Aller au contenu

L’Etat en état de siège numérique

Fisc, Éducation nationale : enquête sur un été noir pour la cybersécurité française

En l’es­pace de quelques semaines, un même groupe de hackers a mis à nu les fra­gi­li­tés numé­riques de deux des plus grandes admi­nis­tra­tions fran­çaises. La Direc­tion géné­rale des finances publiques (DGFiP) a d’a­bord révé­lé le vol des don­nées fis­cales de cen­taines de mil­liers de contri­buables. Puis, le 18 août, le minis­tère de l’É­du­ca­tion natio­nale s’est retrou­vé visé par la même signa­ture : Zero­Bytes. Au-delà du choc de chaque annonce, c’est la répé­ti­tion qui inter­roge et qui doit inter­ro­ger le poli­tique. L’É­tat a‑t-il per­du la maî­trise de sa cyber­sé­cu­ri­té, et à quel prix pour les Fran­çais ?

Deux administrations, un même assaillant

La chro­no­lo­gie est élo­quente. Le 12 août 2026, un mes­sage publié sur un forum cyber­cri­mi­nel révèle l’af­faire au grand jour : sous le pseu­do­nyme Zero­Bytes, son auteur y reven­dique une intru­sion sur impots.gouv.fr et pro­pose à la vente 678 438 lignes de don­nées [1]. Ber­cy confirme les faits dès le len­de­main, évo­quant un accès illé­gi­time obte­nu par usur­pa­tion d’i­den­ti­té [1]. Le 14 août, la DGFiP com­mu­nique un pre­mier bilan chif­fré, avant que Zero­Bytes ne reven­dique le même jour une seconde intru­sion, dis­tincte, ciblant cette fois le Ser­veur pro­fes­sion­nel de don­nées cadas­trales (SPDC) : plus de 250 000 lignes sup­plé­men­taires concer­nant des pro­prié­taires immo­bi­liers [1][6]. Sur les 678 437 per­sonnes tou­chées par la pre­mière fuite, la DGFiP indique que 285 570 sont des pro­fes­sion­nels, soit plus de 42 % du volume total [2].

À peine cette affaire connue du grand public, le même pseu­do­nyme refait sur­face. Le mar­di 18 août, sur le réseau social X, les pirates affirment avoir « absor­bé » des mil­lions de lignes de don­nées appar­te­nant à l’É­du­ca­tion natio­nale plu­sieurs semaines aupa­ra­vant, ajou­tant avoir été détec­tés sans être cou­pés de l’ac­cès [11]. Inter­ro­gé par France info, l’en­tou­rage du ministre Édouard Gef­fray confirme qu’il s’a­git bien de l’in­tru­sion ayant fait l’ob­jet d’un com­mu­ni­qué du minis­tère dès le 31 juillet, lequel évo­quait alors une exfil­tra­tion de don­nées concer­nant « un nombre impor­tant » d’a­gents [11]. Selon Zero­Bytes, l’at­taque aurait eu lieu dans la nuit du same­di 25 juillet, avec une exfil­tra­tion éta­lée sur plu­sieurs jours avant d’être blo­quée fin juillet [10].

Que ces deux dos­siers portent la signa­ture du même groupe n’est pas un détail anec­do­tique : c’est une méthode repro­duite avec suc­cès contre deux cibles dif­fé­rentes en l’es­pace de quelques semaines.

Portrait d’une menace : qui est ZeroBytes ?

Le pseu­do­nyme Zero­Bytes n’est pas appa­ru avec l’af­faire DGFiP : le même acteur est éga­le­ment à l’o­ri­gine de reven­di­ca­tions visant l’en­seigne Inter­mar­ché Drive ain­si que des struc­tures liées au hand­ball [10][13]. Ce pro­fil sug­gère un mode opé­ra­toire tour­né vers la revente de don­nées sur des forums spé­cia­li­sés plu­tôt qu’une moti­va­tion géo­po­li­tique. Selon la pla­te­forme de veille French­Breaches, Zero­Bytes affirme avoir exploi­té un accès VPN pour infil­trer plu­sieurs sys­tèmes internes de l’É­du­ca­tion natio­nale, dont ceux de l’a­ca­dé­mie de Cré­teil et des annuaires aca­dé­miques de Cré­teil et de Ver­sailles [10].

La faille humaine avant la faille technique

Point com­mun frap­pant entre les deux dos­siers : à la DGFiP, l’in­tru­sion ne repose pas sur une faille logi­cielle inédite, mais sur l’u­sur­pa­tion des iden­ti­fiants d’un agent et d’un tiers habi­li­té [2]. Une méthode redou­ta­ble­ment effi­cace face à des sys­tèmes où l’au­then­ti­fi­ca­tion ren­for­cée n’é­tait pas encore géné­ra­li­sée à l’en­semble des agents. Ce n’est d’ailleurs pas un cas iso­lé : entre le 29 jan­vier et le 13 février 2026, la DGFiP avait déjà recon­nu un accès frau­du­leux à FICOBA, le fichier natio­nal des comptes ban­caires, via les iden­ti­fiants com­pro­mis d’un agent, expo­sant 1,2 mil­lion de comptes ban­caires [3].

Pour la seconde intru­sion visant le cadastre, les atta­quants affirment avoir contour­né l’au­then­ti­fi­ca­tion à plu­sieurs fac­teurs avant d’in­ter­rompre eux-mêmes le télé­char­ge­ment, jugé trop lent [1].

Une « dette technique » assumée par l’exécutif

Inter­ro­gé sur l’am­pleur de la crise, le ministre a resi­tué l’é­pi­sode dans un contexte plus large : la DGFiP a essuyé 6 972 cybe­rat­taques rien qu’en 2025 [5]. Il évoque une « dette tech­nique » accu­mu­lée par l’É­tat depuis des décen­nies, tout en rap­pe­lant plu­sieurs chan­tiers déjà enga­gés : géné­ra­li­sa­tion de la double authen­ti­fi­ca­tion pour les agents, déploie­ment de sys­tèmes d’a­lerte pré­coce et revue com­plète des accès aux don­nées, y com­pris ceux pas­sant par des par­te­naires exté­rieurs [5].

Ce constat n’est pas iso­lé. La CNIL a expli­ci­te­ment fait du sec­teur public une prio­ri­té de ses contrôles pour 2026, après une vague d’in­ci­dents simi­laires tou­chant d’autres admi­nis­tra­tions, dont le por­tail ANTS [3]. Ces der­nières semaines, d’autres ser­vices publics ont eux aus­si été visés, comme le por­tail gou­ver­ne­men­tal France VAE, dont les uti­li­sa­teurs ont été infor­més d’un inci­dent de sécu­ri­té expo­sant iden­ti­tés, par­cours pro­fes­sion­nels et don­nées de finan­ce­ment [4].

Des mesures correctives, mais après coup

Face à la pres­sion, le minis­tère a annon­cé la tenue d’une cel­lule inter­mi­nis­té­rielle de crise dès la mi-août [1]. Côté Édu­ca­tion natio­nale, le minis­tère indique avoir dépo­sé plainte contre X auprès du par­quet de Paris dès le 31 juillet, et avoir sai­si à la fois l’ANS­SI et la CNIL ; il pré­cise que l’en­semble des per­son­nels sus­cep­tibles d’être concer­nés ont été infor­més indi­vi­duel­le­ment [11]. Le par­quet de Paris a par ailleurs ouvert une enquête spé­ci­fi­que­ment dédiée à la fuite des 678 438 lignes de don­nées fis­cales [4].

Ce que risquent réellement les Français

Pour les pro­fes­sion­nels concer­nés par la fuite DGFiP, une noti­fi­ca­tion indi­vi­duelle doit pré­ci­ser les don­nées expo­sées. Les auto­ri­tés recom­mandent plu­sieurs réflexes : véri­fier sys­té­ma­ti­que­ment l’ex­pé­di­teur avant de cli­quer sur un lien, ne jamais com­mu­ni­quer de coor­don­nées ban­caires par e‑mail même en réponse à un mes­sage parais­sant offi­ciel, et signa­ler tout mes­sage sus­pect via la pla­te­forme offi­cielle dédiée [2].

Du côté de l’É­du­ca­tion natio­nale, les caté­go­ries de don­nées concer­nées vont bien au-delà des seuls agents : selon l’é­chan­tillon consul­té par le site Cyberattaque.org, l’ar­chive contien­drait des exports liés à plu­sieurs sys­tèmes du minis­tère — BE1D, SCONET, I‑Prof, le livret sco­laire ain­si qu’un annuaire LDAP aca­dé­mique — avec des don­nées d’é­lèves, de per­son­nels, de res­pon­sables légaux, mais aus­si des notes et éva­lua­tions sco­laires [9]. Un syn­di­cat de la DGFiP relève que les infor­ma­tions déro­bées inclu­raient aus­si des empreintes cryp­to­gra­phiques de mots de passe et les coor­don­nées de parents et res­pon­sables légaux [10].

Un chiffre à manier avec prudence

Le chiffre de 346 mil­lions de lignes mérite d’être expli­qué avant d’être repris tel quel dans un article. Il ne repré­sente pas 346 mil­lions de per­sonnes dis­tinctes, mais un volume brut et non dédu­pli­qué : la France comp­tant envi­ron 68 mil­lions d’ha­bi­tants et un peu plus de 850 000 ensei­gnants en acti­vi­té, un total de 346 mil­lions d’in­di­vi­dus serait maté­riel­le­ment impos­sible [8]. Ce sont les propres cal­culs com­mu­ni­qués par Zero­Bytes qui donnent les ordres de gran­deur les plus signi­fi­ca­tifs : envi­ron 1,22 mil­lion d’é­lèves uniques et 4,35 mil­lions d’i­den­ti­fiants de per­son­nels dédu­pli­qués via I‑Prof [8][9]. Ces chiffres eux-mêmes res­tent, à ce stade, non confir­més de façon indé­pen­dante et pro­viennent des seules décla­ra­tions de l’at­ta­quant [9].

Les questions qui restent posées

Plu­sieurs points méritent d’être creu­sés dans les pro­chaines semaines :

  • L’am­pleur réelle des don­nées volées à l’É­du­ca­tion natio­nale, encore débat­tue par les obser­va­teurs spé­cia­li­sés qui insistent sur la dis­tinc­tion entre lignes brutes et indi­vi­dus réel­le­ment iden­ti­fiables [8][13].
  • La nature exacte du lien entre les deux intru­sions et d’é­ven­tuelles vul­né­ra­bi­li­tés com­munes aux sys­tèmes de l’É­tat, notam­ment sur la ges­tion des accès dis­tants et des pres­ta­taires exté­rieurs.
  • La ques­tion bud­gé­taire : quels moyens seront réel­le­ment alloués à l’ANS­SI et à la sécu­ri­sa­tion des sys­tèmes publics, alors que le ministre lui-même recon­naît une « dette tech­nique » accu­mu­lée depuis des décen­nies [5] ?
  • La suite judi­ciaire des deux enquêtes ouvertes par le par­quet de Paris [4][11].

Sources

  1. Silicon.fr, Pira­tage de la DGFiP : ce que l’on sait vrai­ment, 14 août 2026 — https://www.silicon.fr/cybersecurite-1371/piratage-de-la-dgfip-ce-que-lon-sait-vraiment-228727
  2. Info­soir, Cybe­rat­taque DGFiP 2026 : la fuite de don­nées fis­cales touche 285 000 entre­prises — https://www.infosoir.com/info8142/business/cyberattaque-dgfip-2026-fuite-donnees-fiscales-entreprises.html
  3. Leto, DGFiP : un pirate reven­dique le vol de 678 000 don­nées fis­cales — https://www.leto.legal/news/impots-gouv-fr-fuite-donnees-fiscales-2026
  4. Cyberattaque.org, DGFiP : une 2ème cybe­rat­taque reven­di­quée, plus de 2 mil­lions de per­sonnes concer­nées — https://www.cyberattaque.org/dgfip-2-cyberattaque-cadastre/
  5. Ala­dom, Pira­tage des impôts : 678 000 Fran­çais concer­nés — https://www.aladom.fr/actualites/secteur-service/11265/piratage-des-impots-678–000-francais-concernes-par-le-vol-de-donnees-a-la-dgfip-ce-quil-faut-savoir/
  6. MeilleureSCPI.com, Pira­tage DGFiP 2026 : risques réels pour vos pla­ce­ments — https://www.meilleurescpi.com/actualites/piratage-dgfip-fuite-donnees-fiscales-epargnants/
  7. French­Breaches, DGFiP pira­tée : les don­nées de plus de 2 mil­lions de pro­prié­taires expo­sées, 14 août 2026 — https://frenchbreaches.com/alertes/direction-g-n-rale-des-finances-publiques-spdc-mssm0kklrsqu9rd3vd
  8. Pasqualepillitteri.it, Fuite de don­nées à l’É­du­ca­tion natio­nale : Zero­Bytes reven­dique 346 mil­lions de lignes (mais les chiffres trompent) https://pasqualepillitteri.it/fr/news/11704/fuite-donnees-education-nationale-zerobytes
  9. Cyberattaque.org, Édu­ca­tion natio­nale : Zero­Bytes reven­dique le vol de 346 mil­lions de lignes de don­nées — https://www.cyberattaque.org/education-nationale-zerobytes-cyberatatque/
  10. UNSA Finances, Cyber attaques / le groupe Zero­Bytes refait par­ler de lui … à l’é­du­ca­tion natio­nale — https://www.unsafinances.org/12178–2/
  11. Fran­cein­fo, Zero­Bytes, à l’o­ri­gine du vol de don­nées du fisc, reven­dique un pira­tage visant l’É­du­ca­tion natio­nale, 18 août 2026 — https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/zerobytes-a-l-origine-du-vol-de-donnees-du-fisc-revendique-un-piratage-de-donnees-visant-l-education-nationale-fin-juillet_8152235.html
  12. Jour­nal du Net, Zero­Bytes reven­dique le pira­tage mas­sif de don­nées de l’É­du­ca­tion natio­nale — https://www.journaldunet.com/business/1553799-zerobytes-revendique-le-piratage-massif-de-donnees-de-l-education-nationale/
  13. French­Breaches, Pira­tage mas­sif de l’É­du­ca­tion natio­nale : des mil­lions d’é­lèves et de per­son­nels expo­sés — https://frenchbreaches.com/blog/piratage-massif-de-leducation-nationale-des-millions-deleves-et-de-personnels-exposes