« Peu de ministères sont au niveau requis » en matière de cybersécurité. C’est le Premier ministre Sébastien Lecornu lui-même qui l’a reconnu le 19 août dernier.
Il faut dire que les fuites depuis des bases de données de divers services de l’État se sont multipliées ces dernières semaines. Après l’Urssaf et avant l’Éducation nationale, une cyberattaque contre la Direction générale des Finances publiques (DGFiP), revendiquée mi-août par un groupe de hackers surnommé ZeroBytes, a occasionné un vol de données fiscales sensibles concernant pas moins de 700 000 contribuables.
Près d’un millier d’entre eux, estimant avoir été exposés à des risques spécifiques du fait de la fuite, ont rejoint une action collective contre l’État initiée par un avocat au barreau de Béziers spécialisé dans la protection des données personnelles.
Si cette attaque est particulièrement spectaculaire, le mal est plus profond encore. La Cnil cite plus de 6 100 violations de données en 2025 (+50% vs 2024) ciblant en premier lieu l’administration publique, la santé et les activités financières. Selon une étude de l’entreprise de cybersécurité Surfshark, 43,4 millions de comptes français ont été compromis au premier semestre 2026, en hausse de 62% par rapport au deuxième semestre 2025.
Ce qui fait de la France le pays européen le plus touché par des violations de données, et le deuxième au monde après les États-Unis.
Digitalisation à marche forcée et directive européenne non transposée
En cause, une forte digitalisation pour les accès à ses différents services et une concentration des informations au sein de services comme FranceConnect ou l’ANTS, qui rend toute fuite plus rentable pour les hackers et plus dangereuse pour les victimes. Sans compter que cette digitalisation à marche forcée contraint des citoyens maîtrisant mal les outils informatiques à les utiliser.
Vingt mois après l’expiration du délai prévu, la France n’a pas encore transposé la directive européenne « NIS 2 » sur la cybersécurité, qui vise à renforcer le niveau de cybersécurité des tissus économique et administratif des pays membres de l’UE. D’après le site d’information Politico en juin dernier, la Commission européenne s’apprêterait à poursuivre la France pour ce retard.
Depuis les déclarations de Sébastien Lecornu, ZeroBytes a revendiqué dimanche 30 août une nouvelle cyberattaque contre le site « Zéro logement vacant », un service numérique de l’État destiné aux collectivités. Près de 149 millions d’enregistrements bruts hébergés sur la plateforme auraient ainsi été récupérés.
Autant dire que la nouvelle unité de lutte contre les cyberattaques censée offrir une « réponse opérationnelle plus réactive », demandée par le Premier ministre dans une lettre au secrétaire général de la Défense, a du pain sur la planche.
