🔴 Les fuites de données sont enfin sur le radar du politique.

La scène ressemble à un scénario de la série des années 80 Les Petits Génies. Un adolescent de quinze ans, depuis sa chambre, en changeant des données dans une adresse web, accède aux données de douze millions de Français.
⠀
Sauf que nous ne sommes plus dans les années 80 et qu'il ne s'agit pas de n'importe quelles données.

C'est un des serveurs de l'ANTS (l'Agence nationale des titres sécurisés) qui regroupent noms, prénoms, dates de naissance, adresses email et identifiants de connexion de douze millions de Français inscrits pour leur passeport ou leur carte d'identité.

Les mêmes qui donnent lieu à un cérémonial très particulier avec un parcours sécurisé, prise de rendez-vous en mairie, usage de technologie biométrique pour générer votre passeport sécurisé.

Sauf que les données qui ont été piratées correspondent à des données mises en ligne avant même d'aller à la mairie.

⠀
En 2015 aux Etats-Unis, l'OPM (Office of Personnel Management) aux US avait été piraté et 5,6 millions d'empreintes digitales d'employés et candidats fédéraux américains volées dont beaucoup de personnels ayant des habilitations de sécurité. Cette attaque avait été attribuée à la Chine.
⠀
Mais on n'est pas dans ce cas ici, c'est un gamin de 15 ans dans sa chambre avec deux éléments accablants :

• La faille avait été signalée publiquement sept mois plus tôt.
• L'État dépense entre 700 millions et 1 milliard d'euros par an pour empêcher ce genre d'incident.

La réponse politique, deux semaines après les faits, n'a pas été de corriger la chaîne de responsabilité qui a permis la fuite, mais d'annoncer une réorganisation administrative et un fonds budgétaire. Après plusieurs années de piratage non-stop de toutes les données des Français, l'État essaye de reprendre la main en faisant des annonces.

La seule bonne nouvelle c'est que c'est le Premier ministre qui a repris la main sur le sujet.

Introduction

⠀
Tout cela est loin d'être anecdotique, des changements importants ont été annoncés dans l'organisation du numérique de l'État. Cette réorganisation pose aux experts de nombreuses questions.
⠀
J'étais récemment à un dîner des responsables informatiques et de sécurité de grands groupes. L'une des choses qui m'a frappée c'est que beaucoup d'entre eux considèrent que dans la chaîne des prestataires, l'État est devenu désormais un maillon faible, un risque sécuritaire.
⠀
Cela veut donc dire que les données que les entreprises ou les citoyens confient à l'État ne sont pas considérées comme parfaitement sécurisées.

Mais ce n'est pas nouveau : tous les Français l'ont réalisé, avec le piratage des données de santé (Viamedis et Almerys, 1er et 5 février 2024, 33 millions d'assurés), de France Travail (mars 2024, 43 millions de personnes), de Parcoursup, et évidemment de l'Agence nationale des titres sécurisés (ANTS) le 15 avril 2026, 12 millions de comptes.
⠀
La stratégie du gouvernement a d'abord été le silence, il suffit de voir la ministre du Numérique se soustraire aux questions qui lui étaient posées sur les fuites de données au Sénat, par la sénatrice Catherine Morin-Desailly, remplacée par le ministre de l'éducation nationale. C'était il y a un mois.

Et cela, c'était évidemment avant l'introduction de Mythos, le nouveau modèle d'Anthropic, probablement déjà opérationnel à la NSA et certains services américains. Certaines voix de la cyber nous prédisent un nombre de failles encore plus importantes. (liens en fin de newsletter)

⠀
L'organisation qui a été annoncée ne peut être vue autrement que par ce qu'elle représente : une rustine en attendant que la personne et l'équipe qui seront élues en 2027 proposent une nouvelle organisation du numérique de l'État.

Sortirons-nous de l'État plateforme qui est un échec pour revenir à une vision plus technique et plus inspirée ?
⠀
Car ce que démontent ces incidents c'est le mythe du non-tech qui voit le numérique comme un booster de carrière , mais qui n'y connait pas grand chose et qui est devenu un risque pour la sécurité des services.

En plus de repenser entièrement la place du numérique dans l'État, il va falloir aussi casser ce mythe que la réglementation sur laquelle le numérique s'appuie comme une moule sur son rocher.
⠀
La réglementation (ou pour être précis la sur-réglementation excessive) c'est le mythe du bon élève qui a coché toutes les cases mais qui n'a jamais travaillé sur la technique de ces systèmes.

Monteriez-vous dans un avion dont la checklist sécurité a été faite par des spécialistes de la conformité plutôt que par des techniciens ?

Car il y a une chose que j'ai apprise en 40 ans de numérique, en ayant fréquenté les plus grands hackers (Mitnick, LOD, MOD, Neuralien pour rester français) et les meilleurs spécialistes de sécurité (comme Dan Farmer, le fondateur de SATAN) dans les années 90: au-delà de l'expertise technique, les meilleurs admin system ont des intuitions sur les choses à faire. cette intuition est essentielle à la sécurisation. Leur faire passer des journées à remplir des formulaires les déconnecte de cette intuition et donc d'une sécurité réelle.
⠀
Tous les gens brillants que je vois et qui ont ces compétences se retrouvent noyés dans les process administratifs qui, non seulement, ne leur donnent plus le temps de réfléchir aux prochaines vagues de risque.
⠀
Combien de CISO/RSSI ont le temps de réfléchir aux implications de l'IA agentique qui devient un attaquant redoutable ?

Le patron du GCHQ (la NSA britannique) expliquait récemment que désormais 100 pays dans le monde avaient les moyens d'attaquer en cyber la Grande-Bretagne. Je ne vois pas en quoi la France serait épargnée. (lien en fin d'article)
⠀
Avec mon think tank The Sovereign Way, nous avons publié une note pour nos clients sur les annonces du gouvernement Lecornu après la fuite de l'Agence nationale des titres sécurisés.

En la relisant, il m'a semblé qu'elle disait quelque chose de plus large : l'État français ne souffre pas seulement d'un déficit de cybersécurité, mais d'un déficit de commandement technique.

Pour les abonnés payants de Cybernetica, je l'ai traduite en français. 👇