Si l’État français était un immeuble, ce serait un bâtiment haussmannien cossu avec une porte d’entrée à digicode, son code scotché sur l’interphone depuis 2017. Évidemment, ce digicode ne protège pas des vélos dans un local poubelle, mais les données bancaires, fiscales et personnelles des soixante-dix millions de Français.
Et si vous pensiez que la série de cyberattaques contre l’administration était un phénomène passager ou que si un problème se fait jour dans une administration, ce n’est pas pour cela que toutes les autres sont percluses de hacking sauvage, détrompez-vous : depuis décembre 2025 et comme un précédent billet le mentionnait avec un peu de consternation, c’est un véritable festival ininterrompu.
On pourrait (pour faire court) remonter par exemple à mi-décembre, quand un pirate compromet les serveurs du ministère de l’Intérieur, accédant aux fichiers TAJ (antécédents judiciaires) et FPR (personnes recherchées) ce qui représente potentiellement 16,5 millions d’entrées, coupables comme victimes… Un début roboratif.
Mais ce n’est pas tout : début janvier, c’est l’OFII qui tombe, avec 2,1 millions de dossiers d’étrangers en libre accès sur le « dark web » (via un sous-traitant, évidemment).
Mais ce n’est pas tout : mi-janvier, l’Urssaf révèle de façon presque décontractée qu’un accès frauduleux a exposé les données de 12 millions de salariés, offrant aux pirates noms, prénoms, dates de naissance, employeurs. Douze millions, soit un salarié français sur deux.
Mais ce n’est pas tout : début février, c’est la plateforme de recrutement « Choisir le Service Public » – nom ironique s’il en est – qui est piratée à son tour. Les données personnelles et professionnelles de milliers de fonctionnaires se retrouvent dans la nature. Quelque part, c’est très pratique : les aspirants fonctionnaires, directement concernés par cette fuite, découvrent les joies du service public avant même d’y entrer. Quel gain de temps !
Mais ce n’est toujours pas tout : le 18 février dernier, c’est Bercy qui annonce, dans un e-mail plat duquel ne ressort pas vraiment la honte que devrait inspirer ce genre d’événement, que le fichier FICOBA a été infiltré, et ce pendant plusieurs semaines. FICOBA, pour ceux qui l’ignorent, c’est en quelque sorte l’annuaire centralisé de tous les comptes bancaires ouverts en France. Un pirate a ainsi consulté 1,2 million de comptes, avec leur IBAN, l’identité des titulaires et leurs adresses. Le plus beau reste sans doute le mode opératoire puisqu’il s’agit tout simplement de l’usurpation des identifiants d’un fonctionnaire, soit un simple identifiant et le mot de passe associé. Nous sommes en 2026, et des fichiers sensibles comme celui-ci ne disposent toujours pas d’authentification à deux facteurs.
Et pour couronner le tout, le 20 février, 2 393 agents de la DGSI, de la DGSE, de la Police, de la Gendarmerie et même de la CNIL se retrouvent exposés dans une compilation de fuites antérieures. On notera avec un amusement gêné que la CNIL, l’autorité censée vérifier que les données des Français sont bien protégées, compte 86 de ses propres agents dans le lot. Le cordonnier est non seulement mal chaussé, mais il marche pieds nus dans un champ de tessons.
Le rapport 2025 du ministère de l’Intérieur dénombrait déjà plus de 17 500 cyberattaques en France, soit une hausse de 4 %. On attend les chiffres de 2026 avec la sérénité d’un passager du Titanic qui vient d’entendre un bruit bizarre.
Comment en est-on arrivé là ?
Ici, la presse de grand chemin accusera facilement les Russes, les conspirationnistes et les non-vaccinés parce qu’elle n’est pas réputée pour faire le tri dans ses prétextes. Mais plus sérieusement, on pourra noter trois failles structurelles qui se conjuguent pour faire de l’État français un buffet à volonté numérique.
D’abord, la centralisation pathologique. La France a toujours adoré les grands fichiers : un fichier unique pour tous les comptes bancaires (FICOBA), un fichier unique pour tous les antécédents judiciaires (TAJ), un fichier unique pour 36 millions de demandeurs d’emploi (ce qui a valu à France Travail d’être condamnée à 5 millions d’amende par la CNIL pour sa gestion calamiteuse du piratage de 2024).
En théorie, l’avantage d’un fichier centralisé, c’est l’efficacité administrative. En pratique, la seule efficacité administrative aura été de constituer un point unique de défaillance, le reste des services continuant de s’enfoncer de toute façon dans la médiocrité.
Ensuite, le sous-investissement chronique. Pendant que la France parade dans les rapports internationaux sur la cyberdéfense, les DSI ministérielles fonctionnent avec des bouts de chandelle. L’ANSSI, bras armé de l’État en cybersécurité décidément trop court, fait ce qu’elle peut avec un budget qui ferait sourire n’importe quel RSSI de grande entreprise. Le résultat est prévisible : des systèmes vieillissants, des mises à jour reportées, des prestataires au rabais, des passoires à tous les niveaux.
Par-dessus ce joyeux tableau, la France est aussi une cible géopolitique de premier plan. En avril 2025, le gouvernement a officiellement attribué au GRU russe via le groupe APT28 une campagne de piratage de quatre ans contre des ministères, des collectivités et des organismes de recherche français. Quand vos adversaires sont les services de renseignement d’une puissance nucléaire, il serait peut-être judicieux de protéger vos systèmes avec autre chose qu’un Post-it sous le clavier.
Car c’est là qu’on touche au fond du problème : l’hygiène numérique de l’État français est catastrophique. Des mots de passe partagés en clair au ministère de l’Intérieur, pas d’authentification multifacteurs sur FICOBA, des identifiants transversaux interministériels sans cloisonnement… Chaque fuite alimente la suivante par effet domino : les données d’une brèche servent à compromettre le système d’à-côté. C’est l’équivalent numérique d’un immeuble où toutes les portes s’ouvrent avec la même clé et où quelqu’un a laissé un double sous le paillasson.
Et pour le moment, le paillasson, c’est le citoyen qui paie pour cette indigence.
Le plus savoureux dans cette affaire est que l’État – qui n’est pas parvenu à empêcher un pirate de consulter 1,2 million de comptes bancaires avec un simple login volé – est aussi celui qui prépare la centralisation de l’identité numérique de 68 millions de Français, celui-là même qui multiplie les interconnexions entre fichiers au nom de l’efficacité et qui veut vérifier l’âge des internautes en ligne pour « protéger les petits enfants ».
Pas de doute, cela va terriblement bien se passer.
https://h16free.com/2026/02/25/83543-la-france-numerique-ce-coffre-fort-electronique-au-code-1234