Je ne comprends rien à tous ces piratages

Vous avez vu passer trois titres cette semaine. Le fisc, un supermarché, une fédération sportive. À chaque fois la même impression : c'est technique, c'est loin, et de toute façon on n'y peut rien.

Les deux premières impressions sont fausses. La troisième aussi, mais pas pour la raison qu'on croit.

Les deux chiffres, et pourquoi aucun n'est vrai

La Direction générale des Finances publiques a confirmé le 14 août un accès illégitime à son système d'information, survenu fin juin, par usurpation d'identité.¹ Elle confirme l'accès. Elle ne confirme ni le nombre de personnes concernées, ni la nature exacte de ce qui est sorti.

Le chiffre qui circule, 678 438 lignes, ne vient donc pas d'elle. Il vient du fichier lui-même, publié le 12 août sur un forum criminel, et recoupé depuis par plusieurs rédactions² : environ 392 000 particuliers et 285 000 professionnels.

L'attaquant, lui, annonce beaucoup plus : six millions de demandes adressées aux services fiscaux, deux millions de propriétaires via le cadastre, et vingt millions de personnes qu'il dit pouvoir consulter. Rien de tout cela n'est confirmé.

Et il y a eu une suite. Moins de quarante-huit heures après la première publication, le 14 août, le même attaquant a revendiqué une seconde intrusion, sur un autre système : le serveur de données cadastrales, celui qui sert à consulter le foncier. Il annonce 252 149 enregistrements, soit environ deux millions de personnes une fois comptés les copropriétaires, avec les noms, les dates et lieux de naissance, les adresses et les références de parcelle.

Retenez la nuance, parce qu'elle change la lecture : ces deux millions ne sont pas une version gonflée des 678 438. C'est une autre attaque, sur une autre machine. Elle n'est, à ce jour, confirmée par personne.

Un attaquant a intérêt à gonfler, une administration a intérêt à minorer. Vous êtes entre les deux, et personne ne vous doit d'arbitre.

C'est la première chose à comprendre sur ces affaires : il n'existe presque jamais de chiffre neutre. Il existe une revendication, une communication, et parfois un fichier que des journalistes ouvrent pour compter les lignes. Quand vous lisez un nombre, demandez-vous toujours qui l'a produit et ce qu'il gagne à ce qu'il soit grand ou petit.

Et cet écart n'a rien d'exceptionnel, c'est la règle. En avril, quand le portail de l'Agence nationale des titres sécurisés a été pillé, le ministère de l'Intérieur a annoncé 11,7 millions de comptes. L'attaquant, sur les forums, en revendiquait 18 à 19 millions. Même affaire, même semaine, deux chiffres qui ne se rejoignent pas.

L'agence nationale de cybersécurité le dit d'ailleurs elle-même, et c'est la phrase la plus utile de tout son rapport annuel³ : sur l'ensemble des revendications de vol de données portées à sa connaissance en 2025, elle n'a été en mesure d'en confirmer que 80. Elle précise pourquoi : il arrive régulièrement que ces revendications recyclent des données publiques, ou des fuites déjà anciennes. Un pirate qui annonce vingt millions de dossiers vend d'abord sa réputation à ses clients.

Personne n'a forcé de porte

Voilà le vrai sujet, et c'est celui qui passe le moins bien à la télévision.

On imagine un exploit, une faille exotique, un système percé. Ici, rien de tel : usurpation d'identifiants d'agents. Quelqu'un s'est connecté avec les accès légitimes de quelqu'un d'autre, et le système lui a montré ce qu'il avait le droit de montrer à cet agent.

Ce n'est pas un mur qui a cédé. C'est un badge qui a changé de poche.

Un détail de la communication officielle mérite qu'on s'y arrête. L'administration précise que cet accès avait été coupé dès fin juin, lors de contrôles de routine. Autrement dit : on a bien refermé la porte à l'époque, sans savoir qui était entré ni ce qu'il avait emporté. On ne l'a appris qu'en voyant le fichier apparaître, six semaines plus tard.

Et ça explique pourquoi l'intrusion date de fin juin et n'est reconnue qu'à la mi-août. Une porte fracturée se voit. Un agent qui consulte des dossiers, c'est exactement ce qu'un agent fait toute la journée. Il faut chercher l'anomalie dans le normal, et c'est infiniment plus difficile.

Regardez les deux autres grandes affaires françaises de cette année, vous retrouvez le même motif. Chez l'éditeur de logiciels médicaux Cegedim Santé, dont un outil équipe 3 800 médecins, ce qui a été repéré n'est pas une intrusion : c'est, dans les mots mêmes de l'entreprise, un comportement anormal de requêtes applicatives. Le logiciel a répondu, poliment, à des questions qu'on avait le droit de lui poser. 1 500 médecins étaient concernés.

À l'ANTS, c'était plus bête encore : un numéro de dossier dans l'adresse web, qu'il suffisait de changer pour voir le dossier du voisin. Onze millions sept cent mille comptes par une porte que personne n'avait fermée à clé, parce que personne n'avait imaginé qu'un visiteur essaierait le numéro d'à côté.

La personne interpellée fin avril avait quinze ans. On se raconte des officines étrangères, des salles obscures et des ingénieurs financés par un État hostile. Il faut parfois se contenter d'un adolescent qui s'ennuyait un dimanche et qui savait compter jusqu'à onze millions.

L'attaquant du fisc, interrogé, ne se réclame d'aucune cause. Ses mots : il cherche, il trouve, il vend, et ce que les acheteurs en font ne le regarde pas. On aimerait un adversaire idéologique, on a un commerçant.

Quelqu'un l'avait écrit, six semaines avant

Le 15 juin, un syndicat de la maison, Solidaires Finances Publiques, écrivait au directeur général pour signaler un risque de « piratage, d'usurpation d'identité ou d'hameçonnage ciblé », et prévenait d'un risque de nouvelles attaques « à très court terme ».⁴ La lettre n'était pas une intuition : elle partait de deux fuites déjà survenues, Tchap et France Services.

Selon ce syndicat, la direction lui a répondu que tout était sous contrôle et qu'aucune donnée n'avait fuité. C'est lui qui le rapporte, et il est partie prenante : gardez la source avec l'information, c'est la règle de toute cette chronique.

Le communiqué officiel du 14 août apporte au passage une précision que les titres ont peu reprise. Il ne décrit pas une intrusion, mais des accès illégitimes survenus « durant les mois de juin et juillet ». Deux mois, pas une nuit.

Et cette phrase-là cohabite mal avec l'autre, celle qui annonce un accès coupé dès fin juin lors de contrôles de routine. Les deux sortent de la même maison, le même jour. Je vous donne les deux, et je ne tranche pas : je n'ai pas les moyens de le faire, et personne d'extérieur ne les a.

Regardez la dernière ligne. Cinquante-deux jours entre la date d'intrusion revendiquée et la réunion de crise⁸, et cette réunion tombe le jour même où commence l'information des victimes. On peut y voir de la coordination. On peut aussi noter que les deux arrivent après la publication du fichier, et pas avant.

Ce n'est pas une accusation de paresse. C'est la description d'un mécanisme : dans cette affaire, l'événement déclencheur de l'action publique n'a pas été l'intrusion, ni l'alerte du syndicat. Ça a été le moment où un inconnu a mis le fichier en ligne.

Et pendant que je relisais, un troisième

Le 20 août au matin, un pirate a mis en vente les données d'Alaxione, une plateforme française de prise de rendez-vous médicaux : 6 835 489 profils et plus de dix millions de rendez-vous revendiqués, environ 70 000 numéros de sécurité sociale dans le lot.¹¹ Prix demandé : 5 000 dollars. Faites la division : vos données de santé, votre numéro de Sécu et vos rendez-vous chez le cardiologue valent, au détail, moins d'un dixième de centime.

Le mode d'entrée revendiqué mérite qu'on s'y arrête, parce qu'il dit tout du niveau réel de l'adversaire : un accès phpMyAdmin mal protégé. Pour les non-initiés : phpMyAdmin est un outil d'administration de bases de données que tout développeur web a utilisé... autour de 2008. Le laisser accessible depuis Internet en 2026, devant des millions de dossiers médicaux, c'est laisser la porte du coffre ouverte avec le mode d'emploi scotché dessus. Un développeur résumait ça le jour même : « la dernière fois que j'ai utilisé ça, ça devait être en 2008 ».

Détail qui ne s'invente pas : sur la capture d'écran qui circule, on voit que l'intrus a créé dans le système une base de données nommée VOUS_AVEZ_ETE_PIRATER — la faute d'orthographe est d'origine. Voilà l'adversaire : pas un État, pas un génie, quelqu'un qui tague le mur en repartant, et qui a trouvé une porte que personne ne fermait.

La discipline habituelle : tout ceci est revendiqué, rien n'est confirmé — ni par Alaxione, ni par une autorité — et le vecteur initial exact reste indéterminé. Mais notez le motif, c'est le troisième en une semaine : le fisc, l'école, la santé. Trois administrations de la vie ordinaire, et pas une seule prouesse technique. Des comptes usurpés et des portes ouvertes.

Combien, exactement, depuis janvier

Puisque tout le monde a le sentiment que le pays fuit de partout, autant regarder le compteur. Il existe, il est public, et il dit quelque chose de plus intéressant que « ça augmente ».

Un mot sur ce compteur, parce que tout le reste en dépend. Une « notification de violation de données », dans le vocabulaire de la loi, c'est le formulaire qu'une organisation remplit quand elle a perdu vos données. Elle le remplit. Personne ne vient vérifier chez elle. Ce compteur mesure donc les fuites déclarées, ce qui n'est pas tout à fait la même chose que les fuites.

En 2025, la CNIL a reçu 6 167 notifications de violation de données.⁵ Près de seize par jour, dimanches et jours fériés compris, ce qui fait de la fuite de données l'une des rares activités françaises à ne jamais fermer. C'est 9,5 % de plus que l'année précédente et environ 50 % de plus qu'il y a trois ans. La moitié vient d'un piratage. Les secteurs de tête sont ceux auxquels vous confiez le plus : l'administration publique, la santé, la banque et l'assurance.

Pour 2026, la CNIL a indiqué en mai avoir déjà relevé plus de 2 730 violations sur le seul premier trimestre, contre environ 2 500 un an plus tôt. Au-delà, il faut être honnête sur ce qu'on sait : le dernier fichier de données ouvertes publié par la CNIL s'arrête au 31 décembre 2025. Personne, à l'heure où j'écris, ne peut vous donner le total français des huit premiers mois de 2026. Ceux qui vous le donnent l'ont inventé.

Ce n'est pas le nombre d'attaques qui s'envole. C'est ce qu'elles emportent.

Voilà le vrai enseignement, et il est contre-intuitif. L'agence nationale de cybersécurité a traité 1 366 incidents en 2025, contre 1 361 l'année d'avant. Ses mots, pas les miens : « un nombre qui reste stable par rapport à 2024 ».⁶ Après 1 112 en 2023 et 831 en 2022, la courbe s'est aplatie. Les attaques par rançongiciel, celles qui chiffrent tout et réclament une rançon, sont même en légère baisse.

Mais les incidents de vol de données, eux, sont passés de 130 à 196 en un an. La moitié en plus. On ne verrouille plus votre maison pour vous vendre la clé, on photocopie ce qu'il y a dedans et on s'en va. C'est moins spectaculaire, ça fait moins de titres, et pour vous c'est bien pire : une rançon se paie ou ne se paie pas, une donnée sortie ne rentre jamais.

Reste à comprendre pourquoi tant de monde à la fois. La réponse tient en un mot, et ce n'est pas un mot de technicien. C'est sous-traitant.

Dans le bilan 2025 de la CNIL, 10 % de toutes les notifications du pays sont la conséquence d'incidents survenus chez huit prestataires. Huit. Pas huit cents.

Vous n'avez jamais entendu leur nom, vous n'avez rien signé avec eux, vous ne pourriez pas les placer sur une carte. Ils ont vos données parce que votre médecin, votre mairie ou votre mutuelle leur a confié son informatique, et personne ne vous a demandé votre avis, parce que personne n'a pensé que vous en aviez un.

J'ai voulu vérifier l'ampleur de ce phénomène plutôt que de la croire sur parole, alors j'ai téléchargé le fichier brut des notifications et je les ai comptées. Pour 2025, il contient 17 802 lignes, presque trois fois le chiffre officiel de 6 167. L'écart n'est pas une erreur : la CNIL le documente en tête de son fichier. Il vient de deux incidents, survenus chez deux sous-traitants, qui ont déclenché à eux seuls 11 635 notifications en cascade, une par client touché. Deux accidents, presque deux fois le volume annuel de tout le pays.

Autrement dit : la France ne fuit pas de partout à la fois. Elle fuit par quelques tuyaux communs, et quand l'un d'eux lâche, des milliers d'organisations découvrent le même matin qu'elles doivent prévenir leurs clients. C'est aussi la matinée où beaucoup d'entre elles apprennent le nom de leur propre prestataire informatique.

Dernière chose, et c'est celle qui devrait vous concerner le plus directement : le temps qu'il faut pour que vous l'appreniez.

Ces trois cas montrent qu'il n'y a pas de fatalité. L'ANTS a détecté le 15 avril et parlé le 20. Cegedim, qui avait repéré l'anomalie « fin 2025 », s'en est expliqué publiquement le 26 février, le soir même où France 2 en parlait à son journal de 20 heures.

Coïncidence remarquable. Aucune de ces maisons ne met deux mois à publier le communiqué d'un prix qu'elle vient de gagner. La transparence a des horaires, et ils dépendent de qui d'autre est en train de parler.

Pourquoi ces données-là sont pires qu'un numéro de carte

Une carte bancaire volée, c'est ennuyeux et c'est réparable. Vous appelez, vous faites opposition, la banque rembourse, vous recevez un nouveau bout de plastique sous huit jours.

Ce qui est sorti là ne se remplace pas. Votre nom, votre date de naissance, votre adresse, votre situation familiale, votre revenu fiscal de référence, votre taux de prélèvement, votre nombre de parts. Vous ne pouvez pas faire opposition sur votre date de naissance. Vous ne pouvez pas demander un nouveau revenu de référence.

Si ces termes ne vous disent rien, retenez celui-ci : le revenu fiscal de référence est le chiffre qui décide de presque tout, des bourses scolaires aux aides au logement en passant par les tarifs de crèche. C'est votre solvabilité résumée en un nombre. Et c'est ce nombre qui est sorti, à côté de votre adresse.

Et c'est précisément le carburant d'une arnaque qui marche : celle où l'on vous appelle en connaissant déjà vos chiffres.

Réfléchissez une seconde à ce que devient l'appel classique du faux conseiller quand la personne au bout du fil vous annonce votre revenu de référence à l'euro près, le nombre de parts de votre foyer et le nom de votre commune. Votre méfiance tombe. Elle tombe parce que ces informations, dans votre tête, seule l'administration les possède.

Ce que vous faites lundi matin

Une règle, une seule, et elle ne coûte rien : personne ne vous rappelle jamais pour vous demander quoi que ce soit.

Un appel, un message, un courriel qui vous parle de vos impôts et qui connaît vos chiffres : vous raccrochez, et vous rappelez vous-même le numéro que vous avez trouvé par vous-même, sur votre avis papier ou en tapant l'adresse du site dans la barre. Jamais le numéro qu'on vous donne. Jamais le lien qu'on vous envoie.

Cette règle a l'air simpliste. Elle bloque à peu près tout, parce qu'aucune escroquerie ne survit à un rappel sur un numéro qu'elle ne contrôle pas.

Deuxième réflexe, pour les entreprises : les 285 000 professionnels du fichier ne sont pas un détail. Une demande de changement de coordonnées bancaires qui arrive avec les bons chiffres fiscaux, dans le bon vocabulaire, au bon moment de l'année, c'est le scénario qui vide des trésoreries entières. La parade tient en une phrase : aucun changement de coordonnées bancaires ne se valide sans un appel sortant vers un numéro déjà connu.

Troisième, et c'est le seul qui demande un peu de travail : regardez qui, chez vous, peut consulter beaucoup de dossiers en une journée sans que cela paraisse anormal. C'est exactement le profil de compte qui a servi ici. La question n'est pas de savoir si vos gens sont honnêtes, elle est de savoir ce qui se passerait si l'un de leurs accès sortait de leur poche.

Et une chose que vous n'avez pas à faire : chercher vous-même si vous êtes dans le fichier. L'administration a saisi la CNIL, déposé plainte, et annoncé qu'elle contacterait les personnes concernées ; le parquet de Paris a ouvert une enquête le 15 août. Les sites qui vous proposent de « vérifier si vos données ont fuité » en échange de votre adresse et de votre numéro fiscal sont exactement le deuxième étage de l'escroquerie.

Si vous voulez comprendre ce que ces systèmes font vraiment, et arrêter de subir le vocabulaire, la formation de l'Atelier est gratuite.

Pendant que j'écrivais, le même a recommencé

Le 17 août au soir, le même pseudonyme a revendiqué une autre intrusion. Cette fois au ministère de l'Éducation nationale : 43 gigaoctets, environ 2 500 fichiers, et le chiffre qui a fait tous les titres, 346 178 591 lignes.⁹

Reprenons le réflexe du début de cette chronique, il sert exactement ici. 346 millions de lignes, c'est le comptage brut, avant d'avoir retiré les doublons — le document de revendication l'écrit lui-même, en majuscules. Le nombre de personnes qu'annonce ce même document, c'est 1,22 million d'élèves. Entre les deux, un facteur deux cent quatre-vingts.

Ce n'est pas un mensonge, et c'est ça qui est intéressant : une ligne par note, par évaluation, par compétence, pour chaque élève, sur vingt ans, et vous obtenez des centaines de millions de lignes sans avoir touché un élève de plus. Les deux chiffres décrivent le même vol. C'est le premier qui voyage.

Regardez la deuxième ligne, et comparez-la au début de cette chronique. Un compte professionnel usurpé. Pas une faille, pas un exploit : une identité qui a changé de mains. Deux administrations, deux mois d'écart, un même pseudonyme, et dans les deux cas la porte était ouverte de l'intérieur.¹⁰

Et le second motif se répète aussi, celui de l'écart de périmètre. Le 31 juillet, l'institution borne : pas de mots de passe, pas d'élèves. Dix-sept jours plus tard, l'attaquant annonce 600 000 mots de passe et 1,22 million d'élèves. Les deux peuvent être exacts — ce sont peut-être deux intrusions distinctes, et le lien technique entre les fichiers n'est pas établi. Le ministère dit avoir saisi l'ANSSI et la CNIL et poursuivre ses investigations. Mais on connaît la forme : à la DGFiP aussi, le premier chiffre officiel a été « aucune donnée n'a fuité ».

Une institution annonce un périmètre. Un criminel en annonce un autre. Entre les deux, ce n'est pas la vérité qui tranche, c'est le temps.

Et le sentiment que « ça n'arrête jamais »

Il est justifié, et il a une explication ennuyeuse : ces affaires ne se ressemblent pas parce que les attaquants deviennent plus forts, mais parce que la même méthode marche partout.

Un identifiant qui traîne, un compte qui a plus de droits qu'il n'en faut, et une organisation qui ne sait pas dire à quoi ressemble une journée normale sur son propre système. Ce n'est pas un problème d'intelligence artificielle, ce n'est même pas vraiment un problème de technique. C'est un problème de ménage.

Le ménage, pour une organisation, commence par une question que presque personne ne sait traiter : chez qui, exactement, sont mes données ? Pas dans quel logiciel. Chez quelle entreprise, sur quels serveurs, sous quel contrat. Les huit prestataires qui ont provoqué un dixième des fuites françaises de l'an dernier n'ont pas été choisis par hasard par les attaquants : c'est là que se trouvent les données de tout le monde, et c'est souvent là que se trouvent les plus petites équipes.

La bonne nouvelle, si l'on veut : ce qui se répare par du ménage se répare sans budget de guerre.

La mauvaise, pour équilibrer : le ménage n'a jamais fait la carrière de personne. Un plan de souveraineté numérique se présente en conférence de presse. La revue des comptes à privilèges d'une direction régionale, non. C'est pourtant la seconde qui aurait changé quelque chose ici, et un syndicat l'avait écrit six semaines avant.