Pourquoi l'État français n'arrive plus à protéger vos données personnelles

Depuis le début de l’année 2026, plusieurs services publics français ont été victimes de cyberattaques majeures, révélant des failles majeures dans leur système de protection des données. Parmi les victimes figurent l’Éducation nationale, l’Agence nationale des titres sécurisés (ANTS), l’Urssaf et, plus récemment, la Direction générale des finances publiques (DGFiP). Cette dernière a subi deux intrusions successives sur son site cet été, entraînant le vol de données personnelles de 678 000 particuliers et professionnels. Ces attaques s’inscrivent dans une tendance alarmante : selon French Breaches, un média spécialisé dans les fuites de données, au moins 300 attaques ont ciblé des services français depuis janvier 2026, exposant 250 millions d’informations sensibles. Parmi ces données, on compte notamment les coordonnées de 1,2 million de comptes bancaires, volées lors du piratage du Fichier des comptes bancaires (FICOBA) en janvier.

Les données personnelles volées alimentent une économie criminelle en pleine expansion. Les cybercriminels exploitent ces informations pour commettre des fraudes, usurper des identités ou organiser des arnaques sophistiquées. Dans les cas les plus graves, ces données servent à des enlèvements ciblés, notamment dans le secteur des cryptomonnaies, où des crypto kidnappings se multiplient en France depuis deux ans. Par exemple, le groupe de hackers Zerobytes, responsable de l’attaque contre la DGFiP, a revendiqué le vol de données en échange d’une somme modeste de plusieurs milliers d’euros, soulignant l’humiliation pour l’État. Une fois les données diffusées, elles circulent de manière permanente sur le dark web, rendant leur récupération impossible et leurs conséquences durables.

Ces cyberattaques mettent en lumière la dette technologique de l’État français, c’est-à-dire l’écart entre les besoins en cybersécurité et les moyens alloués. Si l’Agence nationale de la sécurité des systèmes d’information (ANSSI) est capable de gérer des attaques sophistiquées, comme celles attribuées à des groupes prorusses, elle ne couvre pas l’ensemble des systèmes numériques publics. La DGFiP, par exemple, ne dispose même pas d’un responsable dédié à la cybersécurité. Parmi ses 94 000 agents, seuls 5 000 travaillent dans l’informatique, un effectif jugé insuffisant. Le syndicat Solidaires Finances Publiques avait alerté dès juin 2026 sur les risques de piratage, mais la DGFiP avait alors écarté tout danger. La numérisation accélérée des services publics, combinée à l’interconnexion des données, multiplie les vulnérabilités.

Le gouvernement a reconnu que peu de ministères sont à la hauteur en matière de cyberdéfense. Après le piratage de la DGFiP, le Premier ministre Sébastien Lecornu a annoncé la création d’une nouvelle unité au sein de l’ANSSI, composée majoritairement de ses agents, pour améliorer la réactivité face aux cyberattaques. Cependant, les experts jugent ce budget insuffisant : une enveloppe de 200 millions d’euros a été allouée après le piratage de l’ANTS, mais elle reste en deçà des besoins réels. Par ailleurs, les salaires peu attractifs de la fonction publique rendent difficile le recrutement d’experts en cybersécurité. La priorité accordée à l’intelligence artificielle et à la dématérialisation, au détriment de la sécurité, aggrave la situation.