Le piratage du ministère de l’Intérieur : un coup de bol opportuniste, et même pas ciblé
Le piratage du ministère de l’Intérieur en 2025 révèle moins une attaque ciblée qu’une chaîne de négligences et de vulnérabilités systémiques, exploitées par des cybercriminels opportunistes. L’intrusion, partie d’une compromission initiale via un cleptogiciel banal, a profité d’un maillage informatique interministériel mal sécurisé pour s’étendre sur près de trois mois, interrogeant la robustesse des défenses étatiques face à des menaces désormais démocratisées.
Comment les pirates ont-ils pu s’infiltrer dans les systèmes du ministère de l’Intérieur, alors que l’attaque n’était pas initialement dirigée contre cette cible ?
L’intrusion a débuté le 19 septembre 2025 par la compromission d’un fonctionnaire du ministère de l’Agriculture, via un cleptogiciel nommé Rhadamanthys, installé après avoir cliqué sur un lien frauduleux proposant des logiciels d’édition musicale. Les pirates ont ensuite exploité des certificats d’authentification volés et des failles dans des outils internes accessibles via navigateur web pour franchir progressivement neuf niveaux de défenses en profondeur, avant d’atteindre les serveurs du ministère de l’Intérieur le 9 novembre. L’attaque s’est donc révélée opportuniste, profitant d’un maillage informatique interministériel mal sécurisé plutôt que d’une expertise technique avancée.
Quels dysfonctionnements internes ont facilité la progression des pirates dans les systèmes du ministère de l’Intérieur ?
Plusieurs failles structurelles ont été exploitées : d’abord, l’utilisation par des policiers d’un système de secours sans carte professionnelle pour accéder au portail CHEOPS, avec un code à six chiffres partagé en clair dans des e-mails. Ensuite, le stockage d’un certificat d’authentification VPN professionnel dans un espace personnel non sécurisé (Google Drive) par le « patient zéro ». Enfin, l’absence de détection précoce malgré des consultations compulsives de fichiers sensibles, de nuit et le week-end, pendant près d’un mois.
Quels types de données ont été consultés ou exfiltrés par les pirates, et pourquoi ces cibles pourraient-elles indiquer une motivation précise ?
Les pirates ont accédé au fichier des personnes recherchées (FPR) et au traitement des antécédents judiciaires (TAJ), où ils ont ciblé trois profils de jeunes majeurs, dont l’un faisait l’objet d’une enquête pour cybercriminalité. Une fiche Interpol a également été consultée. Ces cibles suggèrent une possible motivation de représailles, notamment en lien avec l’arrestation en juin 2025 de membres présumés du groupe cybercriminel ShinyHunters, dont plusieurs Français. Les pirates auraient ainsi cherché à obtenir des informations sur des enquêtes les concernant ou visant leur communauté.
Qui sont les acteurs identifiés dans cette affaire, et quel rôle chacun a-t-il joué ?
Le « patient zéro » est un fonctionnaire du ministère de l’Agriculture dont l’ordinateur personnel a été infecté par Rhadamanthys, servant de point d’entrée aux pirates. Un suspect de 23 ans, déjà condamné pour cyberescroquerie et en attente de procès pour swatting, a été interpellé le 17 décembre 2025. Il affirme avoir fourni un serveur aux véritables hackeurs, sous pression, mais nie en être l’auteur. Les pirates, toujours en fuite, restent inconnus, bien que leur mode opératoire évoque des profils jeunes et autodidactes, typiques des cyberattaques récentes ciblant la France.
Ce que ça pourrait changer
Cette intrusion illustre la vulnérabilité des administrations face à des cybermenaces désormais accessibles à des acteurs peu sophistiqués mais déterminés, exploitant des failles humaines et organisationnelles plutôt que techniques. Elle pourrait accélérer les réformes de cybersécurité interministérielles, notamment sur la gestion des accès distants et le stockage des certificats professionnels. Par ailleurs, elle renforce l’hypothèse d’une escalade des cyberattaques motivées par des représailles, posant la question de la résilience des institutions face à des ennemis diffus et imprévisibles.
