSI.

La question n° 13264, du député Hadrien Clouet, vise spécifiquement le FICOBA et évoque une défaillance des systèmes de protection du ministère de l’Économie.

La question n° 13535, de la députée Marie-France Lorho, porte sur les données de santé et recense trois agences régionales de santé attaquées en septembre 2025, la plateforme MédecinDirect en novembre 2025, puis un incident de février 2026.

Ces questions couvrent quatre groupes politiques différents. Aucune n’a reçu de réponse publique à notre connaissance.

Pourquoi ça compte

Il y a une contradiction que le discours public français ne résout pas.

La France défend la souveraineté numérique comme une exigence de sécurité. Nous l’avons documenté à plusieurs reprises, notamment lorsque la DGSI a remplacé Palantir par un fournisseur national au nom de la réduction des dépendances.

Le raisonnement est solide : confier des données sensibles à un prestataire soumis à une loi étrangère crée un risque. Mais il suppose que l’alternative nationale soit effectivement plus sûre. Or les incidents de cet été ne viennent pas d’une puissance étrangère exerçant une contrainte juridique. Ils viennent d’identifiants volés et de contrôles d’accès défaillants, sur des systèmes hébergés en France par des acteurs français.

Rapatrier une donnée ne la protège pas. Cela déplace la responsabilité, sans réduire mécaniquement le risque.

Il y a une seconde conséquence, plus concrète. La confiance dans les services publics numériques repose sur une hypothèse implicite : ce que je déclare à l’administration reste chez elle. Chaque incident érode cette hypothèse, et l’érosion se paie sur des dispositifs qui n’ont rien à voir, du dossier médical partagé à l’identité numérique.

Enfin, un dernier élément mérite attention pour les entreprises. Les données extraites de la DGFiP concernent 285 570 professionnels. Une société dont le dirigeant reçoit un appel citant son revenu déclaré et son adresse d’imposition est exposée à une fraude au président d’une crédibilité inédite.

Les angles morts

Le chiffre de 43,4 millions de comptes compromis provient d’un site de recensement privé. Sa méthodologie n’est pas publique et il peut compter plusieurs fois une même personne présente dans différentes fuites. Nous le citons comme ordre de grandeur.

Nous n’avons pas pu établir de lien technique entre les incidents. Le recours à un même pseudonyme dans plusieurs revendications suggère un auteur commun pour certaines d’entre elles, sans que cela soit confirmé par une source officielle.

Les délais de notification ne sont pas documentés de façon homogène. Le RGPD impose une notification à la CNIL sous 72 heures, mais nous ne disposons pas des dates de signalement pour chacun des incidents cités, ce qui empêche d’évaluer le respect de cette obligation.

Enfin, l’absence de réponse aux questions écrites n’est pas nécessairement significative : les délais de réponse gouvernementaux se comptent souvent en mois, et la période estivale les allonge.