Cybersécurité : les failles des institutions publiques mises à nu après une série d’incidents

La DGFiP, l’ANTS, Bloctel, l’Insee… En quelques mois, les institutions publiques françaises enchaînent les piratages. Les données personnelles de millions de citoyens circulent sur des forums hackers. L’État encaisse, mais encaisse-t-il les leçons ?

Les incidents se succèdent et le constat devient difficile à ignorer : la sécurité des systèmes d’information publics est à la peine. Si tu travailles dans une administration, tu connais déjà la chanson. Les experts le répètent depuis des années. Les faits viennent de leur donner raison. Entre protection des données et réalité du terrain, le fossé se creuse.

Une salve d’incidents qui met les institutions publiques sous pression

Mi-août 2026, le groupe ZeroBytes revendique le vol de données à la Direction générale des Finances publiques. 678 000 usagers sont concernés. Deux semaines plus tôt, c’est l’Agence nationale des titres sécurisés (ANTS) qui prenait cher : 11,7 millions de comptes exposés. Des numéros de sécurité sociale, des adresses, des données d’identité.

Le fisc et les titres sécurisés ne sont pas les seuls touchés. L’Insee, Bloctel, plusieurs rectorats… la liste s’allonge à un rythme inquiétant. À chaque fois, le même scénario : des accès compromis, des données exfiltrées, une communication gouvernementale qui tente de rassurer. Chaque attaque informatique révèle un peu plus les fragilités du système.

Les précédents qui auraient dû servir de signal d’alarme

On pourrait croire à une mauvaise série. C’est en réalité un pattern. Depuis 2024, les attaques contre les services publics se multiplient. Les collectivités locales sont prises pour cible, les hôpitaux aussi. Chaque incident révèle des vulnérabilités similaires : des comptes administrateurs faiblement protégés, des correctifs non appliqués, une confidentialité des données trop souvent négligée.

La question parlementaire posée par la députée Caroline Colombier au Premier ministre résume le sentiment général : la recrudescence des fuites touchant des organismes publics essentiels n’est plus acceptable. Reste à savoir si l’exécutif a pris la mesure du problème.

• 🔴 DGFiP : 678 000 usagers exposés, revendiqué par ZeroBytes
• 🟠 ANTS : 11,7 millions de comptes compromis
• 🟡 Insee : données économiques et personnelles dérobées
• 🟠 Bloctel : fichiers de démarchage téléphonique exfiltrés
• 🔴 Rectorats : plusieurs académies touchées par des ransomwares

Des failles structurelles : pourquoi l’État reste une cible facile

Les failles des institutions publiques ne tombent pas du ciel. Elles s’expliquent par une accumulation de retards. D’abord, des systèmes d’information vieillissants, maintenus à bout de bras. Ensuite, une gestion des accès trop permissive : trop de comptes ouverts, trop de droits accordés, trop peu de contrôles.

Prenons un exemple concret. Un agent de la DGFiP se connecte à distance avec un mot de passe partagé. Personne ne le sait. Personne ne le surveille. C’est exactement ce genre de détail qui a pu servir de porte d’entrée aux attaquants. La cybersécurité se joue autant dans les salles de serveurs que dans les habitudes de chaque agent.

La directive Nis 2, parent pauvre de la transposition française

Autre angle mort : la directive européenne Nis 2. Elle impose pourtant des exigences renforcées en matière de cybersécurité aux entités publiques et privées. La France accuse un retard préoccupant dans sa transposition en droit national. Les experts le martèlent : chaque mois de retard laisse le champ libre aux attaquants.

« Peu de ministères sont au niveau requis », a reconnu Sébastien Lecornu, ministre de la Défense. Un aveu rare, mais qui confirme ce que les audits internes révélaient déjà : la protection des données publiques est restée trop longtemps au second plan.

Le plan Lecornu : 200 millions d’euros et une nouvelle unité cyber

Face à l’urgence, le gouvernement a dégainé un plan. 200 millions d’euros pour sécuriser les systèmes d’information de l’État, et la création d’une « nouvelle unité cyber » dédiée à la défense des administrations. De quoi colmater les brèches les plus visibles.

Sur le papier, l’effort est louable. Mais les RSSI des administrations le savent bien : un budget ne suffit pas. Encore faut-il recruter, former, et surtout réorganiser la manière dont les projets numériques sont menés.

Une réponse budgétaire, mais une vraie question de méthode

La sécurité ne s’achète pas uniquement à coups de millions. Elle se construit au quotidien : gestion des accès, authentification multi-facteurs, audits réguliers, sensibilisation des agents. Demande-toi comment tes collègues gèrent leurs mots de passe. La réponse est souvent effrayante.

Les experts interrogés restent prudents. Beaucoup attendent de voir comment cette nouvelle unité cyber s’articulera avec l’ANSSI, déjà en première ligne depuis des années. Le risque ? Empiler une couche de plus sur un mille-feuille déjà complexe, sans régler les problèmes de fond.

Protéger les données : les pistes concrètes pour sortir de la spirale

Alors, comment inverser la tendance ? Les pistes ne manquent pas. Elles exigent surtout de la cohérence et de la constance.

• 🛡️ Transposer Nis 2 sans délai et avec des moyens de contrôle réels
• 🔑 Généraliser l’authentification multi-facteurs sur tous les services publics
• 📋 Réaliser des audits de sécurité réguliers, publiés et audités
• 👷 Recruter et former les agents publics à la cybersécurité
• 🌍 Privilégier des solutions open source hébergées en Europe

Des exemples qui montrent que c’est possible

Certaines collectivités ont réussi à inverser la tendance. La ville de Rennes, par exemple, a mutualisé ses compétences avec d’autres métropoles. Résultat : des équipes dédiées, des tests d’intrusion réguliers, et zéro incident majeur depuis trois ans. Preuve que la méthode paie.

L’État peut s’en inspirer. Il en va de la confiance des citoyens dans les services publics. Chaque fuite de données érode un peu plus cette confiance. Et une fois qu’elle est perdue, les promesses ne suffisent plus à la restaurer. Combien de fois faudra-t-il répéter le même scénario avant d’agir ?

Les institutions publiques ont les moyens de se reprendre. Encore faut-il accepter de regarder les vulnérabilités en face, sans détour. L’heure n’est plus aux constats. Elle est aux actes.

Gabriel Raynaud

Rédacteur en chef de SOFTEL, magazine tech français indépendant. Ancien ingénieur en régie publicitaire reconverti dans le journalisme tech depuis 2017. Passionné de Linux et de souveraineté numérique européenne.