Les gardiens des données françaises piratés : le rapport choc de l’Anssi sur les failles de l’État

Passé quasiment inaperçu, un rapport gouvernemental dresse le bilan accablant des 99 violations de données ayant frappé les administrations depuis le 1er août. Même l’Anssi et la Dinum, censées protéger les Français, n’ont pas été épargnées.

Un document officiel, discret mais dévastateur, révèle l’ampleur des brèches numériques au sein des services de l’État. En moins de deux mois, près d’une centaine d’incidents ont exposé des données sensibles, touchant jusqu’aux agences chargées de la cybersécurité nationale.

Une centaine de failles en deux mois seulement

Depuis le 1er août 2026, 99 violations de données ont été signalées à l’Agence nationale de la sécurité des systèmes d’information (Anssi). Sur ce total, 67 sont confirmées et 32 restent en cours de traitement. Ces chiffres, issus du premier point de situation de l’opération « REACTIV » (REponse & ACTion Interministérielle face aux Violations de données), lancée le 1er septembre à la demande du Premier ministre, illustrent une situation critique.

L’Anssi elle-même a été touchée. Via une faille dans le logiciel Metabase, 118 comptes de son laboratoire d’innovation ont été compromis, dont une trentaine d’externes. Identifiants, courriels et mots de passe hachés ont fuité. La Direction interministérielle du numérique (Dinum) a subi le même sort sur deux instances.

Les causes sont récurrentes et basiques : absence fréquente de double authentification, défauts de configuration, fichiers exposés et comptes compromis par des infostealers. « Un mot de passe faible ou une fuite de mot de passe suffit à l’attaquant », souligne le rapport. Sur X, un analyste souligne la vacuité des décisionnaires français face aux cyberattaques.

Les volumes impressionnent. À l’Éducation nationale, la plateforme GAIA a potentiellement exposé les données de 4,35 millions d’enseignants. SIECLE a permis l’exfiltration d’un million d’élèves et de leurs responsables dans l’académie de Créteil.

Au Quai d'Orsay, l'Agence pour l'enseignement français à l'étranger (AEFE) a vu plus de 300 000 fiches extraites. Tracfin, les douanes, la DGFiP, France VAE ou encore Zéro Logement Vacant (48 millions de propriétaires) figurent aussi au tableau.

Au total, près de 353 000 particuliers ont vu leurs données fiscales exposées, 252 000 professionnels et 434 000 propriétaires. Ces incidents s’ajoutent aux précédents vols à la DGFiP.

Face à cette cascade, l’opération REACTIV donne désormais à l’Anssi le pouvoir d’imposer des mesures d’urgence aux ministères plus d’un mois après le lancement d’un audit sur le sujet par le Premier ministre Sébastien Lecornu.