Comment répondre à la crise cyber qui touche les grandes administrations françaises est désormais la question que tout le monde se pose.Que faut-il faire maintenant ? À la rentrée, lorsqu'on y aura vu plus clair ?
Mais aussi, dans quelle mesure ces incidents vont-ils impacter les programmes de la prochaine présidentielle ? En gros, pourra-t-on voter pour quelqu'un qui aura fait l'impasse sur ces sujets ?
Je vous rassure tout de suite, cette newsletter s'appuie sur un post LinkedIn que j'avais posté juste après, mais avec quelques mises à jour car les nouvelles récentes ne sont pas bonnes.
Beaucoup de sollicitations de la part des télés, mais j'ai préféré envoyer quelques personnes, notamment des membres de Cybernetica bien mieux informés que moi de la manière dont les choses se passent dans les grandes administrations.
L'un des programmateurs de BFM TV me confiait que le sujet plaît beaucoup aux auditeurs. Il va donc y avoir plus d'émissions : sans l'aspect technique, on revient à l'organisation de l'administration et aux responsabilités, un terrain où chacun a un avis, et j'ai cru comprendre qu'ils sont très tranchés.
Et en bonus, un document préparé avec des membres de Cybernetica : « Cyber en France : ce qui existe déjà », le recensement des structures cyber de l'État qui a bénéficié du coup d'œil des principaux experts et responsables civils et militaires pour nous permettre de mieux comprendre où en est la réponse cyber.
Une menace numérique sur la rentrée
Cet été, le gouvernement aura dû faire face à deux crises importantes : une crise des incendies, après une succession de canicules exceptionnelles, et une série de piratages touchant certains des services les plus importants de l'État, à une échelle que nous n'avions jamais connue.
Car la chaîne des piratages continue de s'allonger. Deux administrations concentrent l'essentiel : l'Éducation nationale et la DGFiP. Reprenons dans l'ordre.
L'Éducation nationale
L'intrusion date de la nuit du 25 juillet, via un VPN, et touche l'ensemble des académies. Le 18 août, le groupe ZeroBytes, déjà à l'origine du vol de données de la DGFiP, l'a revendiquée et a mis les données en ligne : 346 millions de lignes brutes, avec, selon sa revendication, plus de 4 millions d'identifiants de personnels et les données d'environ 1,2 million d'élèves, sur une période de plus de vingt ans. Le ministère est encore en train de vérifier.
Le message des pirates résume la situation : « Vous m'aviez détecté, mais vous ne m'avez pas coupé. »
Et ce n'est pas la première fois. En avril dernier, le ministère avait déjà reconnu une fuite de données d'élèves via le service ÉduConnect, née d'une usurpation de compte fin 2025 et d'une faille exploitée juste avant sa correction. Deux fois en quatre mois : ce n'est plus un accident, c'est un schéma qui se répète.
Les conséquences ne sont plus seulement des données volées, elles sont opérationnelles. À dix jours de la rentrée, les mesures de sécurisation bloquent le travail des chefs d'établissement : messageries et applications métiers suspendues dans plusieurs académies, des proviseurs incapables d'envoyer la liste des fournitures aux parents, de contacter les enseignants pour la prérentrée, de suivre les affectations ou de payer les factures reçues pendant l'été. L'un d'eux se décrit dans Le Monde comme « au chômage technique ». Le ministère parle de services progressivement rétablis.
Pourquoi si long ?
Un ami qui connaît la maison me le précise : chacune des trente académies possède ses propres systèmes de sécurité et n'applique pas le même niveau de verrouillage, le temps de procéder aux vérifications et aux mises en sécurité nécessaires. D'où des situations très inégales, toujours selon Le Monde : Paris et Versailles sont peu touchées, Nantes, Toulouse et Bordeaux beaucoup plus.
Trente académies, trente systèmes : c'est précisément le défi d'harmonisation que nous posons plus bas pour les ministères.
La DGFiP, trois fuites
- La première : le vol de 678 000 dossiers fiscaux de particuliers et d'entreprises. Il a surtout révélé un problème de détection : les accès compromis avaient été identifiés et coupés dès juin et juillet, mais l'administration n'avait pas détecté l'extraction des données. C'est le miroir exact de l'Éducation nationale : ici, on a coupé sans voir ; là-bas, on a vu sans couper.
- La deuxième : le 29 juillet, un mois après le blocage de la première, le serveur des données cadastrales. Jusqu'à 433 485 particuliers et un millier de professionnels selon Bercy, environ 2 millions de comptes selon la revendication du pirate.
- La troisième : détectée lundi 17 août sur le registre des successions vacantes, rapidement coupée selon l'administration.
Le ministre des Comptes publics, David Amiel, a fini par présenter des excuses publiques : « ce qui est arrivé est insupportable pour les Français ».
Et la liste s'allonge encore
Le même groupe a revendiqué cet été la Fédération française de handball, Intermarché et une plateforme liée à Santé publique France. L'INSEE a vu son annuaire interne exposer 12 800 agents. Et cela déborde le périmètre de l'État : Alaxione, une plateforme privée de e-santé, fait l'objet d'une revendication portant sur 6,8 millions de patients.
Les mesures du Premier ministre
À la suite du piratage de la DGFiP, Sébastien Lecornu a réuni le 17 août une cellule interministérielle de crise, après un premier communiqué de Matignon le 15 août.
L'essentiel des annonces tient en six points :
- un audit approfondi de la DGFiP par l'ANSSI, en parallèle de l'enquête judiciaire, avec de premières mesures opérationnelles présentées en septembre ;
- l'information individuelle de chaque particulier ou entreprise touché, avec les précautions à prendre face aux risques de phishing, d'usurpation d'identité ou de fraude ;
- l'accélération du plan de sécurisation numérique de l'État lancé le 30 avril 2026, qui prévoit notamment 200 millions d'euros pour la cybersécurité ;
- 5 % du budget numérique de chaque ministère consacrés à la cybersécurité à partir de 2027, contre environ 1 % aujourd'hui : le passage de 1 à 5 rend concret ce que « accélérer » veut dire ;
- la création d'ARIANE, nouvelle autorité numérique de l'État issue de la fusion de la DINUM et de la DITP, rattachée au Premier ministre, prévue avant le 1er janvier 2027 ;
- 40 actions prioritaires dans les administrations, dont des exercices d'auto-attaque et une utilisation accrue de l'IA pour détecter les failles, suivies tous les trois mois par Matignon.
Un détail a son importance : les amendes de la CNIL censées contribuer au financement ne viendront pas de l'État lui-même, l'article 20 de la loi Informatique et Libertés excluant les traitements de l'État des amendes administratives. France Travail a été sanctionné de 5 millions d'euros en janvier pour sa fuite de données. La DGFiP, elle, ne risque rien.
Dernier développement : dans un courrier du 19 août adressé au secrétaire général de la Défense et de la Sécurité nationale, le Premier ministre a demandé la création d'une nouvelle unité de lutte contre les cyberattaques, une équipe de contact composée d'agents de l'ANSSI et chargée d'intervenir en première ligne en cas de suspicion d'atteinte grave aux systèmes d'information de l'État. « Il faut reprendre l'initiative sur le terrain », écrit-il, tout en reconnaissant que peu de ministères sont au niveau requis. Et de résumer : « Arrêtons de découvrir la lune à chaque cyberattaque. »
La presse se pose désormais la même question, jusque dans ses titres : une nouvelle unité cyber, mais pour quoi faire ?
Au Parlement, la pression monte : les sénateurs socialistes réclament une commission d'enquête, et La France insoumise demande la même chose par la voix de Mathilde Panot.
Il n'y a finalement pas grand-chose de nouveau dans ces annonces, et elles sont extrêmement décevantes. Et pourtant, j'ai plutôt une bonne opinion du Premier ministre.
Mon sentiment, c'est que le gouvernement semble parier sur le fait que les citoyens comprennent mal le fonctionnement de la cybersécurité et qu'une réunion de crise un peu officielle accompagnée de quelques annonces générales suffira à calmer les inquiétudes. Je ne sais pas si cela suffira à rassurer, mais le milieu du mois d'août n'est jamais propice aux grandes manœuvres, à part du côté des soldats du feu qui travaillent sans relâche.
La seule mesure immédiatement importante pour les personnes concernées, mais qui relève presque de l'évidence, est de contacter rapidement les contribuables dont les données ont été compromises.
Voici, dans cet esprit, quelques idées de communication qui me semblaient essentielles et qui peuvent servir de prémisses d'un grand plan de cyberdéfense de l'État et des citoyens. Je les ai organisées en trois temps : l'urgence, la rentrée, 2027.
Premier temps : répondre à l'urgence
1. Une cellule dédiée aux victimes
Annoncer la création d'une cellule réunissant la gendarmerie, la police et l'ANSSI, exclusivement consacrée aux attaques dont pourraient être victimes les citoyens français à la suite d'une infiltration de données. Je rappelle que les adresses des Français sont en ce moment en train d'être vendues à des cybercriminels et qu'il faut montrer qu'on est proactif.
Cette cellule n'a pas besoin d'être permanente, ni de devenir une nouvelle structure, ni de disposer de beaucoup de personnel : la mission peut parfaitement être confiée à une structure qui existe déjà, et je suis sûr que les ComCyber ont leurs idées sur la question.
L'important est que les Français sachent qu'il existe une entité disposant de moyens de police qui fait de l'OSINT sur le darknet, c'est-à-dire de la recherche en sources ouvertes, qui relie les possibles cambriolages ou tentatives de hameçonnage aux bases de données mises en vente, et qui suit leur évolution. Il faut désormais lui donner les moyens de faire ce travail efficacement. La nouvelle unité annoncée le 19 août par le Premier ministre interviendra sur les systèmes de l'État. La cellule que je propose s'occupe, elle, des citoyens.
2. Réunir tous les responsables techniques autour de la table
Convoquer tous les CTO et CISO des ministères autour de la table pour leur présenter le plan de travail à venir. Une réunion avec l'ANSSI est le minimum syndical et cela ne suffit pas à montrer que le sujet est devenu prioritaire.
Puis mettre en place des réunions mensuelles qui listent les problèmes et les moyens de les résoudre à un niveau global, pour avoir enfin une vraie analyse de la situation, sans langue de bois ni politique. On a su le faire à un moment, dans la deuxième partie de la crise du Covid. Il faut se reconnecter à la réalité, pas aux éléments de langage. Ces réunions commenceraient par la question des accès, notamment interministériels. Ce n'est pas la seule raison, mais c'est une des raisons qui font que beaucoup de systèmes ont été pénétrés.
L'objectif est d'harmoniser les procédures et d'imposer une doctrine de sécurité claire. Personne ne devrait pouvoir se connecter depuis un ministère à un service d'un autre ministère sans que les procédures de sécurité aient été harmonisées. Le message à faire passer auprès du public : fini l'improvisation, fini les silos, fini les responsabilités diluées dans la technique. Tout le monde doit travailler main dans la main.
Deuxième temps : la rentrée de septembre
C'est le moment des conclusions de l'audit ANSSI et des premières mesures opérationnelles promises. C'est aussi celui du calendrier parlementaire.
Un chantier concret est déjà daté : David Amiel a demandé à la DINUM de rendre opérationnels d'ici septembre des outils souverains de recherche automatique de vulnérabilités par l'IA. Bonne idée, mais elle pose immédiatement la question du moteur : pour être au niveau dès septembre, il nous faut des modèles chinois d'urgence, plutôt que d'attendre que Mistral rejoigne la frontière. J'y reviens dans le troisième temps.
3. Faire voter la loi Résilience/NIS2
Faire revenir autour de la table tous les acteurs de la loi Résilience/NIS2 : Anne Le Hénanff, ministre déléguée chargée de l'intelligence artificielle et du numérique, les présidents des commissions spéciales Philippe Latombe et Olivier Cadic, et les rapporteurs Éric Bothorel, Mickaël Bouloux et Catherine Hervieu. Le tout sous la tutelle du Premier ministre, qui doit trancher la question des backdoors, ces portes dérobées dans les messageries chiffrées qui bloquent la loi. L'objectif : annoncer enfin une date de présentation à l'Assemblée. La ministre était elle-même rapporteure du texte avant son entrée au gouvernement en octobre 2025.
Peu de Français le savent : leur sécurité physique peut être mise en otage par le non-vote d'une loi. Le jour où ils le comprendront, ils seront furieux. Si la loi n'est pas inscrite au calendrier de rentrée, alors la ministre devrait en assumer les conséquences.
Troisième temps : 2027
4. Préparer la France à la cybersécurité à l'ère de l'IA
Soyons clairs : en 2027, toute l'infrastructure qui existe depuis les années 90 va être vulnérable aux IA. C'est un schisme d'une profondeur bien plus importante que la potentielle question du quantique en 2030.
La France se voit comme un leader de l'IA alors que nous sommes, en réalité, une puissance moyenne à petite dans ce domaine. Il faut donc arrêter la dispersion.
La relation entre l'IA et le futur de la sécurité n'est plus une option depuis le hack de Hugging Face par les modèles d'OpenAI, sortis de leur environnement de test en juillet dernier. Il faut arrêter les silos. Nous avons déjà le PEReN, qui travaille sur les questions algorithmiques, le LINC, le laboratoire de la CNIL, qui produit des choses intéressantes, et celui de l'ANSSI, qui ne doit pas être mauvais non plus.
Il faut annoncer une coordination beaucoup plus forte entre ces acteurs et ceux de la cybersécurité au sein de l'État, et leur donner accès à des modèles chinois frontière. J'appelle modèle frontière un modèle qui se situe à l'état de l'art mondial, celui qu'utiliseraient nos adversaires. Si j'ai bien compris, l'INESIA, l'Institut national pour l'évaluation et la sécurité de l'intelligence artificielle, fédère déjà notamment l'ANSSI, Inria, le LNE et le PEReN. Une partie de cette coordination existe donc déjà, mais ses objectifs et son retour sur investissement ne sont pas clairs pour tous les Français.
La question à laquelle il faut pouvoir répondre est simple : si la France se fait attaquer par des IA, sommes-nous capables de la défendre avec des IA d'un niveau équivalent ? Si ce n'est toujours pas le cas en 2027, alors nous avons un vrai problème et les gens en charge de la stratégie IA, celle qui nous a amenés face au mur, devront en tirer aussi les conséquences.
5. Réorganiser la gouvernance du numérique
Il faut enfin réorganiser la question de la gouvernance du numérique de manière forte.
Ça me fait toujours mal de le dire en tant qu'ancien vice-président du Conseil national du numérique, mais il faut supprimer tous les comités Théodule. À mon époque, le Conseil national du numérique avait pour objectif d'aider de manière consultative ou en auto-saisine sur les projets de loi. Cela a notamment donné la loi numérique d'Axelle Lemaire. Aujourd'hui, le CNNum a pivoté et ne joue plus qu'un rôle de think tank.
Les rapports, c'est sympa, mais tout le monde peut faire des rapports. Ce qui est important aujourd'hui, c'est que le gouvernement dispose d'un endroit capable de le conseiller sur les impacts numériques des lois. Si le Conseil national du numérique dans son ancienne version, celle qui avait été imaginée par Jean-Baptiste Souffron, existait encore avec sa façon de fonctionner, il est certain que la plupart des lois concernant le numérique, la loi SREN visant à sécuriser et à réguler l'espace numérique, la loi Résilience/NIS2 sur la résilience des infrastructures critiques et le renforcement de la cybersécurité, la loi interdisant les réseaux sociaux aux moins de 15 ans, auraient bénéficié d'un contre-point de vue utile.
6. Sécuriser massivement les accès
Cette crise doit être le point de départ d'une politique de sécurisation forte.
L'exemple existe : depuis que Google a équipé ses salariés de clés physiques de type YubiKey, plus un seul compte compromis par hameçonnage depuis 2017, sur 85 000 personnes.
Il faut la même chose à l'échelle du pays : une authentification forte pour les citoyens comme pour les agents publics, obligatoire pour payer ses impôts comme pour tous les accès de l'État. La YubiKey n'est que le moyen technique.
Et comme pour le Minitel, où l'État donnait le terminal, distribuer la clé : à vingt dollars pièce, dix millions de clés coûtent les 200 millions annoncés par le gouvernement.
Bercy a commencé, côté agents : double authentification généralisée, quotas de consultation sur les fichiers sensibles, IA de détection des comportements inhabituels, bug bounty. C'est bien, mais cela ne concerne que les agents d'une administration.
Mise à jour : plusieurs lecteurs qui travaillent sur ces systèmes me signalent que tout existe déjà, sur étagère :
- la clé de type YubiKey existe en version française : beaucoup pointent vers la Winkeo de NEOWAVE, produite près d'Aix-en-Provence avec un visa de sécurité de l'ANSSI. Elle respecte FIDO2, le standard mondial d'authentification par clé physique, celui qu'utilisent déjà Google, Apple et Microsoft ;
- le service pour s'en servir existe : ProConnect, le FranceConnect des agents et des professionnels, accepte déjà les clés à ce standard, et le brancher sur un service de l'État, c'est quelques heures de travail pour un développeur ;
- l'infrastructure grand public aussi : FranceConnect+ et France Identité ont déjà tout mis en production, rien n'est déployé à grande échelle ;
- même le calendrier existe : la feuille de route de l'ANSSI impose l'authentification multifacteur sur les systèmes sensibles avant février 2027, partout avant février 2028.
Il n'y a rien à inventer. Il fallait juste s'y mettre.
7. Souveraineté numérique et systèmes critiques
Il faudrait identifier les systèmes antédiluviens qui contrôlent encore des fonctions essentielles de l'État, organiser leur remplacement et, lorsque c'est pertinent, financer le logiciel libre pour rendre des alternatives simples à déployer.
Remplacer les vieux systèmes Windows par des systèmes Linux permettrait d'augmenter la sécurité. C'est un sujet qui devra être abordé autrement que par des communiqués de presse.
8. Changer de stratégie IA d'urgence
L'autre sujet important, c'est la stratégie IA. Pour quasiment tous les acteurs à qui j'ai parlé, le « Mistral Only », la ligne actuelle du gouvernement, a fortement limité nos options.
Le constat est simple : nous n'avons aucune dissuasion à l'ère de l'IA. Une cyberdéfense crédible suppose d'avoir accès à des modèles au moins comparables à ceux qui seront utilisés contre nous, pour nous défendre, mais aussi pour auditer les dégâts causés par d'autres IA.
Or nous n'avons que des produits moyens, loin de la frontière. Et nous sommes coincés entre deux blocs :
- les États-Unis, qui veulent nous vendre cher des produits auxquels manqueront les fonctionnalités nécessaires pour faire du cyber ;
- la Chine, qui met ses modèles en libre accès, mais sans que la France ait l'infrastructure pour les faire tourner ni les accords garantissant l'accès aux versions les plus avancées.
Ces modèles chinois sont aujourd'hui « open weight » : leurs paramètres sont téléchargeables et modifiables par tous. Personne ne sait si cela durera, la Chine suit ses propres objectifs. Il est donc vital d'en créer dès maintenant des souches françaises et européennes, des copies « forkées » des meilleurs modèles chinois et américains, que nous contrôlons.
Il faut le dire clairement : les fuites de données ne sont pas le sommet de la menace. Ce qui devrait vraiment nous inquiéter, c'est le hacking d'État. Le Telegraph vient de révéler que des pirates liés à l'Iran ont éteint une centrale électrique britannique pendant quatre jours, une première, pendant qu'une vague d'attaques touchait les infrastructures d'eau de douze États américains.
Pas de victimes, pas de panique, c'était précisément le but : montrer qu'ils peuvent le faire. Le jour où ils voudront faire mal, ils sauront où appuyer.
L'insécurité n'existe plus seulement dans le monde physique et, curieusement, ceux qui prétendent la combattre sont beaucoup trop discrets sur leur stratégie cyber.
Où est passé le milliard du plan cybersécurité d'Emmanuel Macron ?
Rappelons-le : en février 2021, après les attaques contre les hôpitaux de Dax et de Villefranche-sur-Saône, Emmanuel Macron annonçait un plan cybersécurité d'un milliard d'euros à horizon 2025, dont 720 millions de financements publics. L'essentiel visait la filière industrielle, tripler son chiffre d'affaires, doubler ses effectifs, faire émerger des licornes, pas la sécurisation des systèmes de l'État.
Cinq ans plus tard, la DGFiP et l'Éducation nationale tombent, et a l'impression que rien ne s'est passé comme cela aurait du.
Conclusion provisoire : apprendre à vivre dans l'insécurité hybride
La sécurité des Français doit désormais se penser dans deux univers : le monde physique et le monde numérique.
Ce sera l'un des sujets essentiels de 2027 et je ne suis pas sûr que le gouvernement ait fait le lien pour l'instant.
Je posais la question en ouverture : pourra-t-on voter pour quelqu'un qui aura fait l'impasse sur ces sujets ? Non. En 2027, un candidat sans plan de cyberdéfense sera un candidat pas sérieux.
Et vous, qu'en pensez-vous ?
Bonus pour les membres payants
Lire l'article complet
S'inscrire maintenant pour lire l'article complet et accéder à tous les articles déstinés aux payants abonnés.
S'abonner
