L’été a été très chaud. Même en cyber !
INSEE, DGFiP, Éducation nationale et maintenant le ministère du logement : en quelques semaines, plusieurs incidents cyber ont touché des périmètres publics sensibles.
Dans cet article, nous allons faire un focus sur les trois premiers incidents sur lesquels nous avons suffisamment de recul.
Pris séparément, chacun des incidents peut être lu comme une fuite de données ou une compromission de compte. Pris ensemble, ils racontent autre chose : une difficulté récurrente à qualifier rapidement ce qu’un compte légitime, un accès métier ou une application sensible est réellement en train de faire.
Le 19 juin 2026, l’INSEE détecte un incident sur l’annuaire de ses agents. Environ 12 800 personnes sont concernées : identité et coordonnées professionnelles. L’INSEE précise qu’aucun mot de passe, donnée bancaire, numéro de Sécurité sociale ou information de santé n’est concerné. Mais l’institut recommande toutefois la prudence face à des messages qui sembleraient provenir d’un agent de l’INSEE. [1]
Quelques semaines plus tard, la DGFiP confirme des accès illégitimes à son système d’information. Ces accès sont intervenus en juin, juillet et août 2026, après une revendication publique les 12 et 13 août. Bercy précise que les intrusions de juin et juillet reposaient sur des usurpations d’identifiants d’un agent DGFiP et d’un tiers habilité. Ces accès ont permis de consulter et d’extraire des données concernant 678 000 particuliers et professionnels, notamment des données fiscales et cadastrales. [2] [3]
Le ministère de l’Éducation nationale indique ensuite qu’une intrusion frauduleuse a eu lieu dans la nuit du 25 juillet 2026, à la suite de l’usurpation d’un compte professionnel. L’accès visait un système d’information dédié à la formation des personnels. Le COSSIM a été alerté le 26 juillet, l’accès externe au système concerné a été suspendu, et les données susceptibles d’avoir été exfiltrées concernaient des agents ayant exercé en académie depuis 2001. [4]
Puis, le 17 août, ZeroBytes revendique une fuite beaucoup plus large concernant l’Éducation nationale. Le Monde rapporte que les échantillons consultés contenaient de nombreuses données personnelles d’élèves, que la fuite semble viser SIECLE, l’un des principaux systèmes de gestion des élèves du secondaire, et que les premières investigations du ministère relient cette nouvelle fuite à l’incident annoncé fin juillet. [5]
La chronologie est frappante :
19 juin : l’INSEE détecte une attaque sur l’annuaire de ses agents.
26 juin : l’incident est publié.
Juin / juillet : la DGFiP subit des accès illégitimes via des identifiants usurpés.
25 juillet : l’Éducation nationale subit une intrusion via un compte professionnel usurpé.
26 juillet : le COSSIM est alerté.
31 juillet : l’Éducation nationale communique sur une possible exfiltration de données de personnels.
12-13 août : ZeroBytes revendique le vol de données DGFiP.
14 août : Bercy confirme que les accès ont permis de consulter et d’extraire des données concernant 678 000 particuliers et professionnels.
17-18 août : ZeroBytes revendique une fuite Éducation Nationale beaucoup plus large.
31 août : le ministère de l’Éducation Nationale annonce la réinitialisation de l’ensemble des accès aux services et applications. [6]
Cette timeline ne prouve pas que les trois attaques forment une chaîne unique. Les sources publiques ne permettent pas de l’affirmer.
Mais elle pose une question plus intéressante : ces incidents sont-ils réellement indépendants dans leur logique cyber, ou révèlent-ils des faiblesses communes dans la surveillance des comptes, des habilitations, des applications métiers et des volumes de données consultées ?
Le point le plus étonnant concerne la DGFiP :
Bercy indique que les accès utilisés dans les incidents identifiés ont été interrompus dès leur détection. Mais le même communiqué précise que les contrôles réalisés à cette occasion n’ont pas permis de détecter que ces intrusions avaient conduit à des vols de données. [3]
Le Monde résume la difficulté de manière encore plus nette : si l’accès des pirates au réseau du fisc a été bloqué à la fin juin, les contrôles réalisés à cette occasion n’ont pas permis de détecter le vol de données. Ce n’est qu’après la revendication publique des pirates que la DGFiP aurait pris connaissance de l’ampleur de la fuite. [7]
C’est ici que le sujet devient profondément cyber :
Le problème n’est pas seulement qu’un compte ait été compromis. Le problème est qu’un compte compromis puisse se comporter comme un compte légitime, accéder à une application métier sensible, consulter des données, extraire progressivement de l’information, puis ne pas être qualifié immédiatement comme une trajectoire d’attaque.
Autrement dit : l’accès a été vu. Mais la signification de l’accès n’a pas été comprise à temps.
Après ces incidents, les réponses publiques vont dans le bon sens : coupure d’accès, réinitialisation de comptes, authentification renforcée, saisie de l’ANSSI et de la CNIL, dépôt de plainte, audits, plan de renforcement.
Dans le cas DGFiP, la presse a notamment rapporté la généralisation annoncée d’une authentification renforcée pour les agents d’ici fin 2026, la réinitialisation des mots de passe, la suppression de l’accès Internet à certaines applications sensibles, une limitation plus stricte des personnes habilitées, ainsi qu’un contrôle renforcé des habilitations et des volumes de données accessibles. [8]
Ces mesures sont nécessaires mais :
Elles traitent surtout l’urgence. Pas forcément le mal profond.
Renforcer l’authentification protège mieux la porte. Réinitialiser des comptes ferme des sessions. Couper des accès réduit l’exposition. Auditer permet de comprendre après coup.
Mais la question centrale révélée par ces attaques est différente : que fait un compte une fois qu’il est accepté par le système ?
Le vrai sujet n’est donc pas seulement l’entrée. C’est l’après-authentification.
La question ne peut plus se limiter à savoir si l’utilisateur est authentifié, si le poste est protégé ou si l’alerte EDR est critique. Elle doit aller plus loin : ce compte devait-il accéder à cette application, à cette heure, depuis cette source, avec ce volume, sur ces données, avec cette fréquence, dans ce contexte métier ?
On parle beaucoup de signaux faibles. Mais dans ces affaires, certains signaux ne semblent faibles que lorsqu’ils sont regardés isolément.
Une fuite d’annuaire professionnel à l’INSEE n’expose pas, selon l’institut, de mots de passe ni de données bancaires. Mais elle expose des noms, fonctions et coordonnées professionnelles. Pour un attaquant, ce type de donnée peut devenir une matière première de reconnaissance, de phishing ciblé ou d’usurpation. Le fait que l’INSEE appelle à la vigilance face à des messages semblant provenir d’un agent de l’institut illustre bien ce risque. [1]
À la DGFiP, les faits publics parlent d’identifiants usurpés, d’un agent et d’un tiers habilité, d’accès à des systèmes sensibles, puis d’extraction de données fiscales et cadastrales. [3]
À l’Éducation nationale, le ministère parle d’un compte professionnel usurpé, d’un système métier dédié à la formation des personnels, d’une possible exfiltration, puis d’expertises élargies après des revendications portant sur des données élèves. [4] [5]
Pris séparément, chaque signal peut sembler insuffisant. Pris ensemble, ils racontent une trajectoire.
Une exfiltration n’est jamais un événement isolé. Elle suppose une séquence : une identité, un accès, une session, une application, des requêtes, des données consultées, puis une sortie ou une copie.
Les sources publiques ne permettent pas de dire si cette séquence reposait sur un opérateur humain, un script, un bot, une automatisation ou une combinaison de plusieurs modes. Mais elles permettent de poser une question de contrôle évidente : où cette séquence aurait-elle dû sonner ?
Je ne prétends pas que ces trois attaques sont liées. Les sources publiques ne le démontrent pas.
Mais elles montrent une répétition préoccupante :
D’abord, une fuite d’annuaire professionnel est présentée comme limitée, alors qu’elle peut nourrir une phase de reconnaissance. Ensuite, une administration détecte des accès illégitimes, coupe les comptes, mais ne qualifie pas immédiatement l’exfiltration. Enfin, un ministère détecte une usurpation de compte professionnel, communique sur un périmètre initial, puis se retrouve confronté quelques semaines plus tard à une revendication beaucoup plus large.
Le plus étonnant n’est donc pas seulement que des attaquants aient réussi à entrer.
Le plus étonnant est liée au fait que la compréhension complète de la trajectoire de l’attaque semble arriver après coup.
Et c’est là que la lecture purement technique atteint ses limites. Ces attaques ne ressemblent pas à un scénario où il suffirait de détecter un malware sur un poste. Elles interrogent autre chose : la capacité à comprendre qu’un accès autorisé, ou apparemment autorisé, est en train de devenir anormal.
La cybersécurité ne peut plus seulement demander : l’utilisateur est-il authentifié, le poste est-il protégé, l’alerte EDR est-elle critique ?
Elle doit aussi demander : ce compte devait-il accéder à cette application, à cette heure, depuis cette source, avec ce volume, sur ces données, avec cette fréquence, dans ce contexte métier ?
Ces attaques ne prouvent pas l’existence d’une chaîne unique. Mais elles justifient une question simple pour toutes les organisations qui manipulent des données sensibles :
qui corrèle réellement l’identité, l’habilitation, l’application métier, la donnée consultée, le volume, la durée et le contexte ?
Car le mal profond n’est pas seulement le compte compromis…
Le mal profond, c’est de ne pas comprendre assez vite qu’un compte accepté par le système quel que soit les mécanismes d’authentifications est peut-être déjà en train de servir une attaque. La confiance aveugle dans ses mécanismes de sécurité de contrôle et une erreur majeure.
La bataille cyber actuelle ne se joue plus sur j’ai mis en place des mécanismes de sécurité à l’état de l’art, par exemple :
« j’ai du MFA sur mes comptes personne ne peux le compromettre c’est largement suffisant » ou bien « J’ai un EDR sur tous mes serveurs je suis protégé » tout cela n’est rien au regard de la sophistication actuelle des attaques boostées par l’IA.
Elle se jouera sur une couverture intelligence et globale de la surface d’attaque avec des mécanismes avancés de détection permettant de détecter les signaux faibles d’attaque avec une compréhension de la trajectoire globale avant qu’elle ne devienne une fuite publique.
———
Sources :
[1] INSEE — Incident de cybersécurité sur l’annuaire des agents de l’Insee, détecté le 19 juin 2026, publié le 26 juin 2026.
https://www.insee.fr/fr/information/9016741
[2] DGFiP / impots.gouv.fr — Vol de données suite à des accès illégitimes au système d’information de la DGFiP, accès intervenus en juin, juillet et août 2026, revendication les 12 et 13 août.
https://www.impots.gouv.fr/actualite/vol-de-donnees-suite-des-acces-illegitimes-au-systeme-dinformation-de-la-dgfip
[3] Ministère de l’Économie / Bercy — Accès illégitimes au SI de la DGFiP, usurpation d’identifiants d’un agent DGFiP et d’un tiers habilité, 678 000 particuliers et professionnels concernés.
https://presse.economie.gouv.fr/acces-illegitime-au-systeme-dinformation-de-la-direction-generale-des-finances-publiques/
[4] Ministère de l’Éducation nationale — Incident du 25 juillet 2026, usurpation d’un compte professionnel, système d’information dédié à la formation des personnels, COSSIM alerté le 26 juillet.
https://www.education.gouv.fr/incident-de-securite-affectant-les-donnees-de-personnels-de-l-education-nationale-505407
[5] Ministère de l’Éducation nationale — Incident de sécurité affectant des données détenues par le ministère, investigations après revendications portant sur des données élèves.
https://www.education.gouv.fr/incident-de-securite-affectant-des-donnees-detenues-par-le-ministere-de-l-education-nationale-505441
[6] Ministère de l’Éducation nationale — Point de situation du 31 août 2026, réinitialisation de l’ensemble des accès aux services et applications.
https://www.education.gouv.fr/cyberattaques-contre-le-ministere-de-l-education-nationale-point-de-situation-l-approche-de-la-505561
[7] Le Monde — DGFiP : accès bloqué fin juin, contrôles n’ayant pas détecté le vol de données à ce moment-là, prise de conscience après revendication publique.
https://www.lemonde.fr/politique/article/2026/08/17/fisc-le-gouvernement-empetre-dans-la-cyberattaque-la-plus-grave-de-l-histoire-de-notre-pays_6748415_823448.html
[8] Le Monde — Éducation nationale : revendication ZeroBytes, données élèves, SIECLE, lien rapporté avec l’incident de juillet selon les premières investigations.
https://www.lemonde.fr/en/pixels/article/2026/08/18/french-tax-data-hackers-claim-theft-of-education-ministry-info-on-millions-of-students_6756637_13.html
[9] Journal du Net — Mesures de remédiation DGFiP : authentification renforcée, habilitations, accès Internet, volumes de données accessibles.
https://www.journaldunet.com/cybersecurite/1553815-cyberattaque-de-la-dgfip-l-electrochoc-qui-accelere-la-securisation-des-administrations/