La Souveraineté numérique Française en miettes

Trois vols de données par jour. C’est le chiffre que le Premier ministre lui-même a fini par lâcher. Derrière le vocabulaire rassurant de la « souveraineté numérique », la France vit en réalité l’une des plus longues hémorragies de données publiques de son histoire récente, et personne, en haut, ne semble en mesure de poser un garrot.

I. Tchap, ou le symbole qui fuit

Il fallait un coupable idéal, et le hasard l’a fourni. Tchap, c’est la messagerie que l’État s’est offerte pour échapper à WhatsApp et Telegram. L’outil « souverain », chiffré de bout en bout, hébergé sur le cloud du ministère de l’Intérieur, présenté comme la preuve qu’on pouvait communiquer entre agents publics sans confier ses secrets à des serveurs américains ou russes. Une circulaire de Matignon, signée en juillet 2025, en avait même rendu l’usage obligatoire à partir de la rentrée.

Et c’est précisément cet outil-là qui se retrouve aujourd’hui au cœur d’une fuite alléguée vertigineuse : 73 467 comptes d’agents de l’État, 643 459 messages, 876 salons de discussion, 59 386 médias, soit 13,5 gigaoctets au total. Parmi eux, des documents estampillés « Diffusion Restreinte ». La mécanique de l’attaque est presque banale dans sa simplicité : un point d’accès de recherche d’annuaire mal protégé, qui permettait d’énumérer les utilisateurs à travers plusieurs partitions de la plateforme. Pas un exploit de génie. Une porte laissée entrouverte.

Trois fois la même famille de défaillance, sur l’outil censé incarner la maîtrise de l’État sur ses propres flux. Quand le symbole de la souveraineté numérique fuit avec cette régularité, ce n’est plus un incident. C’est un aveu.

Le détail qui tue : ce n’est pas la première fois. En 2019, un lanceur d’alerte mettait déjà au jour une faille de contrôle d’accès, corrigée, il est vrai, en un peu plus d’une heure. En 2024, un bug permettait à des intrus de s’inviter dans les conversations. En 2026, l’énumération d’utilisateurs.

II. Le bilan que personne ne voulait additionner

Tchap n’est que la pointe émergée. Pris isolément, chaque incident peut passer pour un accident. Mis bout à bout, ils dessinent autre chose : un effondrement systémique.

Depuis le début de l’année 2026, le compteur affole : plus de 300 services français touchés, 23 millions de comptes compromis, 250 millions de données exposées. Le seul mois d’avril a concentré une rafale d’incidents majeurs, à un rythme que l’administration n’a jamais su suivre.

État des lieux des dernières fuites de données majeures

Date	Service / organisme	Volume annoncé	Nature des données
20 août 2026	Alaxione (rendez-vous médicaux)	6,8 millions de profils et 10,1 millions de rendez-vous revendiqués	Identité, date de naissance, numéro de Sécurité sociale, médecin traitant, motifs de consultation, messages, IBAN et BIC selon le schéma
17 août 2026	Ministère de l’Éducation nationale	43 Go, environ 346 millions de lignes brutes revendiquées	Élèves (dont premier degré), parents, enseignants et personnels ; annuaires académiques et empreintes de mots de passe
16 août 2026 (confirmé)	Achat-Or-Et-Argent.fr	50 000 clients	Nom, prénom, e-mail, téléphone, adresse postale, historique des commandes
14 août 2026	DGFiP / SPDC (données cadastrales)	252 149 lignes, 2 041 778 personnes revendiquées	Nom, sexe, date et lieu de naissance, adresse du titulaire, identifiant foncier MAJIC, parcelles et droits détenus
13 août 2026 (confirmé)	Bloctel / DGCCRF	3 millions de numéros	Numéros de téléphone inscrits sur la liste d’opposition au démarchage
13 août 2026	Trezor / ShipMonk (prestataire)	13 689 clients	Nom, adresse de livraison, téléphone, courriel de détenteurs de portefeuilles crypto (hors France)
26 juin 2026 (révélé le 13 août)	DGFiP / impots.gouv.fr	678 438 lignes revendiquées	Identité, adresses, téléphone, situation familiale, revenu fiscal de référence, taux de prélèvement à la source
Juin 2026	Tchap	73 467 agents + 643 459 messages	Messagerie interministérielle, salons publics, documents, mention « Diffusion Restreinte »
15 avril 2026	ANTS / France Titres	18–19 millions d’identités	Cartes d’identité, passeports, permis
12 avril 2026	ÉduConnect	3,5 M d’élèves + 7,2 M de bulletins	Données scolaires, identité (mineurs)
5 avril 2026	8 ARS (groupe DumpSec)	35 millions de dossiers médicaux	Dossiers patients, 130 hôpitaux, données bancaires
24 avril 2026	ASP	Non quantifié	Noms, adresses, IBAN, NIR, aides perçues
24 avril 2026	ANFR	330 000 personnes	Identité, adresses, dates de naissance
21 janvier 2026	Ficoba	1,2 million de comptes bancaires	RIB/IBAN, identité, identifiant fiscal
Janvier 2026	Choisir le service public	377 418 candidats	Identité, coordonnées, diplômes
Janvier 2026	OFII / ANEF	2,1 millions de lignes	Parcours, coordonnées de ressortissants étrangers
Novembre 2025	Resana	Non communiqué	Données d’agents, exfiltration via compte compromis

 

Derrière la froideur du tableau, mesurons ce qu’il faut bien appeler la valeur unitaire de l’humiliation. Trente-cinq millions de dossiers médicaux, soit le secret le plus intime qui soit, dispersé via les agences régionales de santé. Près de dix-neuf millions de pièces d’identité civiles, de quoi industrialiser l’usurpation. Et, plus glaçant encore, trois millions et demi d’élèves mineurs, fichés avec leurs bulletins, leurs identités, leurs résultats. L’État n’a pas seulement laissé filer des données d’adultes consentants à la vie administrative : il a exposé des enfants.

La CNIL, de son côté, tient la comptabilité du désastre. 6 167 violations enregistrées en 2025, record absolu, en hausse de 9,5 % sur un an et de 50 % sur trois ans. La moitié sont des piratages, et ils visent en priorité administrations, santé et finances. Le premier trimestre 2026 affichait déjà 2 730 violations. Le secteur public, qui pèse environ 19 % des signalements à la CNIL, monte à 40 % des incidents recensés par les observateurs indépendants, soit 225 millions de données publiques exposées sur un total estimé à 370 millions.

III. Deuxième sur le podium mondial, et personne n’applaudit

Il existe un classement où la France excelle, et c’est le pire qui soit. Au premier trimestre 2026, elle se hisse au deuxième rang mondial des pays les plus touchés par les fuites de données, juste derrière les États-Unis : 23,5 millions de comptes compromis, contre 60,3 millions outre-Atlantique. Ce n’est pas un accident statistique de trimestre : au deuxième trimestre 2025, la France occupait déjà la même marche du podium, devant l’Inde.

Un Français « moyen » aurait déjà vu ses données filer une dizaine de fois !

Rapporté à la population connectée, le chiffre devient personnel. Plus de 3 % des internautes français touchés au premier semestre 2025, un ratio sans commune mesure avec celui des États-Unis, où l’on compte environ huit personnes affectées pour mille. Statistiquement, un Français « moyen » aurait déjà vu ses données filer une dizaine de fois. La fuite n’est plus l’exception subie par quelques malchanceux. Elle est devenue la condition par défaut du citoyen numérisé.

Et la France ne souffre pas seule. À l’échelle européenne, les notifications de violations ont bondi de 22 % en 2025, soit 443 incidents par jour en moyenne. Les Pays-Bas en ont déclaré près de 40 000 sur l’année, l’Allemagne plus de 34 000, la Pologne 19 000. La différence, c’est que peu de ces voisins avaient fait de la souveraineté numérique un argument politique aussi central, et donc une promesse aussi exposée au démenti.

IV. Anatomie d’une défaillance ordinaire

Comment en arrive-t-on là ? La tentation serait d’imaginer des assaillants surdoués perçant des forteresses. La réalité est plus banale et plus accablante : on entre, le plus souvent, par les portes que l’administration a oublié de fermer.

Le premier vecteur, et de loin, c’est le sous-traitant. Dans 42 % des cas, l’attaque contre une administration passe par la compromission d’un prestataire, le maillon que l’on certifie au moment de signer le contrat, puis que l’on cesse d’auditer. Viennent ensuite les comptes utilisateurs compromis : téléphone perdu ou volé, identifiants récupérés, mots de passe trop faibles. Puis les failles de contrôle d’accès, ce péché récurrent de Tchap. Et, en toile de fond, ce que le ministre de l’Intérieur lui-même a fini par nommer : un « manque d’hygiène informatique ».

Le cas Tchap concentre la leçon. L’architecture décentralisée, fondée sur le protocole ouvert Matrix, n’était pas le problème en soi : l’open source n’a jamais été synonyme d’insécurité. Le problème, c’est l’endpoint d’annuaire laissé accessible, qui transformait un protocole respectable en machine à énumérer les agents de l’État. La technologie n’a pas trahi. C’est l’exploitation qui a failli.

L’ANSSI, dans sa feuille de route publiée le 9 avril 2026, ne se cache plus derrière les éléments de langage : elle reconnaît noir sur blanc la « persistance de vulnérabilités graves » dans les infrastructures de l’État. Quand l’agence chargée de la cyberdéfense décrit ainsi son propre périmètre, le débat sur la souveraineté est tranché, par défaut.

V. Les corps, pas les colonnes Excel

Il y a une obscénité à ne parler que de volumes. Derrière les millions de lignes, il y a des conséquences qui se mesurent en effractions, en chantages, en vies retournées.

Depuis la fuite Resana de novembre 2025, des agents de l’État font l’objet de campagnes de chantage en règle. Près de 60 000 gendarmes se sont retrouvés exposés après la republication de ces données ; 243 000 agents de l’Éducation nationale victimes d’une autre fuite. Et tous découvrent qu’aucune disposition ne protège ceux dont les données sont déjà volées, une fois qu’ils sont happés par l’engrenage administratif de l’usurpation d’identité.

Côté citoyens, le concret est parfois littéralement criminel. La fuite du fichier de la Fédération française de tir (un million d’adhérents) a fourni aux cambrioleurs une carte au trésor : où trouver des armes à feu, à quelle adresse. Des effractions ciblées ont suivi, à Paris, Nice, Limoges, Lyon. La donnée volée ne reste pas sur un forum du dark web ; elle redescend dans la rue, sous forme de portes fracturées.

La députée Marie-Agnès Poussier-Winsback a posé la question qui dérange : que fait l’État pour les Français dont les données sont déjà dans la nature ? Sa formule mérite d’être retenue, parce qu’elle inverse la charge : le contrat numérique entre l’État et le citoyen « ne peut pas être à sens unique ». On exige du citoyen qu’il se numérise : déclare, scanne, téléverse, identifie. On lui doit, en retour, de protéger ce qu’il confie. Pour l’heure, seule la première moitié du contrat est honorée.

VI. Ce qui devrait changer, et que tout le monde connaît déjà

Le plus désespérant, dans cette affaire, c’est qu’il n’y a aucun mystère sur les remèdes. Aucune révolution technologique à attendre. Les principes sont connus, enseignés, normalisés depuis des années. Ce qui manque, ce n’est pas le savoir : c’est la volonté de l’appliquer.

L’authentification multifacteur devrait être imposée, pas suggérée : rendue systématique pour tout accès administratif, conditionnée au risque (lieu, appareil, horaire), et le mot de passe seul banni des comptes critiques. L’architecture devrait basculer vers le « zéro confiance » : vérification continue, micro-segmentation isolant les services les plus sensibles (ANTS, Ficoba, ARS) et défense en profondeur, en couches indépendantes, pour qu’une brèche n’ouvre pas tout le bâtiment. Le moindre privilège devrait être la règle : aucun compte ne détient tous les droits, les élévations sont temporaires et accordées à la demande, et aucun utilisateur unique ne contrôle l’ensemble d’un flux.

Vient ensuite ce qui aurait dû exister avant même les fuites : une journalisation centralisée de tous les accès, transferts et modifications ; une analyse en temps réel capable de repérer l’anomalie comportementale ; et, pour le cas Tchap précisément, la détection et le blocage des endpoints d’énumération non autorisés. Quand l’incident survient malgré tout, c’est la réponse qui distingue l’État sérieux de l’État dépassé : des playbooks prédéfinis par type de fuite, une notification des victimes sous 72 heures, un confinement automatique des systèmes compromis, et une analyse de cause post-incident débouchant sur une correction systémique, pas un communiqué.

Tout cela suppose enfin une hygiène opérationnelle qui ne soit pas un slogan : formation continue de chaque agent et de chaque sous-traitant, tests d’intrusion au moins deux fois par an, audits tiers indépendants, et un contrôle réel des prestataires, celui-là même qui,
dans 42 % des cas, sert de porte d’entrée.

Reste l’arme réglementaire. La CNIL annonce pour 2026 consacrer la moitié de ses contrôles et de son action répressive à la sécurité des données, après 486,8 millions d’euros de sanctions prononcées en 2025. Des sanctions plus lourdes, une pression accrue sur tous ceux qui stockent de l’information. C’est nécessaire. Mais frapper au portefeuille les organismes négligents ne rendra pas leur intimité aux 35 millions de patients déjà exposés, ni leur tranquillité aux gendarmes faisant l’objet de chantage. La sanction punit. Elle ne répare pas.

Épilogue : la souveraineté n’est pas un logo

On peut héberger ses serveurs en France, choisir un protocole ouvert, signer des circulaires impératives et baptiser son application d’un nom qui claque. Rien de tout cela ne fabrique de la sécurité. La souveraineté numérique n’est pas une étiquette que l’on colle sur une infrastructure ; c’est une discipline quotidienne, ennuyeuse, coûteuse, faite de mises à jour, d’audits et de portes fermées à clé. La France a voulu la souveraineté comme un emblème. Elle découvre, fuite après fuite, qu’elle se gagne comme une corvée. Trois vols de données par jour : c’est le prix, chiffré, d’une promesse qu’on a faite avec les mots, et qu’on n’a jamais tenue avec les actes.

Mise à jour · 14 août 2026

Quatre affaires publiées en 72 heures viennent confirmer, presque à la lettre, ce que décrivaient les chapitres IV et V. Trois touchent l’État : le fichier fiscal, le cadastre, et la liste de ceux qui avaient demandé qu’on leur fiche la paix. La quatrième rappelle que la mécanique ne s’arrête pas aux frontières de l’administration.

L’impôt, dernier fichier que l’on croyait tenu

Le 12 août 2026, un individu opérant sous le pseudonyme ZeroBytes revendique sur un forum criminel une intrusion dans les systèmes liés à impots.gouv.fr. Il annonce 678 438 lignes extraites, diffuse un échantillon d’environ 1 100 lignes en guise de preuve, et détaille le mode opératoire : compromission de serveurs internes, obtention d’un accès VPN, puis exploitation d’un outil interne de recherche sur les particuliers et les professionnels, jusqu’à ce que l’accès soit coupé. Le même profil avait déjà été associé à des revendications visant Intermarché et la Fédération française de handball.

Moins de vingt-quatre heures plus tard, Bercy confirme. Dans un communiqué publié le 13 août, le ministère reconnaît un accès illégitime au système d’information de la DGFiP, intervenu fin juin 2026 après une usurpation d’identité. L’administration ne valide ni le volume annoncé ni le détail des informations extraites, mais elle admet la consultation et l’extraction de données concernant des particuliers et des professionnels. Dans l’échantillon diffusé figurent identités, adresses postales et électroniques, numéros de téléphone, situation familiale, revenu fiscal de référence et taux de prélèvement à la source. Autrement dit : le patrimoine, le revenu, l’adresse et la composition du foyer, réunis sur une même ligne.

L’intrusion date du 26 juin. Elle a été détectée et coupée fin juin. Le public l’apprend le 13 août, parce qu’un pirate a parlé la veille. Sept semaines de silence, et une communication déclenchée par l’attaquant plutôt que par l’attaqué.

Deux détails achèvent le tableau. Le vecteur, d’abord : une usurpation d’identifiants légitimes, exactement comme pour Ficoba en janvier, où les accès détournés d’un agent avaient ouvert 1,2 million de comptes bancaires. Rien ne relie officiellement les deux affaires. Tout, en revanche, relie les deux failles. Le tempo, ensuite : le 14 août, moins de 48 heures après sa première publication, le même pirate remet une pièce dans la machine.

Le cadastre, ou la carte du patrimoine

La seconde revendication de ZeroBytes vise le Serveur professionnel de données cadastrales (SPDC) de la DGFiP, accessible via le domaine apexappliext.dgfip.finances.gouv.fr. Le pirate annonce 252 149 lignes extraites, correspondant selon son décompte à 2 041 778 personnes, plusieurs titulaires pouvant être rattachés à une même parcelle. Il affirme avoir contourné l’authentification multifacteur, avoir conservé l’accès pendant une période prolongée, et avoir interrompu lui-même l’extraction, la récupération étant trop lente pour espérer vider la base en moins de plusieurs mois. Il estime enfin que le système contiendrait des informations sur près de 20 millions de citoyens. Ce dernier chiffre reste une déclaration d’attaquant, à traiter comme telle. À l’heure où ces lignes sont écrites, Bercy n’a pas confirmé cette seconde intrusion.

L’échantillon publié associe, sur une même ligne : nom et prénoms, nom d’usage, sexe, date et lieu de naissance, adresse du titulaire, identifiant foncier MAJIC, département et commune, section et numéro de parcelle, droits détenus sur le bien, et le lien entre co-titulaires d’une même propriété. L’objection viendra vite, elle est déjà venue : le cadastre est public, tout cela serait donc consultable par n’importe qui. La réponse tient en une distinction que l’administration connaît parfaitement. Les références de parcelles, oui, elles sont librement accessibles. La date et le lieu de naissance d’un propriétaire, son sexe, son adresse personnelle et son identifiant foncier, non. Ce qui fuit ici, ce n’est pas le plan cadastral : c’est la jointure entre une identité civile complète et un patrimoine immobilier localisé. Le travail de recoupement que devait faire un escroc est désormais livré fait.

Deux revendications en 48 heures, sur deux systèmes distincts de la même administration, par le même acteur. Et un accès qui, à l’en croire, serait toujours ouvert.

Le chapitre V de cet article décrivait ce que produit un fichier indiquant où se trouve la valeur. Le fichier des licenciés de tir avait donné des cambriolages ciblés. Un fichier reliant l’identité complète d’une personne à la liste de ses biens fonciers relève exactement de la même catégorie, à une échelle supérieure de trois ordres de grandeur. Hameçonnage sur mesure, usurpation d’identité, ingénierie sociale auprès d’un notaire ou d’une banque, repérage : la liste des usages ne demande aucune imagination particulière.

Bloctel, ou la liste de ceux qui voulaient la paix

Le service public d’opposition au démarchage téléphonique a cessé son activité le 11 août 2026, remplacé par un régime de consentement préalable. Quelques jours avant cette extinction, deux acteurs opérant sous les pseudonymes Cybernox et don’t call me revendiquent sur un forum criminel l’extraction d’une base de 3 millions de numéros inscrits sur la liste, et la mettent en téléchargement gratuit. Le 13 août, la DGCCRF confirme dans un communiqué qu’un cybercriminel a bien récupéré des fichiers contenant 3 millions de numéros, tout en précisant qu’aucune autre donnée personnelle n’a été divulguée et que la base elle-même n’a pas été compromise. Les personnes concernées ont été prévenues par courriel.

La nuance de la DGCCRF est exacte sur le plan technique et discutable sur le plan pratique. Ce qui a fui, ce n’est pas la base : c’est le service de vérification destiné aux entreprises, celui-là même qui existe pour permettre aux démarcheurs de nettoyer leurs fichiers de prospection. L’accès aurait été obtenu depuis un compte professionnel compromis, dépourvu d’authentification à double facteur, sur lequel les numéros s’affichaient en clair. Le dispositif conçu pour protéger la liste est devenu la fenêtre par laquelle on l’a recopiée.

Trois millions de personnes avaient fait la démarche explicite de dire qu’elles ne voulaient pas être appelées. Leur numéro circule désormais gratuitement sur un forum criminel. Une liste de lignes actives, validées, appartenant à des gens qui ont déjà prouvé qu’ils décrochent.

Le détail du vecteur mérite d’être rapproché du cas précédent. Au SPDC, le pirate revendique un contournement de l’authentification multifacteur. À Bloctel, il n’y avait tout simplement rien à contourner. Dans les deux cas, la porte d’entrée est un compte légitime, et la question n’est pas celle du chiffrement ou du pare-feu : c’est celle du contrôle d’accès et de la volumétrie tolérée sur un compte utilisateur. Un compte professionnel qui consulte trois millions de numéros ne fait pas de la vérification de fichier. Il aspire. Rien, apparemment, ne s’en est étonné.

Trezor, ou le sous-traitant qui livre plus que des colis

Ce cas n’est ni français ni public, et c’est pourtant la meilleure illustration du chapitre IV. Le 10 août 2026, le prestataire logistique ShipMonk informe le fabricant de portefeuilles crypto Trezor qu’un acteur non autorisé a accédé à des systèmes contenant des données de commande. L’annonce publique tombe trois jours plus tard : 13 689 personnes concernées, dont 11 742 avec nom, adresse de livraison, téléphone et courriel, et 1 947 avec nom, ville et courriel. Sept pays touchés (États-Unis, Royaume-Uni, Suède, Colombie, Brésil, Italie, Portugal), sur les commandes livrées entre le 10 mai et le 8 août 2026. Aucune clé privée, aucune sauvegarde de portefeuille, aucun micrologiciel n’est concerné.

La distinction est techniquement exacte, et elle console peu. Ce fichier, c’est une liste vérifiée de personnes qui possèdent un portefeuille matériel de cryptomonnaies, associée à l’adresse où le colis a été livré. Le produit n’a pas été pris en défaut : c’est la chaîne commerciale autour de lui qui a cédé. Détail qui devrait retenir l’attention de tous ceux qui confondent conformité et sécurité : ShipMonk est certifié SOC 2 Type II, un standard de sécurité audité. La certification n’a rien empêché. Elle rejoint la statistique des 42 % d’attaques passant par un prestataire, ce maillon que l’on audite au moment de signer, puis plus jamais.

Le précédent est documenté. Après la fuite Ledger de 2020, environ 272 000 fiches clients complètes avaient circulé : ont suivi des vagues de hameçonnage, de faux appareils expédiés à domicile, des courriers papier porteurs de QR codes piégés, puis des demandes de rançon assorties de menaces physiques. Ce n’est plus une hypothèse : CertiK a vérifié 52 agressions physiques contre des détenteurs de cryptomonnaies dans le monde au premier semestre 2026, contre 39 un an plus tôt, les cambriolages à domicile ayant supplanté les enlèvements comme méthode la plus courante ; Chainalysis évalue à plus de 30 millions de dollars les sommes dérobées lors de ces agressions sur la même période. C’est le scénario de la Fédération française de tir, transposé : un fichier indique où se trouve la valeur, et des portes finissent par être fracturées.

Trezor annonce en réponse une option de livraison anonyme dès septembre : commande sous pseudonyme, retrait en consigne automatisée, emballage neutre, suppression des identifiants d’expédition après livraison. La mesure est saine. Elle dit aussi quelque chose de l’époque : pour protéger une donnée, la solution la plus fiable reste encore de ne pas la collecter.

Quatre dossiers, une seule cause. Un accès légitime usurpé chez le percepteur, un multifacteur contourné sur le cadastre, un multifacteur absent chez Bloctel, un sous-traitant logistique laissé hors du périmètre de vigilance. Aucune prouesse technique, aucun exploit exécuté depuis un sous-sol enfumé : à chaque fois, un compte qui avait le droit d’être là et personne pour regarder ce qu’il en faisait. Le mois d’août n’a rien changé au diagnostic posé dans cet article. Il l’a seulement daté à nouveau, quatre fois en trois jours.

Mise à jour · 17 août 2026

Trois jours plus tard, le même pseudonyme revient, et l’échelle change encore. ZeroBytes revendique sur un forum criminel la compromission de plusieurs systèmes du ministère de l’Éducation nationale, obtenue selon lui grâce à un accès VPN. Il annonce environ 43 Go répartis dans quelque 2 500 fichiers, soit de son propre calcul 346 millions de lignes brutes.

Ce dernier chiffre va circuler, il faut donc le désamorcer tout de suite : 346 millions de lignes ne signifient pas 346 millions de personnes, et le pirate le précise lui-même. Les données ne sont pas dédoublonnées, et un même individu apparaît autant de fois qu’il a connu d’inscriptions, d’affectations, de sessions ou de mouvements administratifs. Sur vingt ans de scolarité et de carrière, cela fait beaucoup de lignes pour une seule personne. Le volume réel de victimes uniques reste inconnu, et probablement inférieur de plusieurs ordres de grandeur.

Ce qui ne rassure guère, parce que c’est le contenu qui pose problème, pas le nombre de lignes. L’inventaire revendiqué couvre BE1D, la base de gestion des élèves de maternelle et d’élémentaire, avec identités, dates et lieux de naissance, coordonnées des responsables légaux, restauration, transport et garderie ; SCONET pour le second degré, avec parcours, résultats et vie scolaire ; SCHAAF, l’annuaire académique fédéré et ses relations parents-élèves ; des exports I-Prof pour les 33 académies, avec état civil, grade, affectations, diplômes et situation professionnelle des personnels ; et des extractions complètes d’annuaires LDAP de Créteil et Versailles, environ 399 000 et 203 000 entrées, empreintes de mots de passe comprises. Certains enregistrements remonteraient à 2002, d’autres seraient datés de juillet 2026.

Parmi les bases revendiquées figure un outil de suivi des élèves en difficulté de l’académie de Créteil : absences, convocations, entretiens, décisions prises dans le cadre du décrochage scolaire, de 2020 à 2026. Ce ne sont plus des coordonnées. Ce sont des dossiers sur des enfants.

Le ministère n’apprend pas l’affaire aujourd’hui. Il avait confirmé fin juillet 2026 une intrusion frauduleuse dans l’un de ses systèmes, susceptible d’avoir conduit à l’exfiltration de données personnelles concernant un nombre important de ses agents. La formulation, avec le recul, mérite d’être relue : il était question des agents. Le périmètre décrit trois semaines plus tard englobe les élèves du primaire, leurs parents et vingt ans d’archives. Soit le ministre ignorait l’étendue réelle au moment de communiquer, soit il la connaissait. Les deux hypothèses posent problème, dans des registres différents.

Dans la soirée du 17 août, le pirate ajoute qu’il aurait été repéré sans que son accès soit coupé, et qu’il serait toujours dans la place. Déclaration d’attaquant, invendable en l’état, mais elle rejoint celle formulée trois jours plus tôt au sujet du compte DGFiP. Deux fois la même vantardise, ou deux fois le même trou.

Reste ce que cette affaire ajoute au dossier, et qui n’apparaît dans aucune des précédentes : la durée de conservation. Un adulte de trente ans peut se retrouver dans ces fichiers en tant qu’élève de CM2, avec l’adresse de ses parents et son historique d’absences. Personne ne lui a demandé son avis, et personne n’a jamais eu de raison opérationnelle de garder ça vingt ans. Le chapitre VI évoquait la minimisation des données comme une évidence jamais appliquée. En voici la démonstration, en 43 gigaoctets.

Mise à jour · 18 août 2026

Le scénario Trezor vient de se rejouer, en français, et sans sous-traitant à désigner. Le 16 août, la société Achat-Or-Et-Argent.fr, négociant en or et en argent d’investissement, informe ses clients par courrier d’un accès non autorisé à une partie de son système d’information. L’entreprise indique que l’accès a été détecté puis interrompu, que la CNIL a été notifiée, qu’une plainte a été déposée, et que ses bases principales n’auraient pas été compromises. La procédure est propre, il faut le reconnaître : détection, blocage, notification, information des clients. C’est plus que ce qu’on a vu dans la moitié des dossiers cités plus haut.

Le problème est ailleurs. Selon la communication de l’entreprise, les données potentiellement exposées se limitent aux nom, prénom, adresse électronique, numéro de téléphone, adresse postale et historique des commandes. Aucune coordonnée bancaire, aucun mot de passe, aucun document réglementaire. La formule consacrée suit : aucune donnée considérée comme sensible n’aurait été touchée. Dans ce métier précisément, l’affirmation ne tient pas. L’historique des commandes d’un négociant en métaux précieux, croisé avec l’adresse de livraison, c’est exactement l’information qui compte : quoi, combien, quand, et où ça a été déposé.

Un IBAN se change. Une carte se fait opposer. Un lingot livré en mars à une adresse connue reste à cette adresse, et personne ne l’annule d’un coup de téléphone.

L’entreprise n’a pas rendu public de volume. FrenchBreaches avance 50 000 personnes et affirme que le fichier serait proposé à la vente en privé pour plusieurs milliers d’euros. Ce chiffre et ce prix restent à confirmer, mais le second est éclairant : un fichier de contacts ordinaire ne vaut pas cela. Ce qui se négocie ici, ce n’est pas une liste d’adresses, c’est une liste qualifiée de détenteurs de valeur au porteur, avec le lieu de dépôt. Le même objet que le fichier ShipMonk trois jours plus tôt, le même objet que le fichier des licenciés de tir en avril, et le même usage prévisible.

Un mot enfin sur la défense implicite de l’entreprise, qui distingue ses systèmes centraux, intacts, d’une partie périphérique du système d’information, touchée. Cette distinction revient dans presque tous les communiqués de ce dossier : à Bloctel, la base n’avait pas été compromise, seulement le service de consultation ; chez Trezor, le produit était sûr, seul le prestataire avait cédé ; à la DGFiP, l’intrusion était un accès illégitime, pas une faille. Techniquement, ces nuances sont souvent exactes. Pour la personne dont l’adresse et les achats d’or circulent désormais sur un forum, elles ne changent strictement rien.

Mise à jour · 20 août 2026

La santé rejoint la liste, et elle y arrive par la grande porte. Le 20 août, un utilisateur opérant sous le pseudonyme Angel_Batista revendique sur un forum spécialisé la compromission d’Alaxione, plateforme française de gestion et de prise de rendez-vous médicaux. Il annonce 6 835 489 profils utilisateurs et 10 145 988 rendez-vous, soit environ 18 millions de lignes pour 12,8 Go. L’entreprise n’a rien confirmé à ce stade.

Le vecteur décrit mérite qu’on s’y arrête, parce qu’il n’a rien d’un exploit spectaculaire : une faille aurait donné accès à un environnement de préproduction hébergeant une copie temporaire de la base complète. Pas la production, sa doublure. Le même contenu, dans un décor où l’on teste, où l’on déploie vite, où la surveillance est plus légère parce qu’en principe il n’y a rien à protéger. Le chapitre IV évoquait la défaillance ordinaire : en voici la définition la plus courte qui soit. Copier une base de production dans un environnement de test, tout le monde le fait. L’effacer ensuite, beaucoup moins.

Le schéma publié fait apparaître des colonnes qui donnent le vertige : identité, nom de jeune fille, date de naissance, adresse, médecin traitant, informations d’assurance, numéro de Sécurité sociale, numéro RPPS pour les praticiens, mais aussi IBAN et BIC, un champ mot de passe, des adresses IP et des jetons Google et Facebook. Côté rendez-vous : date, heure, lieu, praticien, montant, commentaires, et motif de consultation. S’y ajoutent deux fichiers de discussions, environ 274 000 lignes au total, contenu des échanges inclus. Une précaution s’impose et l’auteur de la revendication la formule lui-même : la présence d’une colonne dans un schéma ne dit pas combien de lignes sont effectivement renseignées. Personne ne sait aujourd’hui quelle proportion des 6,8 millions de profils comporte un numéro de Sécurité sociale ou un IBAN, et titrer sur 6,8 millions d’IBAN français serait malhonnête.

Une adresse se change. Un mot de passe se remplace. Un IBAN se ferme. Un motif de consultation, non. Il vous suit jusqu’au bout, et il n’existe aucune procédure pour le révoquer.

Le danger ne tient pas à un champ isolé mais à la jointure, comme pour le cadastre six jours plus tôt. Un identifiant patient relié à un identifiant praticien, lui-même relié à une spécialité et à un motif de rendez-vous, cela cesse d’être un fichier de contacts pour devenir une déduction sur l’état de santé d’une personne. Le RGPD range cette catégorie parmi les données les plus protégées. Un environnement de préproduction, visiblement, ne fait pas la distinction.

Reste le prix, et il en dit long. L’ensemble est proposé à 5 000 dollars sans exclusivité. Rapporté aux 6,8 millions de profils revendiqués, cela met le dossier médical d’un Français à moins d’un dixième de centime. Quatre jours plus tôt, le fichier des 50 000 clients d’un négociant en or se négociait, selon les mêmes sources, plusieurs milliers d’euros. Le marché ne paie pas la sensibilité d’une donnée, il paie sa rareté et son exploitabilité immédiate. Votre motif de consultation vaut moins cher que votre adresse de livraison de lingots. C’est ainsi que le marché valorise le secret médical, et il n’y a rien à en conclure sinon qu’il faudrait cesser de lui confier l’arbitrage.

L’auteur affirme avoir prévenu Alaxione deux jours avant de publier, et avoir également contacté un journaliste. Il dit n’avoir reçu aucune réponse. Version d’attaquant, à vérifier. Elle est néanmoins la seule qui circule pour l’instant.

Il revendique en outre deux compromissions antérieures de la même plateforme, une injection SQL limitée en novembre 2025 et un fichier d’environ 4 000 lignes en mars 2025. Si ces épisodes se confirmaient, la question ne serait plus celle d’une intrusion isolée mais celle d’un accès récurrent sur plusieurs mois, dans un système contenant des données de santé. Le scénario n’aurait rien d’inédit : c’est exactement ce que le même article documente depuis la première ligne de son tableau.

Mises à jour des 14, 17, 18 et 20 août 2026. Cet article, publié initialement en juillet 2026, a été complété par la cyberattaque contre la DGFiP (confirmée par Bercy le 13 août), par la seconde revendication visant le serveur de données cadastrales SPDC (14 août, non confirmée à ce stade) par la fuite Bloctel confirmée par la DGCCRF le 13 août par la fuite Trezor / ShipMonk (annoncée le 13 août), par la revendication visant les systèmes du ministère de l’Éducation nationale (17 août), par l’incident confirmé chez Achat-Or-Et-Argent.fr (16 août), puis par la revendication visant la plateforme médicale Alaxione (20 août). Le tableau des fuites et la liste des sources ont été mis à jour en conséquence.

Sources

 

• FrenchBreaches, Alaxione piraté, les données de 6,8 millions de patients revendiquées, frenchbreaches.com (20 août 2026)
• FrenchBreaches, Achat Or et Argent, les données de plus de 50 000 clients concernées par un incident de sécurité, frenchbreaches.com (16 août 2026)
• FrenchBreaches, Fuite de données à l’Éducation nationale, des millions d’élèves et de personnels potentiellement concernés, frenchbreaches.com (17 août 2026)
• Atlantico, Bloctel, syndrome d’un État qui ne sait plus protéger les Français tout en les harcelant lui-même, David Fayon et Gérald Pandelon, atlantico.fr (14 août 2026)
• FrenchBreaches, Plus de 3 millions de numéros de téléphone Bloctel diffusés sur un forum criminel, frenchbreaches.com (août 2026)
• FrenchBreaches, DGFiP piratée, les données de plus de 2 millions de propriétaires revendiquées (SPDC), frenchbreaches.com (14 août 2026)
• Le Monde, La plateforme des impôts victime d’une cyberattaque, lemonde.fr/pixels (13 août 2026)
• Le Figaro, Le système d’information de la DGFiP victime d’un accès illégitime fin juin, annonce Bercy, lefigaro.fr (13 août 2026)
• Cryptoast, Trezor, les données personnelles de 13 000 clients exposées après une fuite chez un prestataire, cryptoast.fr (14 août 2026)
• CryptoTicker, Trezor, les noms, téléphones et adresses de 13 689 clients exposés (fuite ShipMonk), cryptoticker.io (13 août 2026)
• Fuite de données Tchap, 73 467 clients exposés, frenchbreaches.com/alertes/tchap-mq4aeab2jsbmxt87pgb
• Alerte : la messagerie gouvernementale Tchap serait visée, x.com/seblatombe/status/2063849753448784267
• Alleged Exposure of Tchap Government Messaging Platform Data, x.com/DailyDarkWeb/status/2063907120110526945
• Sénat, bilan début 2026 (300+ services, 23 M comptes), senat.fr/leg/ppr25-595.pdf
• Le Monde, « Le contrat numérique entre l’État et le citoyen ne peut pas être à sens unique », lemonde.fr (28 mai 2026)
• Banque des Territoires, « Choisir le service public » et Ficoba victimes de fuites, banquedesterritoires.fr
• Infinity Area, Piratage OFII 2026, 2,1 millions de données, infinity-area.com
• Numerama, Chantage sur des agents de l’État, données Resana exfiltrées, numerama.com/cyberguerre
• 01net, Fuite de données ASP, 01net.com
• Assemblée nationale, 6 167 violations CNIL 2025, record absolu, questions.assemblee-nationale.fr/q17/17-15645QE.htm
• CFDT-UFETAM / Admisconcours, rapport CNIL 2025, +9,5 %, admisconcours.fr
• DailyTrend, Cybersécurité État 2026, 230 incidents, 370 M données, dailytrend.fr
• BDM, France 2e pays le plus ciblé (Surfshark Q2 2025), blogdumoderateur.com
• DailyDigital, Violations de données 2026, top pays victimes, dailydigital.fr
• InformatiqueNews, France pays européen le plus touché en 2025, informatiquenews.fr
• Le Monde, Les ministères devront adopter Tchap dès la rentrée 2025, lemonde.fr/pixels
• Challenges, Tchap avait un bug permettant à des intrus d’y pénétrer, challenges.fr
• Futura Sciences, Tchap, déjà une faille de sécurité en 2019, futura-sciences.com
• IT-Connect, ANSSI, feuille de route 2026-2027, vulnérabilités graves, it-connect.fr

Les liens ci-dessus ont servi de sources lors de la rédaction de cet article. Leur disponibilité dans le temps n’est pas garantie : si un lien figure ici, c’est qu’il existait et a contribué à notre travail au moment de la publication.