Le piratage du ministère de l’Intérieur : un coup de bol opportuniste, et même pas ciblé
L’enquête de l’Office anticybercriminalité (OFAC) sur le piratage de fichiers du ministère de l’Intérieur révèle qu’il a commencé par la compromission de l’ordinateur personnel d’un fonctionnaire du ministère de… l’Agriculture. Le ou les auteurs de l’intrusion ont ensuite passé deux mois et demi à farfouiller leurs systèmes respectifs, parvenant à franchir près d’une dizaine de […].
L'attaque informatique contre le ministère de l'Intérieur a duré 26 jours, du dimanche 9 novembre au jeudi 4 décembre 2025. Cette période prolongée a été qualifiée de « très longue journée portes ouvertes » par Le Canard enchaîné. L'intrusion a été détectée grâce à des consultations répétées et compulsives, notamment le week-end et la nuit, de fichiers sensibles. Au total, 37 serveurs de messagerie sur 250 ont été compromis, et 14 fichiers de police ont été consultés, dont celui des personnes recherchées contenant notamment les fichiers S.
L'attaque a commencé par une faille humaine : un fonctionnaire du ministère de l'Agriculture, surnommé « patient zéro », a consulté sa boîte mail professionnelle depuis son domicile à Dijon le 19 septembre 2025. Il a cliqué sur un lien envoyé à son adresse professionnelle, le redirigeant vers un faux site proposant des logiciels d'édition musicale. Son ordinateur personnel a été infecté par un infostealer (ou cleptogiciel en français), nommé Rhadamanthys. Ce logiciel malveillant permet de voler des identifiants, mots de passe et données sensibles. Il est commercialisé entre 300 et 500 dollars par mois sur le marché noir, payable en cryptomonnaies.
Le cleptogiciel Rhadamanthys a permis aux pirates d'accéder au Google Drive du fonctionnaire, où il avait stocké par erreur son certificat d'authentification au VPN du ministère de l'Agriculture. Ce certificat, normalement réservé à un usage professionnel, a offert aux pirates un accès illégitime aux réseaux du ministère. Ils ont ensuite découvert une passerelle informatique reliant le ministère de l'Agriculture à celui de l'Intérieur. Pendant près d'un mois, ils ont exploré les systèmes du ministère de l'Intérieur, en particulier ceux de la direction générale de la police nationale, avant d'être repérés.
Pour pénétrer les systèmes du ministère de l'Intérieur, les pirates ont dû franchir huit niveaux de défenses en profondeur. Ils ont exploité une faille sur un outil interne accessible via un navigateur web, leur permettant de prendre le contrôle de comptes de gestionnaires de messagerie. Ils ont ensuite réinitialisé les mots de passe d'agents, dont des enquêteurs de police. En analysant les messageries piratées, ils ont trouvé des certificats d'authentification et des mots de passe associés, leur donnant accès au portail CHEOPS. Ce portail, appelé Système de Circulation Hiérarchisée des Enregistrements Opérationnels de la Police Sécurisés, est normalement protégé par une carte professionnelle sécurisée et un code à quatre chiffres.
Les pirates ont accédé à des fichiers sensibles, dont le fichier des personnes recherchées (FPR) et le traitement des antécédents judiciaires (TAJ). Ils ont exfiltré 23 fiches et 3 000 éléments de sommaires du FPR, ainsi que 72 fiches et plusieurs dizaines de milliers de sommaires du TAJ. Ils ont également consulté le contenu de plusieurs procédures judiciaires en cours, dont trois concernaient des enquêtes sur la cybercriminalité. Une fiche Interpol a également été volée. L'objectif initial des pirates n'était pas de cibler spécifiquement le ministère de l'Intérieur, mais cette attaque est devenue opportuniste.
Les enquêteurs privilégient la piste d'une opération de représailles contre la France, liée à l'arrestation en juin 2025 de membres présumés du groupe cybercriminel ShinyHunters. Un suspect de 23 ans a été interpellé le 17 décembre 2025. Il a affirmé n'être que le fournisseur d'un serveur utilisé par les vrais pirates, sous la pression de ces derniers. Condamné en 2025 à un an de prison avec sursis pour cyberescroquerie, il est également suspecté dans une affaire de swatting (appel d'urgence fictif pour déclencher une intervention policière). Les pirates se seraient intéressés à des profils spécifiques, dont un jeune homme recherché par la brigade de lutte contre la cybercriminalité de Paris.
L'attaque a révélé plusieurs **failles de sécurité** au sein des ministères. Les policiers utilisent parfois un **système de secours** pour accéder au portail CHEOPS, reposant uniquement sur un identifiant et un code à six chiffres, au lieu de la carte professionnelle sécurisée. De plus, le fonctionnaire infecté avait stocké un **certificat professionnel** dans son espace Google Drive personnel, une pratique interdite. Enfin, les pirates ont exploité des **défenses en profondeur** mal configurées, permettant une infiltration progressive. Ces lacunes illustrent les risques liés à l'utilisation d'outils personnels pour des tâches professionnelles et à la sous-estimation des menaces cyber.
