Un rapport gouvernemental, passé quasi inaperçu, révèle que 99 violations de données ont frappé les administrations françaises depuis le 1er août 2026 — touchant jusqu’à l’Anssi elle-même, l’agence censée veiller sur la sécurité numérique de la Nation.
Une hécatombe silencieuse
Le document officiel est discret, mais son contenu est dévastateur. En moins de deux mois, près d’une centaine d’incidents ont exposé des données sensibles au sein des services de l’État. Sur les 99 violations recensées, 67 sont confirmées et 32 restent en cours de traitement. Ce n’est pas une cyberattaque isolée : c’est un effondrement systémique, révélateur de l’état réel dans lequel se trouve l’architecture numérique de la République.
L’Agence nationale de la sécurité des systèmes d’information — l’Anssi — a elle-même été compromise. Via une faille dans le logiciel Metabase, 118 comptes de son laboratoire d’innovation ont été exfiltrés, dont une trentaine appartenant à des prestataires externes. Identifiants, adresses électroniques et mots de passe hachés ont fuité dans la nature. La Direction interministérielle du numérique (Dinum), autre pilier de la souveraineté numérique française, a subi le même sort sur deux instances distinctes.
Les causes identifiées par le rapport sont aussi récurrentes que consternantes : absence fréquente de double authentification, défauts de configuration élémentaires, fichiers exposés sans protection, comptes compromis par des logiciels espions de type infostealer. « Un mot de passe faible ou une fuite de mot de passe suffit à l’attaquant », souligne sobrement le document. Que faut-il de plus pour mesurer la gravité de la situation ?
Des millions de Français livrés à l’ennemi numérique
Les conséquences concrètes pour les citoyens français sont vertigineuses. Dans le seul domaine fiscal, un incident a concerné près de 353 000 particuliers, dont les données — identité, coordonnées, identifiant fiscal, situation familiale, revenu fiscal de référence, taux de prélèvement à la source — ont été exposées. Au total, le groupe ZeroBytes a exfiltré les données personnelles de 678 437 contribuables français entre mai et août 2026.
L’un des dossiers les plus graves concerne le ministère de l’Éducation nationale. Une intrusion détectée fin juillet aurait potentiellement permis l’exfiltration de données touchant 4,35 millions d’enseignants. Le Service national universel (SNU) figure également dans le rapport : une faille de type IDOR aurait exposé les données de 275 000 utilisateurs, comprenant noms, adresses électroniques, numéros de téléphone, rôles, statuts et informations géographiques.
En additionnant les principaux volumes explicitement chiffrés dans le rapport, on s’approche du seuil proprement ahurissant de 55 millions de profils concernés. C’est, en d’autres termes, la quasi-totalité de la population adulte française dont les données intimes ont pu circuler librement dans les réseaux de l’adversaire.
Une faillite structurelle de l’État
Le rapport passe en revue sept pôles administratifs : l’Éducation nationale, l’Agriculture, Bercy, la Transition écologique, les services du Premier ministre, et d’autres encore. La vulnérabilité Metabase CVE-2026-72898 a été exploitée massivement à partir du mois d’août, compromettant à elle seule neuf instances au sein de ministères différents. Le cloisonnement entre administrations est insuffisant : chaque ministère vulnérable devient une porte d’entrée potentielle pour l’ensemble de l’édifice étatique.
Le rapport de l’Anssi formule un constat sans appel : « peu de ministères sont au niveau requis » en matière de cybersécurité. Voilà ce que des décennies de technocratie bruxelloise, de désindustrialisation et de sous-investissement souverain ont produit — un État français incapable de protéger les données de ses propres citoyens, pendant que l’on célébrait les vertus de la dématérialisation et du « tout-numérique ».
Une question de crédibilité politique
L’Anssi prévient que ce bilan reste provisoire : les enquêtes se poursuivent et les chiffres sont susceptibles d’évoluer. Autrement dit, le pire n’est peut-être pas encore connu. À quelques mois des élections législatives de 2027, la réponse de l’État à ces piratages en série devient une question de crédibilité politique majeure. La souveraineté numérique n’est pas un slogan de tribune : c’est une exigence vitale pour une nation qui entend rester maîtresse de son destin.
La France dispose de l’intelligence, de l’histoire et des ingénieurs nécessaires pour bâtir une forteresse numérique digne de ce nom. Ce rapport démontre, avec une clarté brutale, qu’elle n’en a pas encore eu la volonté politique.