Une question récurrente ces dernières années s’impose de plus en plus face à l’avalanche de fuites de données en France : les services publics sont-ils suffisamment outillés pour faire face à la montée du risque cybercriminel ? Dans sa course vers le « tout numérique », l'administration semble avoir négligé la sécurité de ces systèmes.
Publié le :
Les attaques se suivent et se ressemblent. Depuis la fin décembre 2025, les services de France Travail, des impôts, de l’Éducation nationale et du Logement – pour ne citer qu’eux – ont été tour à tour pris pour cible par des pirates informatiques. Dernières victimes en date : les Services départementaux d'incendie et de secours (SDIS). Des pompiers du Gard, des Bouches-du-Rhône, de la Moselle, du Bas-Rhin ou encore des Vosges ont ainsi appris la fuite de leurs données personnelles, par milliers.
À lire aussiFrance: ZeroBytes revendique un nouveau piratage massif de données gouvernementales
Dans son rapport annuel de 2025, la Commission nationale de l'informatique et des libertés (CNIL) indiquait avoir enregistré 6 167 violations de données. Une hausse de près de 10 % par rapport à 2024, symptomatique d’un phénomène en augmentation constante depuis bientôt dix ans. Parmi les différents secteurs concernés, les administrations publiques occupent le haut du classement.
Et pour cause, elles font l’objet d’environ une attaque sur cinq. Jugées particulièrement fiables, explique un hacker anonyme à France Info, les données collectées par les services de l’État se revendent cher sur les marchés virtuels. Aussi, si la tendance à la dématérialisation des documents et au « tout numérique » a simplifié certaines démarches, elle a aussi créé des boîtes de stockage centralisées d’informations privées. Une seule clé suffit alors à ouvrir un coffre plein à craquer, dont les mesures de sécurité ne semblent pas avoir suivi la numérisation.
Une étude publiée en 2026 par l’entreprise de cybersécurité néerlandaise Surfshark classe la France en deuxième position des pays les plus touchés par les violations de données, derrière les États-Unis. De fait, l’Hexagone pointe à la première place du classement au sein de l’Union européenne. Au total, plus de 40 millions de comptes auraient été compromis en 2025.
Les résultats présentés par Surfshark ne distinguent certes pas les données stockées par les particuliers et par les services publics, mais ils témoignent de lacunes en matière d’hygiène numérique. « Il y a bien des gens qui ne doivent même pas savoir qu’ils ont été attaqués », remarque Florence Sèdes, professeure des universités en informatique et chercheuse à l’Institut de recherche en informatique de Toulouse.
Un grand nombre de piratages sont souvent causés par des erreurs ou des manquements individuels. Des agents du service public, dont les compétences informatiques ou la formation n’ont pas évolué proportionnellement au passage à la numérisation, peuvent ainsi ouvrir, sans le savoir, des brèches dans les systèmes. En dehors des appétences de tout un chacun pour le numérique,* « il arrive que les gens ne parlent pas des problèmes qu'ils rencontrent et n'osent pas les partager pour éviter d'être mis en difficulté, si bien que la faille persiste* », remarque Florence Sèdes.
À lire aussi«L'intelligence artificielle amplifie les cyberattaques» en Afrique «et les rend plus sophistiquées»
Au-delà de la responsabilité individuelle des agents du service public, la question de l’adaptation des infrastructures à la menace des cyberattaques reste centrale. À l’image de la Direction générale des finances publiques (DGFiP), piratée en juin et juillet derniers, la dématérialisation et l’ouverture globale au numérique des services publics ont pu créer des failles, toutes les institutions n’ayant pas évolué au même rythme, indique Florence Sèdes. Qui plus est, « tous ces développements sont confiés à des entreprises privées, à des sous-traitants », ajoute la chercheuse. Difficile, dès lors, de garder la main sur le fonctionnement fin et sur l’homogénéité des réseaux.
Face à l’accroissement constant du risque, des directives sont prises sur le sujet depuis plusieurs années au niveau européen, sans pour autant qu’elles soient systématiquement suivies d’effet.
De fait, la Commission européenne a saisi la Cour de justice de l’Union européenne en juillet dernier à l’encontre de la France, reprochant à Paris de ne pas encore avoir mis en place la directive NIS 2, publiée par l’UE en 2022. Elle prévoit, entre autres, « l’utilisation de solutions d’authentification à plusieurs facteurs » pour les réseaux des « *entités essentielles *» des États membres. Aux dernières nouvelles, l’examen du projet de loi de transposition de NIS 2 en France ne devrait pas avoir lieu avant septembre 2026, soit presque deux ans après l’échéance initialement fixée par l’UE.
Seules la Belgique, la Croatie, l’Italie et la Lituanie avaient néanmoins respecté cette date butoir. Depuis, 22 États membres ont adopté un acte de transposition. La France fait ainsi partie des cinq derniers retardataires.
À la suite des fuites de données dont a été victime la DGFiP, le Premier ministre, Sébastien Lecornu, déplorait que « peu de ministères » soient « au niveau requis » en matière de cybersécurité. Aussi, les réponses gouvernementales semblent parfois intervenir en réaction, seulement une fois l’attaque encaissée, au lieu de sécuriser la forteresse en amont.
« Il faudrait faire du "secure by design", c'est-à-dire des infrastructures conçues pour la sécurité, explique Florence Sèdes, mais ce n’est pas vendeur. C'est comme la prévention en santé ». L’idée serait alors de prévoir des mécanismes de défense adéquats et préparés, autant que faire se peut, à résister aux attaques à venir. En d’autres termes, « acheter les barreaux et l’alarme avant de construire la maison », résume la chercheuse.
« Les débordements récents ont au moins le mérite de remettre ces questions au cœur de la discussion », concède Florence Sèdes. Des questions soulevées par la Cour des comptes depuis plusieurs années. Encore en juin 2025, l’institution rappelait dans un rapport que, si le pilotage de la sécurisation des systèmes d’information de l’État était à présent « bien structuré », il peinait encore « à déboucher sur des actions fortes ». En cause, un manque de « plans d’action, appuyés sur des échéanciers précis et articulés avec la programmation budgétaire ».
Depuis la vague d’attaques estivale de 2026, Sébastien Lecornu a appelé ses ministres à un « sursaut sur le volet cyber », rapportait France Info le 31 août. Deux semaines auparavant, le Premier ministre réclamait la formation d’une « nouvelle unité cyber ». Une annonce qui interpelle Florence Sèdes : « Nous n’avons pas besoin d’encore une nouvelle strate, ce n’est pas ce qu’il faut ». La spécialiste rappelle notamment l’existence de l’Agence nationale de la sécurité des systèmes d'information (ANSSI), « un nid de personnes compétentes », estime-t-elle, qui dépend directement… du Premier ministre.
Faute de communication effective sur l’étendue de leurs répercussions, le coût précis de ces attaques contre les services publics français est difficile à évaluer, « mais il est réel, c'est sûr », affirme Florence Sèdes. Certains éléments permettent cependant d’établir un ordre de grandeur.
Victimes récurrentes des effractions numériques, les hôpitaux ont pour certains dû débourser des millions d’euros pour rebâtir leurs systèmes informatiques. L’hôpital de Corbeil-Essonnes a ainsi prévu un budget de sept millions d’euros après l’attaque contre ses services en août 2022. Même situation pour le centre hospitalier de Dax, ciblé en 2021, dont la note s’élève à 2,3 millions d’euros. De son côté, la ville de Bondy a dû s’acquitter d’une facture d’au moins 1,5 million d’euros après un scénario similaire. Autant d’exemples qui rendent compte des sommes importantes en jeu suite à de tels événements. Tout ceci en considérant l’échelle locale de ces dépenses, à des niveaux bien inférieurs à ceux des ministères.
Cette conséquence indirecte de la course vers la dématérialisation des services publics soulève au passage un paradoxe. Initialement, cette numérisation avait pour objectif de réduire les coûts. En effet, la baisse, voire la disparition, des démarches en présentiel permet « d’éviter d’avoir des agents à rémunérer », note Florence Sèdes. Le rapport coûts-bénéfices parait ainsi plus complexe qu’initialement anticipé.
À ces frais supplémentaires pour l’État s’ajoute le coût social de la hausse des fuites de données. « C'est un problème relatif à la défense du citoyen et à la manière dont il est considéré par la puissance publique », juge la spécialiste. « *Avec seulement trois sources, on peut tout à fait reconstruire des informations très sensibles à partir de données éparses qui ont l'air tout à fait inertes. *»
Si ces failles de cybersécurité peuvent contribuer à éroder la confiance des individus envers les institutions, elles interrogent également quant à la préparation face à l'évolution de la menace, caractérisée, selon la Cour des comptes, par une « porosité accrue entre l’espionnage et la cybercriminalité ».
NewsletterRecevez toute l'actualité internationale directement dans votre boite mail
Follow the story
