La Start-up Nation s’est fait hacker… Et si les responsables politiques rendaient enfin des comptes ?

Choose France, a dit Emmanuel Macron. Message reçu cinq sur cinq. Les investisseurs étaient invités. Les pirates aussi, manifestement. La nouvelle affaire de piratage de la Direction générale des finances publiques (DGFiP) serait presque comique si elle ne concernait pas ce que l’État possède de plus sensible : nos données personnelles, fiscales, patrimoniales et professionnelles.

À force de brèches, de comptes compromis et de millions de données exposées, la France donne aujourd’hui l’image d’une passoire numérique. Et cette fois, ce ne sont plus seulement des entreprises, des hôpitaux ou des collectivités qui se font dévaliser : c’est l’État lui-même qui laisse partir les données de ceux qu’il administre.

Près de 678 000 particuliers et professionnels sont concernés. L’intrusion avait été détectée dès juin, sans que l’administration identifie l’exfiltration. Il aura fallu que les pirates mettent les données en vente pour que l’étendue du désastre apparaisse.

Depuis, une autre compromission concernant des données de successions a été découverte. Et les mêmes pirates revendiquant l’attaque contre la DGFiP affirment également avoir pénétré des systèmes de l’Éducation nationale et dérobé de considérables volumes d’informations concernant élèves et personnels. Le gouvernement présente ses excuses et annonce un audit général, une nouvelle unité cyber et la mobilisation de l’ANSSI. Très bien. Mais pourquoi maintenant ? Pourquoi attendre que les données des Français soient dans la nature pour sécuriser le système ?

♦ Open Bar à la Française…

On pourrait parler d’incident malheureux si la DGFiP constituait un cas isolé. Sauf que la liste s’allonge. En 2024, France Travail révélait une intrusion susceptible d’avoir exposé les données de 43 millions de personnes : noms, coordonnées, numéros de sécurité sociale et autres informations concernant des demandeurs d’emploi actuels ou anciens sur une période pouvant atteindre vingt ans. En janvier 2026, la CNIL a fini par lui infliger 5 millions d’euros d’amende : l’organisme n’avait pas suffisamment assuré la sécurité des données. En décembre 2025, le ministère de l’Intérieur reconnaissait une intrusion ayant permis la consultation de fichiers de police sensibles, tels que le Traitement des antécédents judiciaires et le Fichier des personnes recherchées.

En avril 2026, l’intrusion par un mineur de 15 ans de l’ANTS, désormais connue sous le nom de France Titres, a touché plus de 11 millions de comptes, exposant données personnelles, dates de naissance, coordonnées postales et électroniques, et numéros de téléphone d’usagers. Cette cyberattaque, le Premier ministre Sébastien Lecornu l’avait qualifiée de « casse du siècle ».

C’était il y a 4 mois. Et maintenant, les impôts…

La police. L’Éducation. L’Emploi. Les Finances. À ce rythme, la question n’est plus de savoir quelles données ont été compromises, mais lesquelles ne l’ont pas encore été.

♦ On attaque surtout ce qui est attaquable

Les chiffres sont accablants. L’ANSSI a traité 3 586 événements de sécurité en 2025, dont 1 366 incidents. L’Éducation et la recherche représentent 34 % des secteurs visés. Les ministères et collectivités territoriales : 24 %. La santé : 10 %. Les télécommunications : 9 %. En 2024, l’agence avait déjà traité 4 386 événements, en hausse de 15 % sur un an.

Plus grave, l’ANSSI reconnaît elle-même la « persistance de fragilités dans ces infrastructures ». Le vrai cœur du problème est là. Bien sûr que les données françaises sont convoitées : identités, revenus, coordonnées bancaires et dossiers administratifs alimentent fraude, usurpation d’identité et marchés clandestins. Mais les cybercriminels recherchent aussi le meilleur rapport entre effort, risque et bénéfice.

Lorsqu’une organisation conserve des millions de données sensibles derrière des mécanismes d’authentification insuffisants, des systèmes vieillissants ou des équipements mal supervisés, que ces mêmes administrations sont pénétrées, que leurs données circulent et que les mêmes « fragilités persistantes » sont constatées année après année, la vulnérabilité finit elle-même par devenir un produit d’appel.

Certaines attaques contre la France relèvent de l’espionnage étatique. Mais que la cyberattaque soit le fait d’un adolescent débrouillard, de cybercriminels cherchant des bitcoins, ou d’un service de renseignement étranger, la porte doit rester fermée. L’enjeu qui s’impose n’est plus uniquement « Qui nous attaque ? »… Mais « Pourquoi sommes-nous incapables de les empêcher ? »

Dans le monde des entreprises, de tels manquements constituent une faute grave. L’exemple de Free est édifiant. Après le piratage de 2024 et l’accès aux données de 24 millions de contrats, la CNIL a prononcé en janvier 2026 42 millions d’euros d’amendes, constatant notamment l’absence de certaines mesures élémentaires qui auraient rendu l’attaque plus difficile. Dans le privé, cela peut coûter 42 millions. Dans le public, qui paie ? Toujours les mêmes : le citoyen.

♦ « Peu de ministères sont au niveau requis »

La formule est du Premier ministre. Si « peu de ministères sont au niveau requis », depuis quand le gouvernement le sait-il ? Qui a été alerté ? Quels audits ont signalé quelles failles ? Quels systèmes obsolètes ont été maintenus ? Qui devait corriger les trous de la cybersécurité française ? Car lorsque l’État exige de nous toujours davantage de données, dématérialise les démarches, impose ses plateformes et nous explique simultanément qu’il bâtit la « souveraineté numérique » française, il contracte une obligation élémentaire : protéger ce qu’il oblige les citoyens à lui confier.

Ce n’est ni facultatif, ni un plug-in en option. C’est une fonction régalienne. Si l’État savait qu’il n’était pas au niveau, la question n’est plus celle de l’incompétence : elle devient celle de la responsabilité. La faute doit coûter à celui qui l’a commise, pas à celui dont les données ont été volées. Responsables techniques, DSI, prestataires, directions générales, cabinets ministériels… Identifions les responsabilités, établissons les fautes et appliquons les sanctions prévues : la responsabilité doit remonter toute la chaîne des autorités hiérarchiques. Comment expliquer qu’une nouvelle fois les responsables politiques et des hauts fonctionnaires grassement payés s’en tirent à bon compte ? L’impunité n’est plus tolérable.

Radiation du tableau d’avancement, abaissement d’échelon, rétrogradation, exclusion temporaire de fonction : la législation française ne manque pas de sanctions disciplinaires concrètes et applicables sans délai. Et pour les responsables politiques engagés dans la chaîne hiérarchique : la démission.

♦ #ChooseFrance : les pirates ont bien compris le message !

Emmanuel Macron a fait de la transformation numérique l’un des emblèmes de son pouvoir depuis 2017. Start-up Nation. French Tech. Intelligence artificielle. Cloud. Souveraineté numérique. Choose France.

Mais la souveraineté numérique ne se proclame pas à Versailles. Elle commence par empêcher un inconnu muni d’identifiants compromis de se promener dans les systèmes contenant les données fiscales, professionnelles, scolaires ou policières de millions de Français.

Après près de dix années de pouvoir macroniste, l’excuse de l’héritage du gouvernement précédent ne tient plus. C’est plutôt le bilan d’un pouvoir qui exige le tout-numérique sans assurer la sécurité minimale des données sensibles de ses concitoyens. C’est aussi pourquoi l’affaire de la DGFiP doit dépasser les réactions « rituelles » : révélation, indignation, cellule de crise, audit, promesse, oubli. Les responsabilités administratives, techniques, contractuelles et politiques sont à retracer pour sanctionner ceux qui ont failli. Administrativement. Financièrement. Politiquement. — pas ceux dont les données ont été volées.

Ces données ne sont pas celles de l’État. Elles sont les nôtres. L’État n’en est que le dépositaire. Mais un dépositaire incapable de protéger ce qu’on lui confie. Choose France ? Les pirates ont parfaitement compris le message. Ils ont choisi la France… mais pas pour y investir. Pour s’y servir.

Article par Charles-Maxence Layet

⇔ CHERS LECTEURS, L’INFO INDÉPENDANTE A BESOIN DE VOUS !

Nexus ne bénéficie d’aucune subvention publique ou privée, et ne dépend d’aucune pub.
L’information que nous diffusons existe grâce à nos lecteurs, abonnés, ou donateurs.

Pour nous soutenir :

1️⃣ Abonnez-vous
2️⃣ Offrez Nexus
3️⃣ Commandez à l’unité
4️⃣ Faites un don sur TIPEEE ou sur PAYPAL

✅ Découvrez notre dernier numéro

Et gardons le contact :

Retrouvez-nous sur réseaux sociaux
Inscrivez-vous à notre newsletter