Cybersécurité : les corsaires de la République ne protègent plus des pirates
Il y a un temps où l'État confiait ses mers à des hommes qu'il armait lui-même contre ses ennemis. Le corsaire portait une lettre de marque, agissait au nom du roi, puis de la République, et rendait des comptes. Il attaquait pour défendre. Aujourd'hui, la République n'arme plus personne. Elle se contente d'espérer que ses coffres tiennent
L'attaque « low and slow »
Le 12 août 2026, un pirate a revendiqué publiquement une intrusion dans le système d'information de la Direction générale des Finances publiques. L'accès remontait à juin, obtenu par usurpation des identifiants d'un agent et d'un tiers habilité. Simple, presque artisanal. Pas d'abordage spectaculaire, pas de canonnade. Juste une porte laissée entrouverte et quelqu'un qui a eu la patience de la pousser doucement, sans faire de bruit, en évitant soigneusement les seuils qui auraient déclenché l'alarme. On appelle ça une attaque low and slow. Ainsi, elle avance lentement, précisément pour ne jamais ressembler à une attaque.
Le Trafalgar de l'administration
Et, c'est là que le naufrage devient administratif. Le ministère avait détecté l'intrusion fin juin et l'avait coupée. Mais, personne à aucun moment n'a remarqué que des données avaient déjà été siphonnées. Ainsi, il a fallu que le pirate lui-même se vante publiquement de son butin, le 12 août, pour que l'État découvre l'ampleur du pillage qu'il n'avait pas vu se produire dans ses propres cales. La confirmation officielle est tombée le lendemain. Quarante-huit jours de silence entre l'intrusion et sa reconnaissance publique, pour un service qui gère les revenus, le quotient familial, le taux de prélèvement à la source et les données cadastrales de millions de Français.
Six cent soixante-dix-huit mille particuliers et professionnels concernés
Adresses, situations familiales, données fiscales, informations sur les biens immobiliers de chacun. Le pirate parle même de 678 438 lignes extraites, en présentant cette base comme une simple entrée en matière. Une extraction partielle, dit-il. Comme si le reste du trésor attendait encore d'être découvert.
Ce naufrage n'est pas isolé, au grand contentement du dark web
En janvier, c'est le fichier FICOBA, celui qui recense l'ensemble des comptes bancaires détenus en France, qui avait déjà cédé sous les mêmes méthodes. Identifiants d'agent détournés, 1,2 million de comptes consultés, découverte tardive de l'intrusion. En août encore, Santé publique France comptait quatre-vingt-mille personnes touchées. Le ministère de l'Éducation nationale a vu quarante-trois gigaoctets de données s'échapper de ses serveurs. Chaque semaine apporte sa nouvelle brèche, chaque brèche son cortège de citoyens qui apprennent, par un communiqué tardif ou par la presse, que leur vie administrative circule désormais sur des forums du dark web qu'ils ne connaîtront jamais.
Les attaques en expansion chronique
Le nombre d'attaques recensées contre les systèmes de la DGFiP est passé de 2 579 en 2023 à 6 972 en 2025. Presque un triplement en deux ans. Pendant ce temps, la même administration a perdu plus de 34 000 emplois depuis 2008, soit plus d'un quart de ses effectifs. On ne protège pas un trésor avec un équipage divisé par quatre. On ne surveille pas les flots de plus en plus agités avec des vigies qu'on a systématiquement rappelées à terre.
Après le naufrage
L'État a fini par réagir, comme toujours, après le naufrage plutôt qu'avant. Une cellule interministérielle de crise s'est réunie le 17 août sous la présidence du Premier ministre. Un plan de sécurisation numérique, baptisé Ariane, avait pourtant été lancé dès avril, avec la promesse d'une nouvelle autorité rattachée à Matignon et deux cents millions d'euros pour armer la défense. Mais, ce plan lui-même n'existera officiellement qu'au premier janvier 2027. Entre l'annonce et l'action, il reste des mois pendant lesquels les mêmes serveurs, avec les mêmes failles, continueront d'héberger les mêmes données sensibles.
Ce qui frappe, au fond, ce n'est pas la sophistication des pirates.
C'est leur absence de sophistication. Pas de logiciel espion dernier cri, pas de faille zero day vendue à prix d'or sur le dark web. Juste des mots de passe volés, des identifiants recyclés, des accès mal cloisonnés. La même négligence qui laisse un particulier se faire pirater sa boîte mail se retrouve, à une échelle vertigineuse, dans les entrailles des ordinateurs les plus sensibles de la République. Le citoyen qui néglige la double authentification sur son compte personnel et l'administration qui néglige la sienne sur ses bases fiscales nationales commettent, au fond, la même erreur. Néanmoins l'une des deux erreurs engage soixante-dix millions de personnes. On pourrait se rassurer en se disant que les mots de passe des usagers, eux, n'ont pas été touchés cette fois. C'est vrai, mais ce n'est qu'un sursis. Chaque brèche prépare la suivante. Un agent dont les identifiants circulent une première fois devient une cible permanente. Une base compromise en partie laisse deviner l'architecture entière du système, ses angles morts, ses portes dérobées.
La question n'est plus de savoir si l'État sera de nouveau piraté.
Elle est de savoir combien de fois encore il faudra attendre qu'un pirate se vante publiquement de son butin pour que l'administration découvre ce qu'elle avait déjà perdu. Les corsaires de la République ont disparu depuis longtemps. Ce qui reste aujourd'hui, ce sont des coffres ouverts et des vigies licenciées faute de budget, pendant que d'autres, sans lettre de marque ni serment, viennent servir eux-mêmes à bord.