Les fuites de données de l’État : un enjeu de souveraineté

France Travail, Assurance Maladie, ministère de l’Intérieur, ANTS, Finances publiques, Éducation nationale : en quelques années, plusieurs des bases de données les plus importantes de l’administration française ont été compromises. Les fuites de données de l’État deviennent-elles un enjeu de souveraineté ? Certaines attaques ont exposé quelques centaines de milliers de personnes, d’autres plusieurs dizaines de millions. En avril 2026, après le piratage du portail de l’Agence nationale des titres sécurisés, le Gouvernement estimait même que la France subissait en moyenne trois vols de données par jour depuis le début de l’année.

Introduction

Une fuite administrative ne pose pas seulement un problème de respect de la vie privée. Lorsque des fichiers permettent de relier identité, adresse, numéro de Sécurité sociale, situation professionnelle, coordonnées bancaires, situation fiscale ou données de santé, leur accumulation devient un enjeu de souveraineté.

Ces informations intéressent les escrocs, mais aussi potentiellement des services de renseignement étrangers capables de les croiser, de cartographier des individus et des organisations ou de préparer des opérations d’influence.

Le fait même qu’il existe un site dédié à cela, C’est qui qui a fuité aujourd’hui ? montre l’ampleur du problème.

2021 : les données de santé et d’emplois commencent à circuler

En février 2021, les données médico-administratives de près de 500 000 personnes issues de laboratoires d’analyses se retrouvent accessibles sur Internet. Les informations comprennent des identités et des données médicales particulièrement sensibles. La CNIL obtient en urgence le blocage du site qui les héberge.

Quelques mois plus tard, l’Assistance publique-Hôpitaux de Paris annonce une fuite d’une autre dimension : 1,4 million de personnes testées contre la Covid-19 sont concernées. Noms, dates de naissance, numéros de Sécurité sociale, coordonnées et résultats de tests figurent parmi les données compromises. Les fuites de données de l’État deviennent alors déjà visibles.

Pôle emploi est également touché cette année-là. Une base contenant les informations d’environ 120 000 demandeurs d’emploi aurait été piratée et mise en vente. L’incident apparaît encore limité comparé aux attaques futures contre l’opérateur public, mais il constitue un premier avertissement sur la valeur de ses bases de données.

À Lire aussi : L’espace numérique, jungle ou labyrinthe ?

2022 : Assurance Maladie et hôpitaux directement visés

En mars 2022, des personnes non autorisées accèdent au service Amelipro en utilisant les comptes compromis de 19 professionnels de santé. Environ 510 000 assurés sont concernés. Les attaquants peuvent consulter leur identité, leur numéro de Sécurité sociale et certaines informations relatives à leurs droits, comme la prise en charge à 100 % ou la complémentaire santé solidaire.

En août, le Centre hospitalier Sud Francilien de Corbeil-Essonnes subit une importante attaque par rançongiciel. Cybermalveillance.gouv.fr estime que la violation a potentiellement concerné 700 000 personnes. Les fuites de données de l’État deviennent un enjeu de confidentialité quant à sa santé, très sensibles à ce stade. L’affaire conduit les pouvoirs publics à mettre à disposition des victimes un dispositif spécifique de dépôt de plainte.

Le risque change alors de nature. Une adresse électronique volée facilite le phishing. Une identité associée à un numéro de Sécurité sociale, à un régime de remboursement ou à une information médicale permet de construire des messages beaucoup plus crédibles. Un faux courriel provenant prétendument de l’Assurance Maladie peut reprendre des informations que seul un interlocuteur légitime semble pouvoir connaître.

2023 : Pôle emploi franchit la barre des 10 millions

L’été 2023 marque un changement d’échelle. Le système d’information de Majorel, prestataire de Pôle emploi, est compromis. La fuite concerne potentiellement 10 millions de personnes, avec notamment noms, prénoms, numéros de Sécurité sociale et statut d’ancien ou d’actuel demandeur d’emploi.

C’est cette année-là que les fuites de données de l’État deviennent annuelles et désespérément récurrentes. Car l’incident illustre un problème qui reviendra constamment : l’administration peut sécuriser son propre réseau et rester vulnérable par l’intermédiaire d’un prestataire disposant de données ou d’un accès à ses systèmes.

En 2023, une grande collectivité territoriale française voit également plusieurs comptes de messagerie compromis. L’ANSSI estime que des données potentiellement sensibles ont probablement été exfiltrées. L’affaire est moins spectaculaire en volume, mais rappelle que l’enjeu de souveraineté ne concerne pas seulement les grands fichiers nationaux : communes, départements et régions détiennent eux aussi des données d’état civil, de patrimoine, de personnel ou de facturation.

2024 : le basculement dans les fuites de données de l’État

2024 constitue le véritable point de rupture. La CNIL reçoit 5 629 notifications de violations de données, 20 % de plus qu’en 2023. Le nombre de violations touchant plus d’un million de personnes double. La plus emblématique frappe France Travail. Entre le 6 février et le 5 mars, des attaquants compromettent des comptes de conseillers.

Pour Cap emploi, les données des personnes inscrites ou ayant été inscrites au cours des vingt années précédentes sont compromises. La première estimation évoque jusqu’à 43 millions de personnes. Les investigations ultérieures établissent l’accès à la totalité de cette immense base, comprenant notamment numéros de sécurité sociale, coordonnées postales, courriels et téléphones. La CNIL sanctionnera France Travail de cinq millions d’euros en janvier 2026.

La même année, Viamedis et Almerys, deux opérateurs privés essentiels au fonctionnement du tiers payant, sont compromis. Les fuites de données de l’État atteignent alors leur pic : quasiment la moitié de la France. La fuite concerne environ 33 millions de personnes. Elle ne provient pas directement d’un ministère, mais touche une infrastructure au cœur de l’écosystème français de protection sociale. La CNIL classe ces incidents avec France Travail parmi les violations sans précédent de 2024.

La CAF est également ciblée, mais l’affaire est différente. Plusieurs milliers de comptes sont consultés grâce à des mots de passe déjà volés et disponibles sur le dark web. La Cnaf précise que son site lui-même n’a pas été piraté. L’épisode montre néanmoins l’effet cumulatif des fuites : une base compromise ailleurs peut fournir les identifiants nécessaires pour pénétrer ensuite un service public.

À Lire aussi : La montée des monnaies numériques chez les banques centrales : opportunité ou menace ?

2025 : les ministères eux-mêmes deviennent des cibles

En décembre 2025, le ministère des Sports annonce l’exfiltration de données depuis l’un de ses systèmes d’information. 3,5 millions de foyers sont concernés. Le ministère saisit la CNIL et annonce un dépôt de plainte. Quelques semaines auparavant, France Travail avait de nouveau été touché. Le compte d’un responsable de gestion d’une Mission locale est compromis, donnant accès aux informations d’environ 1,6 million de jeunes suivis par le réseau des Missions locales.

Mais l’incident le plus sensible en matière de souveraineté est celui du ministère de l’Intérieur. Le 12 décembre 2025, des attaquants pénètrent dans des systèmes internes de la police nationale et consultent des données issues du Traitement des antécédents judiciaires (TAJ) et du Fichier des personnes recherchées (FPR).

Le volume exfiltré semble limité à quelques dizaines de fiches, mais la sensibilité est sans commune mesure avec une base marketing de plusieurs millions de lignes. Le nombre de victimes ne suffit pas pour mesurer la gravité d’une fuite quand quelques dizaines de dossiers de police concernant des personnes recherchées, des suspects ou des enquêtes peuvent présenter davantage d’intérêt stratégique pour un service de renseignement qu’un fichier commercial de plusieurs millions de clients.

2026 : ANTS, comptes bancaires, impôts et Éducation nationale

L’année 2026 pousse cette logique encore plus loin. Dès janvier, un attaquant usurpe les identifiants d’un fonctionnaire et accède au Fichier national des comptes bancaires, FICOBA. Environ 1,2 million de comptes bancaires sont consultés ou extraits. Les données comprennent identité, adresse et coordonnées bancaires.

Le 15 avril, l’Agence nationale des titres sécurisés détecte à son tour un incident concernant son portail. 11,7 millions de comptes sont susceptibles d’avoir été exposés, avec noms, prénoms, dates de naissance, courriels et, selon les dossiers, adresses, lieux de naissance et téléphones. Les pièces justificatives envoyées pour les demandes de titres ne sont en revanche pas concernées, selon France Titres.

L’Éducation nationale connaît elle aussi plusieurs incidents. En mars, 243 000 agents voient certaines données exfiltrées depuis le système COMPAS. En avril, une autre attaque touche des données d’élèves et des identifiants ÉduConnect. Fin juillet, le ministère confirme une nouvelle intrusion ayant pu conduire à l’exfiltration d’un nombre important de données de personnels.

Enfin, les 12 et 13 août, un acteur malveillant revendique des accès intervenus en juin et juillet dans le système d’information de la DGFiP. L’administration confirme l’intrusion tout en précisant que les espaces personnels d’impots.gouv.fr n’ont pas été compromis. Des données de contribuables apparaissent néanmoins dans les éléments revendiqués par les attaquants, ce qui place désormais l’administration fiscale elle-même dans la série des organismes ciblés.

À Lire aussi : La veille de juin 2026 : l’actu juridique à retenir en Droit

Pourquoi ces fichiers sont-ils plus dangereux lorsqu’ils sont croisés ?

Pris séparément, un nom, une adresse ou un numéro de téléphone semblent banals. Leur valeur augmente lorsqu’ils sont associés. France Travail peut fournir situation professionnelle et numéro de Sécurité sociale. FICOBA apporte les comptes bancaires. L’ANTS ajoute date et lieu de naissance. Un fichier de santé peut révéler une prise en charge particulière. Les bases fiscales ou scolaires peuvent encore compléter le profil.

Pour un escroc, qui a acheté les données piratées sur le dark web, ce croisement permet une usurpation d’identité ou un phishing extrêmement crédible. Pour un service de renseignement, il peut servir à cartographier des personnes, leurs relations, leur fonction professionnelle, leur patrimoine ou leurs vulnérabilités potentielles.

Comment l’IA facilite-t-elle désormais les cyberattaques ?

Un système d’IA auquel on fournit du code source, de la documentation ou les caractéristiques techniques d’une application peut aider à repérer des erreurs de programmation, des configurations dangereuses ou des chemins d’attaque qu’un analyste aurait dû rechercher manuellement. Des outils de sécurité assistés par IA savent déjà, dans certains environnements, scanner continuellement des systèmes, repérer des vulnérabilités et des mauvaises configurations, tester si certaines failles sont réellement exploitables et reconstituer des chemins d’attaque complexes. Ces capacités servent évidemment aussi aux défenseurs, mais elles peuvent être retournées par un acteur offensif.

L’IA peut également raccourcir le délai entre la publication d’une vulnérabilité et son exploitation. Lorsqu’une faille devient publique, il faut habituellement comprendre le correctif, identifier les systèmes qui ne l’ont pas encore appliqué, puis adapter une méthode d’attaque. Une partie de ce travail peut désormais être automatisée ou accélérée. Le NCSC estime qu’à l’horizon 2027, l’IA permettra presque certainement d’augmenter l’exploitation des vulnérabilités déjà connues et considère probable que les acteurs les plus avancés, notamment étatiques, améliorent également leur capacité à rechercher et exploiter des zero-days, c’est-à-dire des failles encore inconnues ou non corrigées.

L’IA ne sert pas seulement à exploiter plus facilement des données déjà volées. Des modèles spécialisés comme Claude Mythos, développé par Anthropic, sont désormais capables d’analyser du code, de repérer des vulnérabilités et d’aider à vérifier si elles sont réellement exploitables. En 2026, Anthropic l’a notamment utilisé dans Project Glasswing avec plusieurs grands acteurs de la cybersécurité, tandis que la CISA américaine s’en sert pour auditer du code gouvernemental.

Ces outils restent imparfaits et nécessitent encore une validation humaine, mais ils permettent d’examiner beaucoup plus rapidement d’immenses volumes de code. Pour une puissance étrangère disposant déjà de spécialistes cyber, l’IA devient donc un multiplicateur de force : elle peut accélérer la détection de failles dans les logiciels utilisés par une administration, aider à prioriser les cibles puis faciliter l’exploitation technique. L’enjeu devient alors de savoir qui, du défenseur ou de l’attaquant, découvrira la vulnérabilité en premier.

À Lire aussi : Cyberattaques : les conflits de demain ?

Les fuites de données de l’État deviennent donc un problème de souveraineté

La multiplication des incidents pose finalement une question simple : un État peut-il être pleinement souverain s’il ne maîtrise pas les informations qu’il collecte sur sa propre population ? Les administrations doivent évidemment conserver certaines bases pour fonctionner. Mais leur centralisation transforme aussi ces systèmes en cibles extrêmement attractives.

Plus un fichier contient de données et plus les habilitations permettant d’y accéder sont nombreuses, plus la compromission d’un seul compte peut prendre une ampleur nationale. C’est précisément ce que France Travail, FICOBA ou certains incidents impliquant des prestataires ont montré.

Le défi dépasse donc largement la protection contre quelques escroqueries par SMS. Il s’agit de protéger des bases qui, une fois copiées, ne peuvent plus être « rappelées ». Un mot de passe peut être changé. Un numéro de Sécurité sociale, une date de naissance ou l’historique administratif d’un citoyen beaucoup moins facilement. À mesure que les capacités de croisement et d’analyse automatisée progressent, la valeur stratégique de ces données ne peut qu’augmenter.

Pour accéder à toutes nos ressources d’éco-droit, ça se passe ici !

Télécharge le guide ECT dès maintenant !

Un guide entièrement conçu pour les étudiants de prépa ECT. À l’intérieur, tu y retrouveras des conseils inédits pour réussir tes écrits et briller aux oraux, mais surtout 42 exercices de management et d’éco-droit balayant une large partie du programme ECT ainsi que 16 cartes mentales pour t’aider à tout réviser.

Tu peux recevoir le guide des prépas ECT dès maintenant en remplissant le formulaire qui suit :