En 2026, la sphère publique française a subi une série d'accès illégitimes officiellement confirmés : FICOBA en février, ÉduConnect et France Titres en avril, Tchap en juin, la DGFiP en août avec 678 000 particuliers et professionnels concernés. Le nombre d'incidents traités par l'ANSSI est resté stable, 1 366 en 2025 contre 1 361 en 2024, mais les exfiltrations de données ont progressé de moitié. Le vecteur qui revient sur les cas confirmés n'est pas une prouesse technique : c'est l'usurpation d'un accès légitime. La question de gouvernance qui en découle porte moins sur la solidité des verrous que sur l'étendue de ce qu'une clé valide a le droit d'ouvrir.
À la mi-août, une cellule interministérielle de crise s'est réunie autour du Premier ministre. Les mêmes jours, la Direction générale des Finances publiques commençait à écrire, un par un, à 678 000 contribuables dont les données venaient d'être consultées et extraites. Entre ces deux gestes tient l'année numérique de l'État français.
Le réflexe commande de parler de vague. Le directeur général de l'ANSSI dit l'inverse : « on n'est pas sur une explosion ou un raz-de-marée en 2025 », déclarait Vincent Strubel en présentant le Panorama de la cybermenace. Il a raison, et c'est précisément ce qui rend l'année instructive. Le volume tient. La nature a changé. Comprendre ce déplacement, c'est comprendre ce qui attend chaque organisation qui détient des données, délègue des accès et tient des systèmes pour fiables. C'est-à-dire toutes.
Le volume des incidents est stable, leur nature a changé
Les chiffres de référence tiennent en trois lignes. L'ANSSI a traité 1 366 incidents en 2025, contre 1 361 en 2024 : stabilité. Les exfiltrations de données, elles, passent de 130 à 196 sur la même période, une progression de moitié, le plus souvent sans chiffrement du système ni demande de rançon. Le vol silencieux a pris le pas sur le blocage bruyant.
incidents traités, contre 1 361 en 2024. Volume stable.
de 130 à 196 incidents d'exfiltration, sans chiffrement ni rançon.
violations enregistrées, plus haut niveau historique. Admin publique : 19 %.
La CNIL confirme le déplacement par un autre chemin. Elle a enregistré 6 167 notifications de violations en 2025, son plus haut niveau historique, et l'administration publique en devient le premier secteur, avec 19 % des notifications contre 11 % deux ans plus tôt. Un détail de méthode dit l'essentiel : pour établir ce décompte, la CNIL a dû retrancher plus de onze mille notifications issues de deux compromissions d'éditeurs, chacune démultipliée chez leurs clients. Une intrusion unique chez un prestataire peut démultiplier l'exposition chez ses clients. La concentration transforme l'incident en système.
Huit mois d'incidents : FICOBA, ÉduConnect, France Titres, Tchap, DGFiP
Déroulons l'année, en nous tenant aux faits officiellement établis.
Janvier. Des identifiants d'un fonctionnaire, détenus au titre de l'échange d'information entre ministères, servent à consulter le fichier national des comptes bancaires : 1,2 million de comptes concernés, selon la DGFiP elle-même. Le même mois, la CNIL sanctionne France Travail de 5 millions d'euros : authentification insuffisante, journalisation déficiente, habilitations définies trop largement, et des mesures identifiées avant l'incident restées partiellement mises en œuvre.
Avril. Le ministère de l'Éducation nationale confirme la compromission d'ÉduConnect, survenue fin décembre, portant sur des données personnelles d'élèves, dans un périmètre encore en cours d'évaluation à la date du communiqué. France Titres confirme l'exposition potentielle de 11,7 millions de comptes du portail des démarches liées aux titres.
Juin. Un compte usurpé ouvre l'accès à des salons de Tchap, la messagerie de l'État.
Juillet. Un compte professionnel détourné expose le système de formation des personnels de l'Éducation nationale.
Juin et juillet encore. Le 14 août, un communiqué de Bercy établit que des usurpations d'identifiants, ceux d'un agent de la DGFiP et ceux d'un tiers habilité, ont permis la consultation et l'extraction des données fiscales et cadastrales de 678 000 particuliers et professionnels. Deux phrases de ce communiqué méritent d'être lues deux fois. Les accès avaient été coupés dès leur détection, mais les contrôles réalisés à cette occasion « n'ont pas permis de détecter que ces intrusions avaient conduit à des vols de données, en raison de la sophistication de l'attaque ». Et les investigations approfondies datent du 12 août, c'est-à-dire du jour de la revendication publique par l'attaquant.
Sur ces incidents confirmés, un motif revient : l'accès légitime détourné. La porte a été ouverte avec une clé. Derrière ce motif, trois formes d'exposition se dessinent : l'étendue de ce qu'une habilitation peut ouvrir, la délégation d'un accès à un tiers, la concentration de millions d'enregistrements en un même point. Chacune procède d'une décision prise en amont. Quelqu'un a fixé l'étendue de l'habilitation, consenti la délégation, admis la concentration. Ce que les incidents ne disent pas, c'est si ces décisions ont été posées comme telles.
Ce que l'authentification vérifie, et ce qu'elle ne décide pas
Il faut dire d'abord ce que la protection technique accomplit, parce que les faits de l'année le documentent aussi.
Au ministère de l'Intérieur, en décembre, l'intrusion a prospéré sur des identifiants échangés en clair et sur un portail dépourvu de double authentification ; le ministre lui-même a pointé un défaut d'hygiène numérique. Mais là où le second facteur était déployé, l'attaquant a échoué : la mesure fonctionne, et l'incident l'a prouvé en creux. De même, les défauts élémentaires de contrôle d'accès applicatif, ceux qui laissent consulter le dossier d'autrui en modifiant un identifiant, relèvent d'un audit classique et se corrigent. La technique est nécessaire, elle progresse, et elle rend des verdicts.
Puis vient le cas qui déplace la question. À la DGFiP, l'attaquant a opéré avec des identifiants authentiques. L'anomalie a été détectée, l'accès coupé, et les contrôles menés à ce moment-là n'ont pas vu l'extraction déjà réalisée. Un contrôle d'accès valide ce qu'on lui présente ; face à une clé vraie, il fait exactement son travail : il ouvre.
Un système peut donc reconnaître une clé valide, et lui avoir néanmoins accordé le droit d'ouvrir beaucoup trop.
À cet endroit précis, la question change de nature. Elle cesse d'être : nos verrous tiennent-ils ?
Combien cette clé peut-elle ouvrir, pendant combien de temps, sous quelle surveillance, et qui en a décidé ainsi ?
Concentration, délégation, habilitation : trois décisions prises en amont
Chaque incident de l'année remonte à une décision prise en amont, souvent sans avoir été posée comme telle.
La concentration
Ce que l'organisation accepte de rassembler en un même point. Guichet unique, portail commun, fichier unifié : un choix légitime devient un risque systémique s'il reste implicite, sans plafond décidé ni plan de dispersion.
La délégation
Habiliter un tiers est une décision. Le périmètre exact de son accès, la traçabilité de ses requêtes, la réversibilité du lien en sont d'autres, distinctes, à poser explicitement et à réexaminer.
L'habilitation
Le rayon d'action maximal qu'un accès peut ouvrir, y compris lorsque ce droit est détourné. Transformer la connaissance du risque en décision tenue : propriétaire, échéance, preuve d'exécution.
La concentration d'abord. Le guichet unique est un choix légitime de service public : simplicité pour l'usager, efficacité pour l'administration. Il devient un risque systémique quand il reste un choix implicite, sans plafond décidé ni plan de dispersion. Onze millions de comptes sur un portail, des dizaines de millions d'enregistrements dans un fichier : ces volumes ont été consentis quelque part, par quelqu'un, à une date. La question de gouvernance est de savoir si cet arbitrage existe en tant qu'acte, ou seulement en tant qu'état de fait.
La délégation ensuite. Habiliter un tiers est une décision. Le périmètre exact de son accès, la traçabilité de ses requêtes, la réversibilité du lien en sont d'autres, distinctes. Les sources publiques établissent leurs défaillances ; elles ne permettent généralement pas de savoir si ces décisions avaient été explicitement posées, plafonnées et régulièrement réexaminées. Cette invisibilité de l'acte de décision est précisément mon sujet.
L'habilitation enfin, et le cas France Travail en fait un cas d'école. La CNIL y établit un écart précis : des mesures de sécurité identifiées en amont dans les analyses, une mise en œuvre incomplète. Le risque avait été identifié. Les mesures ne l'avaient pas toutes suivi. J'y lis l'enjeu central de gouvernance de la période : transformer la connaissance du risque en décision tenue, avec un propriétaire, une échéance et une preuve d'exécution.
La fuite est un climat : gouverner l'exposition devient une capacité permanente
J'écrivais en juin que la fuite, l'usurpation et la falsification avaient quitté le registre de l'accident pour former la condition permanente du numérique. Huit mois de faits confirment cette lecture, et la précisent : l'exigence de protection demeure entière ; la gouvernance de l'exposition devient une capacité permanente, distincte de la première et complémentaire.
Cette capacité porte sur deux versants d'une même réalité : ce que l'organisation détient, et ce qu'elle tient pour vrai. Le premier versant a occupé l'année. Le second travaille sous nos yeux : au moment où ces lignes s'écrivent, une revendication vise l'Éducation nationale, annonçant des centaines de millions de lignes exfiltrées. Aucune confirmation officielle n'existe à cette heure, et l'ANSSI rappelle qu'une part importante des revendications d'exfiltration reste non confirmée après investigation : sur l'ensemble de celles portées à sa connaissance en 2025, quatre-vingts seulement ont pu être établies. Distinguer le fait établi de la revendication, exiger la source et le niveau de preuve avant de croire et avant d'agir : c'est déjà de la gouvernance d'exposition. Une organisation qui panique sur une revendication ou qui ignore un fait établi commet, dans les deux cas, la même erreur de gouvernance.
Les cinq décisions du périmètre d'exposition décisionnelle
J'ai publié le 17 août la traduction opérationnelle d'un cadre posé en juin.
Le périmètre d'exposition décisionnelle
Relus à travers lui, les incidents de ces huit mois se rangent sous cinq décisions : ce que l'organisation accepte de détenir et de concentrer, ce qu'elle délègue et sous quelles conditions de contrôle et de réversibilité, le rayon d'action maximal qu'un accès peut ouvrir y compris lorsqu'il est détourné, les seuils qui déclenchent un arbitrage de direction, et l'autorité habilitée à poursuivre, interrompre et reprendre une activité exposée.
Chacune porte un plafond d'exposition : le volume, la durée ou le périmètre au-delà desquels une réautorisation s'impose. C'est ce plafond qui distingue une décision d'une appréciation de risque. « Accès aux données fiscales : accepté » est une ligne de registre des risques. « Un identifiant, humain ou tiers, ouvre au maximum tant de dossiers sur telle durée, au-delà réautorisation » est une décision. Le cas DGFiP en montre l'exact enjeu. Le contrôle technique a bien vu un accès anormal et l'a coupé ; ce qu'il n'a pas vu, c'est ce que cet accès avait déjà emporté. Un plafond décidé change la nature de la question posée au système : au lieu de demander si cette clé est valide, il demande si ce qu'elle vient d'ouvrir reste dans les limites consenties. La dérive devient alors un signal, et le signal un arbitrage. L'instruction technique en fournit la valeur et en construit la mesure ; la direction fixe le plafond et l'assume.
Mise à jour du 18 août
Depuis la rédaction de cet article, Bercy a tenu une conférence de presse consacrée à cette attaque. Le ministre chargé des Comptes publics y a présenté les excuses du gouvernement, annoncé une revue complète des accès aux données y compris ceux passant par des partenaires extérieurs, et la généralisation des quotas d'accès, sur le modèle de ce qui existe déjà pour FICOBA. La direction générale des finances publiques y a décrit le mode opératoire : les attaquants ont procédé à des tests d'extraction manuels avant d'enclencher un siphonnage massif, en restant sous les seuils d'alerte de la DGFiP, calibrés pour permettre aux agents de traiter quotidiennement un grand volume d'informations. Une troisième fuite, de moindre ampleur, portant sur un portail de successions vacantes, a été détectée le 17 août et interrompue.
Cette description mérite d'être relue. Le seuil existait. Il avait été fixé au niveau qu'exigeait le travail quotidien des agents, et non au niveau qu'aurait exigé l'exposition consentie. Un plafond réglé pour la productivité n'est pas un plafond décidé pour l'exposition : c'est le même nombre, arbitré au nom d'une autre finalité, sans que la question de l'exposition ait eu à être posée. La généralisation des quotas annoncée est un déplacement réel, de l'identité qui accède vers ce que l'accès peut ouvrir. La question dirigeante commence là où elle s'arrête : qui fixe ce quota, au nom de quel arbitrage, avec quelle échéance de révision, et qui autorise son dépassement ?
Ce que les référentiels existants ne produisent pas : l'acte de décision
Ce cadre arrive dans un paysage déjà dense, et il faut le reconnaître pleinement. Les référentiels de gouvernance du risque existent, et les régimes européens rendent désormais les organes de direction responsables de l'approbation et de la supervision des mesures. L'État a engagé un plan de 200 millions d'euros, prépare une autorité numérique, affecte une part des budgets ministériels à la cybersécurité ; le rapport de la commission d'enquête de l'Assemblée nationale, publié en juillet, cartographie les dépendances numériques du pays. Ces réponses documentent, financent et structurent.
Un test simple situe ce qui reste à construire. Dans votre organisation, publique ou privée, demandez à voir l'acte : le document court, daté, signé d'une autorité nommée, qui fixe la concentration acceptée chez votre principal prestataire et le rayon maximal qu'une habilitation peut ouvrir. Les analyses existent, les contrats existent, les plans existent. Mon hypothèse est que cet acte reste rarement constitué comme tel, au niveau dirigeant et dans un document unique. C'est précisément ce que chaque organisation peut vérifier chez elle, en une question.
C'est cet acte que je propose de créer.
Le Relevé de Décision Souveraine
Un document court, tenu au niveau de direction, qui consigne pour chaque domaine la décision posée, le seuil fixé et le signal surveillé, avec son autorité, son échéance d'exécution, la preuve attendue et son intervalle de révision. Il s'insère dans les instances de gouvernance existantes. Il s'éprouve sur un seul service, en quatre-vingt-dix jours, avec un critère de réussite annoncé d'avance : des décisions posées, tenues et révisées. Un ministère peut le tester sur un service essentiel. Une entreprise, sur son service le plus exposé.
Agents d'intelligence artificielle : la même question, à vitesse machine
Un dernier déplacement s'annonce, et il donne à l'année sa portée réelle. Le motif de 2026 est le droit légitime détourné. Un agent d'intelligence artificielle intégré au système d'information peut précisément cumuler cela : des accès, des outils, une durée d'autonomie, un pouvoir d'agir. Dès qu'une organisation lui délègue de tels droits, elle crée une exposition par délégation, au moment même où elle subit l'exposition de ses données. Le cadre couvre déjà ce cas, et il en tire la seule leçon qui vaille pour les deux : on ne gouverne pas seulement l'identité de celui qui agit, on gouverne le rayon maximal de ce qu'un droit authentique permet de faire. Les organisations qui apprennent aujourd'hui à décider ce qu'ouvrent leurs habilitations humaines construisent exactement le muscle qu'exigeront leurs agents demain.
L'exposition se décide avant de se subir. Décider avant d'intégrer.
La note publique « Décider à découvert. Gouverner l'exposition numérique permanente » développe ce cadre pour les institutions publiques et les organisations. Le périmètre d'exposition décisionnelle, publié en juin 2026, en pose les deux versants.
Christophe Picou, fondateur de VEIA.AI, conseil stratégique indépendant, France et Suisse.
Questions fréquentes
Que s'est-il passé à la DGFiP en août 2026 ?
Le communiqué n° 953 du ministère de l'Économie, publié le 14 août 2026, établit que des accès illégitimes sont intervenus en juin et juillet 2026 sur le système d'information de la Direction générale des Finances publiques, reposant sur des usurpations d'identifiants d'un agent de la DGFiP et d'un tiers habilité. Ces accès ont permis la consultation et l'extraction de données concernant 678 000 particuliers et professionnels, dont le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, la raison sociale et le SIREN pour les entreprises, ainsi que des données cadastrales. Les accès avaient été coupés dès leur détection, mais les contrôles réalisés alors n'avaient pas permis d'identifier les vols de données.
Le nombre de cyberattaques contre l'État français augmente-t-il ?
Non, pas en volume. Le Panorama de la cybermenace 2025 de l'ANSSI établit une stabilité : 1 366 incidents traités en 2025 contre 1 361 en 2024. Ce qui change est la composition. Les incidents d'exfiltration de données passent de 130 à 196 sur la même période, une progression de moitié, le plus souvent sans chiffrement du système ni demande de rançon. L'ampleur unitaire des fuites et la concentration des données en jeu constituent l'aggravation réelle.
L'authentification forte suffit-elle à empêcher ce type d'incident ?
Elle est nécessaire, elle n'est pas suffisante, parce qu'elle répond à une question différente. L'authentification vérifie qu'une preuve d'accès valide est présentée ; elle ne décide pas à elle seule de l'étendue de ce que cet accès est autorisé à consulter ou extraire. Dans plusieurs cas de 2026, l'attaquant opérait avec des identifiants authentiques, obtenus par usurpation. Un système peut reconnaître une clé valide et lui avoir néanmoins accordé le droit d'ouvrir beaucoup trop. La protection technique reste nécessaire, et elle a bloqué des intrusions là où elle était déployée ; elle ne remplace pas la décision sur l'étendue des droits.
Qu'est-ce qu'un plafond d'exposition ?
C'est le volume, la durée ou le périmètre au-delà desquels une réautorisation s'impose. Il transforme une appréciation de risque en décision. Écrire qu'un accès aux données fiscales est accepté relève du registre des risques. Décider qu'un identifiant, humain ou tiers, ouvre au maximum un certain nombre de dossiers sur une durée donnée, au-delà de laquelle une réautorisation est requise, relève de l'arbitrage dirigeant. L'instruction technique en fournit la valeur et en construit la mesure ; la direction fixe le plafond et l'assume.
Mise à jour du 18 août
Depuis la rédaction de cet article, Bercy a tenu une conférence de presse consacrée à cette attaque. Le ministre chargé des Comptes publics y a présenté les excuses du gouvernement, annoncé une revue complète des accès aux données y compris ceux passant par des partenaires extérieurs, et la généralisation des quotas d'accès, sur le modèle de ce qui existe déjà pour FICOBA. La direction générale des finances publiques y a décrit le mode opératoire : les attaquants ont procédé à des tests d'extraction manuels avant d'enclencher un siphonnage massif, en restant sous les seuils d'alerte de la DGFiP, calibrés pour permettre aux agents de traiter quotidiennement un grand volume d'informations. Une troisième fuite, de moindre ampleur, portant sur un portail de successions vacantes, a été détectée le 17 août et interrompue.
Cette description mérite d'être relue. Le seuil existait. Il avait été fixé au niveau qu'exigeait le travail quotidien des agents, et non au niveau qu'aurait exigé l'exposition consentie. Un plafond réglé pour la productivité n'est pas un plafond décidé pour l'exposition : c'est le même nombre, arbitré au nom d'une autre finalité, sans que la question de l'exposition ait eu à être posée. La généralisation des quotas annoncée est un déplacement réel, de l'identité qui accède vers ce que l'accès peut ouvrir. La question dirigeante commence là où elle s'arrête : qui fixe ce quota, au nom de quel arbitrage, avec quelle échéance de révision, et qui autorise son dépassement ?
Qu'est-ce que le Relevé de Décision Souveraine ?
C'est un document court, tenu au niveau de direction, qui consigne pour chaque domaine la décision posée, le seuil fixé et le signal surveillé, avec son autorité, son échéance d'exécution, la preuve attendue et son intervalle de révision. Il s'insère dans les instances de gouvernance existantes, sans créer d'instance nouvelle ni de programme budgétaire dédié, et s'éprouve sur un seul service essentiel en quatre-vingt-dix jours.
En quoi cette approche diffère-t-elle de la cybersécurité ?
La cybersécurité répond à la question de la protection : comment empêcher, détecter, corriger. La gouvernance de l'exposition répond à une question antérieure et dirigeante : que décidons-nous d'exposer, jusqu'où, sous quelle autorité, et qu'advient-il lorsque ce seuil est dépassé. Les référentiels de gouvernance du risque existent et les régimes européens rendent désormais les organes de direction responsables de l'approbation des mesures. Ce qui reste rarement constitué, c'est l'acte court par lequel un dirigeant transforme cette matière en un petit nombre de décisions explicites, exécutables et révisables.
Cette question concerne-t-elle aussi les agents d'intelligence artificielle ?
Directement. Un agent intégré à un système d'information peut cumuler des accès, des outils, une durée d'autonomie et un pouvoir d'agir. Dès qu'une organisation lui délègue de tels droits, elle crée une exposition par délégation. Le principe est le même que pour une habilitation humaine : on ne gouverne pas seulement l'identité de celui qui agit, on gouverne le rayon maximal de ce qu'un droit authentique permet de faire.
Sources
- ANSSI / CERT-FR, Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002), 11 mars 2026.
- CNIL, sanction à l'encontre de France Travail, 22 janvier 2026 ; rapport annuel 2025, publié le 18 mai 2026.
- Ministère de l'Économie, communiqué relatif aux accès illégitimes au fichier FICOBA, 18 février 2026 ; communiqué n° 953 relatif aux accès illégitimes au système d'information de la DGFiP, 14 août 2026.
- Ministère de l'Éducation nationale, confirmation de la compromission d'ÉduConnect, 14 avril 2026 ; communiqué relatif à l'incident affectant les données de personnels, 3 août 2026.
- Ministère de l'Intérieur, point officiel France Titres, avril 2026.
- Sénat, audition du ministre de l'Intérieur, commission des lois, 13 janvier 2026.
- DINUM, incident de sécurité sur Tchap, juin 2026.
- Assemblée nationale, rapport n° 3054 sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique, publié le 15 juillet 2026.
- Ministère de l'Économie, conférence de presse consacrée à la cyberattaque visant la DGFiP, 18 août 2026.
