Piratages de l'État français : la chronologie de dix ans, du CHU de Rouen au fisc

Le 19 août 2026, le Premier ministre Sébastien Lecornu demande à l'ANSSI de constituer une « nouvelle unité cyber » pour l'État, dotée d'une enveloppe de 200 millions d'euros issue de France 2030. Deux jours plus tôt, le lundi 17 août, il avait déjà demandé à l'agence un audit approfondi de la DGFiP — touchée par pas moins de trois intrusions distinctes depuis janvier — le jour même où un pirate revendiquait une fuite massive à l'Éducation nationale. Lecornu lui-même reconnaît, dans la presse : « Peu de ministères sont au niveau requis. » Une phrase qui appelle une question plus embarrassante qu'il n'y paraît : avant cette « nouvelle unité », il y avait quoi ?

La réponse tient en une ligne : une agence dédiée existe depuis 2009. L'Agence nationale de la sécurité des systèmes d'information (ANSSI) est instituée par le décret n° 2009-834, avec déjà pour mission de protéger et défendre les systèmes d'information de l'État. Ses moyens n'ont cessé de croître depuis : un budget passé d'environ 80 millions d'euros en 2014 à près de 150 millions d'euros en 2025, des effectifs qui ont presque doublé, de 350 agents en 2013 à environ 600 aujourd'hui. Dix-sept ans d'existence, des moyens en hausse constante — et pourtant une liste d'intrusions confirmées dans les administrations et opérateurs publics qui n'a cessé de s'allonger sur la même période, au point de justifier, en 2026, la création d'une structure supplémentaire.

Une décennie d'intrusions confirmées

Premier grand signal documenté de cette décennie : dans la soirée du 15 novembre 2019, le CHU de Rouen, l'un des plus grands hôpitaux publics de France, voit l'ensemble de son système d'information chiffré par un rançongiciel. Selon l'ANSSI, l'attaque est le fait du groupe TA505, actif depuis 2014, qui utilise le cryptolocker Clop dans le cadre d'une campagne de hameçonnage visant plusieurs hôpitaux français. Le CHU restaure ses systèmes sans payer de rançon — mais l'incident révèle, déjà, qu'un établissement de santé publique n'est pas préparé à ce type d'attaque.

Moins d'un an plus tard, en septembre 2020, c'est l'Assistance publique – Hôpitaux de Paris (AP-HP) qui est touchée : les données personnelles de 1,4 million de personnes testées au Covid-19 en Île-de-France — identité, numéro de sécurité sociale, coordonnées, résultat du test — sont dérobées via un service de partage de fichiers utilisé pour transmettre des informations à l'Assurance Maladie et aux agences régionales de santé dans le cadre du contact tracing. Un étudiant en informatique sera plus tard mis en examen pour ce vol de données de santé.

Le 17 mars 2022, la Caisse nationale de l'Assurance Maladie (CNAM) détecte des connexions non autorisées sur amelipro, le portail réservé aux professionnels de santé : les identifiants de 19 professionnels, compromis par hameçonnage, donnent accès aux données de plus de 510 000 assurés — identité, date de naissance, numéro de sécurité sociale, droits associés (médecin traitant déclaré, complémentaire santé, aide médicale d'État). La CNAM notifie la CNIL, comme l'exige le RGPD. Mais l'incident illustre déjà un motif structurel qui reviendra sans cesse dans cette liste : ce n'est pas le cœur du système qui a cédé, c'est l'accès périphérique d'un compte professionnel piégé par hameçonnage.

Cinq mois plus tard, dans la nuit du 21 au 22 août 2022, le Centre hospitalier Sud-Francilien de Corbeil-Essonnes (CHSF) est frappé par le groupe LockBit 3.0, présent dans le système depuis une dizaine de jours avant de déclencher le chiffrement. LockBit exige d'abord 10 millions de dollars, puis 2 millions, contre la destruction des données exfiltrées. Le CHSF refuse de payer : le 23 septembre 2022, une archive de 11 Go contenant des centaines de milliers de documents, dont des numéros d'identité de patients, est publiée en ligne. Le parquet de Paris ouvre une enquête pour intrusion dans un système de traitement automatisé de données et tentative d'extorsion en bande organisée — jusqu'à 20 ans d'emprisonnement et 150 000 € d'amende encourus, pour l'auteur, pas pour l'hôpital qui a subi l'attaque.

La même faille, à une tout autre échelle

Entre fin février et début mai 2023, c'est un tout autre mode opératoire qui vise l'État : le groupe pro-russe NoName057(16) revendique une série d'attaques par déni de service (DDoS) contre le Centre national d'études spatiales (CNES) fin février, puis contre le site de l'Assemblée nationale — hors ligne plusieurs heures le 27 mars — et celui du Sénat, perturbé le 5 mai. Un DDoS ne vole aucune donnée : il sature un serveur de requêtes jusqu'à le rendre inaccessible. Mais l'effet recherché est le même que pour une fuite de données — démontrer que les portails des deux chambres du Parlement français peuvent être mis à genoux par un groupe revendiquant son soutien à la Russie, en réaction au soutien français à l'Ukraine.

Le 23 août 2023, Pôle emploi reconnaît une violation de données pouvant concerner jusqu'à 10 millions de personnes — toute personne inscrite en février 2022 ou radiée depuis moins de douze mois à cette date. Cette fois, la faille ne vient ni de l'opérateur ni d'un agent usurpé, mais de Majorel, un prestataire externe chargé de la numérisation des dossiers entrants : nom, prénom, statut de demandeur d'emploi et numéro de sécurité sociale sont exposés. Pôle emploi saisit la CNIL et porte plainte, sans avoir reçu de demande de rançon.

L'Éducation nationale n'est pas épargnée non plus sur la période, mais à une échelle bien plus modeste qu'en 2026. Le 22 novembre 2023, une base de données du Service national universel (SNU) contenant les informations d'environ 150 000 personnes — 62 500 jeunes volontaires, anciens et nouveaux, et 87 000 parents ou responsables légaux : nom, prénom, date de naissance, adresse postale, e-mail — est mise en vente sur un forum cybercriminel pour 50 dollars. L'incident, causé par une faille applicative corrigée dès sa découverte, est signalé au ministère le 24 novembre ; les volontaires concernés n'en sont informés que le 6 décembre, douze jours plus tard.

France Travail, nouveau nom de Pôle emploi depuis janvier 2024, n'attend pas longtemps avant de connaître pire que son prédécesseur. Entre le 6 février et le 5 mars 2024, une base regroupant les données de 43 millions de personnes est dérobée : tous les demandeurs d'emploi inscrits, tous ceux qui l'ont été au cours des vingt dernières années, et jusqu'aux personnes jamais inscrites mais disposant d'un simple espace candidat sur francetravail.fr. Noms, numéros de sécurité sociale, identifiants France Travail, adresses postales et e-mail, numéros de téléphone : la CNIL ouvre une enquête, et l'organisme recommande — comme la DGFiP et l'Éducation nationale le feront deux ans plus tard pour leurs propres piratages — la plus grande vigilance face au phishing.

La liste ne s'arrête pas en 2024. Dans la nuit du 18 au 19 octobre 2025, le Centre hospitalier intercommunal de Haute-Comté (Pontarlier, Doubs) est à son tour touché par un cryptolocker : la direction coupe intégralement le système d'information pour huit sites hospitaliers, forçant un retour au papier pour l'ensemble du personnel soignant. Un an plus tard, en mars 2026, l'établissement fonctionnait toujours avec un accès limité à ses applications — un retour à la normale n'était alors pas attendu avant 2027, soit plus de deux ans d'impact opérationnel pour un seul hôpital public.

Été 2026 : la même vague touche le fisc et l'école

2026 concentre, à elle seule, trois intrusions distinctes contre la DGFiP. Entre fin janvier et le 18 février, le fichier national des comptes bancaires FICOBA — RIB, IBAN, identité, adresse — est consulté frauduleusement pour environ 1,2 million de comptes, via l'identifiant usurpé d'un agent. Fin juin, un nouvel accès illégitime au système d'information de la DGFiP permet l'extraction de 678 438 lignes de données fiscales, revendiquées le 12 août par le pirate ZeroBytes et confirmées par Bercy le lendemain. Puis, le 29 juillet, une troisième intrusion — distincte, selon la DGFiP elle-même — vise cette fois le Serveur professionnel de données cadastrales (SPDC) : identité, dates et lieux de naissance, adresses, identifiants fonciers et références de parcelles. ZeroBytes revendique le 13 août 252 149 lignes représentant plus de deux millions de titulaires ; la DGFiP confirme le 18 août jusqu'à 1,8 million de comptes concernés — un écart de méthode de comptage, pas un désaveu du fond de l'attaque.

Ce n'est pas la seule administration visée cet été-là. Un précédent, plus modeste, avait déjà touché l'Éducation nationale quelques mois plus tôt : le 15 mars 2026, l'usurpation d'un compte externe permet d'accéder à COMPAS, le logiciel de gestion des enseignants stagiaires, exposant les données de 243 000 personnes — agents, tuteurs et stagiaires confondus. Puis, le 25 juillet, un compte professionnel compromis ouvre l'accès à un tout autre périmètre : détectée par le ministère le 31 juillet, l'intrusion est revendiquée en détail par ZeroBytes — le même pirate que pour la DGFiP — le 17 puis le 18 août. Le pirate affirme avoir extrait 43 Go répartis sur 2 500 fichiers, soit 346 millions de lignes brutes couvrant plus de vingt ans (2002-2026), concernant jusqu'à 1,22 million d'élèves et 4,35 millions d'identifiants de personnels, y compris des empreintes de mots de passe et des données d'élèves en difficulté ou décrocheurs. Le ministère, dans son communiqué officiel, reste nettement plus mesuré : il confirme un accès concernant les agents ayant exercé en académie depuis 2001 — identité, informations professionnelles, coordonnées, adresse postale et téléphone, numéro de sécurité sociale pour une partie d'entre eux — sans valider le chiffrage du pirate. Plainte déposée, ANSSI et CNIL saisies : la même mécanique, point par point, que pour le fisc quelques jours plus tôt.

Ce que les rapports officiels répètent depuis des années

Ce que confirment, à chaque fois, les organismes de contrôle eux-mêmes, c'est que ces incidents ne sont pas des accidents isolés mais un motif documenté depuis des années. Dès mai 2019 — avant même le piratage du CHU de Rouen — la Cour des comptes alertait sur une baisse de 13 % des effectifs informatiques et de 22 % du budget informatique de la DGFiP entre 2012 et 2017. Le 3 janvier 2025, elle constate que le programme national de sécurisation des hôpitaux (CaRE), doté de 750 millions d'euros prévus jusqu'en 2027, n'avait alors mobilisé que 223 millions d'euros — pendant qu'entre 2022 et 2023, trente hôpitaux français avaient déjà été touchés par un rançongiciel. Le 16 juin 2025, un rapport de la Cour des comptes consacré spécifiquement à la réponse de l'État aux cybermenaces sur ses systèmes civils pointe un pilotage interministériel trop flou et peu efficace, et à peine 12 % des agents territoriaux ayant suivi un module de sensibilisation en 2024. L'ANSSI elle-même, dans son Panorama de la cybermenace 2025, dénombre 1 366 incidents traités sur l'année, dont 34 % concentrés sur l'éducation et la recherche — le secteur le plus touché, loin devant les 24 % pour les ministères et collectivités territoriales et les 10 % pour la santé — avec une hausse marquée des exfiltrations de données, passées de 130 à 196 cas en un an.

L'État ne dispose toujours d'aucune stratégie claire et cohérente pour la cybersécurité de ses acteurs civils.

Dix-sept ans après la création de l'ANSSI, dix-neuf mois après le rapport de la Cour des comptes sur le sous-financement chronique des hôpitaux, quatorze mois après celui pointant l'absence de stratégie cyber cohérente de l'État — c'est dans ce contexte que Sébastien Lecornu annonce sa « nouvelle unité cyber », un jour après la confirmation officielle du volet cadastral de la DGFiP et deux jours après la première revendication de la fuite à l'Éducation nationale. Pour un pays qui se présente systématiquement comme précurseur du numérique public — France Connect, dossier médical partagé, déclaration de revenus et démarches d'immatriculation quasi exclusivement en ligne pour l'immense majorité des usagers — l'écart est difficile à ignorer : l'offre numérique de l'État avance plus vite que sa protection.

Aucun des usagers concernés par cette liste n'a choisi d'y figurer : déclarer ses impôts, s'inscrire à France Travail, scolariser un enfant, se faire soigner dans un hôpital public ou immatriculer un véhicule en ligne n'est plus une option laissée au choix de chacun, c'est devenu, pour la plupart des démarches, la seule voie possible. Un État qui retire progressivement les guichets physiques ne peut pas se contenter de rattraper, incident après incident, ce que ses propres rapports avaient annoncé des années plus tôt. Sur les huit premiers mois de 2026 seuls, au moins cinq incidents majeurs distincts ont déjà été confirmés ou revendiqués — trois pour la seule DGFiP (FICOBA, impôts, cadastre), deux pour la seule Éducation nationale (COMPAS, ZeroBytes) — soit un incident documenté toutes les six semaines environ, sur deux administrations avec lesquelles la quasi-totalité des Français a un jour eu affaire. La question n'est plus de savoir si le prochain surviendra, mais quelle administration en sera le théâtre, et si l'alerte qui l'aura précédé aura, cette fois, été entendue à temps.