Les fuites de données de Bercy et de l’éducation nationale auraient-elles pu être techniquement évitées ?
L’ESSENTIEL Au mois d’août, plusieurs attaques informatiques ont provoqué des fuites de données officielles dans différents services publics et administrations : impôts, cadastre, succession, ministère de l’éducation nationale… La méthode employée par les hackers est tristement simple : ils ont usurpé les identifiants de connexion d’utilisateurs autorisés pour entrer sur les réseaux puis télécharger les données sans éveiller l’attention. Des solutions techniques qui limitent la portée de ce type d’attaque existent.
Entre le 12 et le 18 août 2026, plusieurs administrations françaises (impôts, cadastre, successions, éducation nationale) ont subi des fuites de données sensibles impliquant des centaines de milliers de personnes. Les premières attaques ont touché 350 000 particuliers pour les données fiscales, puis 433 485 particuliers et 1 082 professionnels pour les données cadastrales. Une troisième fuite concernait les données de successions, tandis qu’une quatrième, revendiquée par le groupe Zerobytes, visait le ministère de l’éducation nationale avec des données accumulées sur deux décennies. Ces attaques, revendiquées par un même acteur, ont exposé des informations d’identification officielles sans recourir à des méthodes sophistiquées comme l’intelligence artificielle.
Les hackers ont utilisé une méthode d’attaque peu complexe : l’usurpation d’identifiants légitimes d’agents de l’État. Une fois ces identifiants obtenus, ils ont accédé aux réseaux en contournant ou neutralisant l’authentification multifacteur (AMF), un système de sécurité qui exige un mot de passe et un code temporaire envoyé sur un téléphone mobile. Les autorités ont confirmé que l’attaque provenait d’un agent de la Direction générale des finances publiques dont l’identité numérique avait été compromise. Les hackers ont ensuite exploité des droits d’accès fédérés, permettant de naviguer entre différents systèmes administratifs sans réauthentification, comme si un visiteur du musée du Louvre pouvait accéder librement aux réserves.
Pour éviter ce type d’attaques, les experts recommandent de déployer des architectures dites de «zéro confiance» (zero trust). Contrairement aux systèmes traditionnels où un utilisateur authentifié a accès à l’ensemble des ressources, ce modèle vérifie en permanence la légitimité des actions d’un utilisateur en fonction de critères comme ses habitudes, sa localisation ou l’heure de connexion. Ainsi, un attaquant utilisant des identifiants volés serait repéré s’il adopte un comportement inhabituel. Cependant, ces architectures restent peu répandues dans les administrations publiques en raison de leur complexité et de l’hétérogénéité des systèmes existants.
Une fois à l’intérieur des réseaux, les attaquants ont pu extraire les données sans déclencher d’alerte, en testant d’abord les mécanismes de surveillance. Ils ont ensuite réparti les requêtes dans le temps et entre les systèmes, utilisant des commandes ordinaires pour éviter d’être détectés. Cette exfiltration progressive s’est fondue dans l’activité normale du réseau. Contrairement à d’autres cyberattaques, aucun rançongiciel (logiciel malveillant bloquant les données contre rançon) n’a été déployé, suggérant que des compétences techniques limitées ont suffi à compromettre des systèmes étatiques.
Les données volées pourraient être exploitées pour des fraudes financières (faux avis d’imposition, ordres de virement frauduleux) ou des escroqueries ciblant les propriétaires immobiliers via les données cadastrales. Les criminels pourraient aussi lancer des attaques d’hameçonnage (phishing) plus efficaces grâce à la précision des informations obtenues, en se faisant passer pour l’administration fiscale ou une banque. À plus long terme, ces données pourraient servir dans des opérations d’ingérence hybride, notamment à l’approche d’échéances électorales en France, pour fragiliser la confiance du public.
Pour limiter les risques, les organisations doivent prioriser deux mesures : renforcer les capacités de détection des intrusions et appliquer une *gestion rigoureuse des habilitations*, en alignant strictement les droits d’accès sur les fonctions exercées. Par exemple, un agent changeant de poste doit voir ses anciens droits révoqués. La France est d’ailleurs sous le coup d’une procédure de la Commission européenne pour non-respect de la directive *NIS2*, qui impose aux secteurs critiques de renforcer leur cybersécurité. Sans *authentification multifacteur* ni gestion des accès, toute organisation reste vulnérable à des attaques similaires.
