Sous-effectifs, absence de MFA, sous-traitance : pourquoi l'État se fait autant pirater

Un phénomène qui dépasse la France, mais qui y prend une ampleur particulière

Au premier trimestre 2026, la France est le deuxième pays au monde le plus touché par des violations de données, avec 23,5 millions de comptes compromis — en hausse de 108,6 % par rapport au trimestre précédent, juste derrière les États-Unis, selon une étude Surfshark relayée par Le Blog du Modérateur. Derrière ce classement, un motif se répète incident après incident sur la timeline de ce site : sous-effectifs chroniques, absence d’authentification robuste, comptes tiers mal contrôlés. Ce ne sont pas des hypothèses éditoriales — ce sont, pour l’essentiel, des constats déjà posés par la CNIL, un syndicat majoritaire de la DGFiP, une sénatrice et une ministre du gouvernement en exercice.

La dette humaine de la DGFiP

Après les trois fuites de l’été 2026 (dossiers fiscaux, cadastre, successions vacantes), la CGT Finances Publiques a chiffré le lien entre effectifs et sécurité dans un communiqué du 17 août 2026 :

« Suppressions massives d’emplois à la DGFiP : depuis 2008, nos services ont subi plus de 34 000 suppressions d’emplois, soit plus de 28 % de ses effectifs. Rémunérations en berne aboutissant à des pertes de pouvoir d’achat de près de 15 %, rendant les emplois à la DGFiP de moins en moins attractifs, notamment dans la filière informatique. »

Le syndicat Solidaires Finances Publiques va plus loin en théorisant une « dette technique » comme cause directe de la durée d’exposition des données avant détection :

« Pourquoi les cybercriminels arrivent-ils à avoir le temps d’extraire autant de données sans être rapidement découverts ? Une des raisons premières est la « dette technique » de la DGFiP […] la politique du toujours plus de numérique, de données, d’interconnexions et d’accès distants, sans que les ressources allouées à la sécurité soient suffisantes. »

Point notable : selon plusieurs relais de presse, Solidaires Finances Publiques avait alerté Bercy dès février puis juin 2026 — avant même les trois intrusions d’août — sur les risques liés au choix de prioriser de nouveaux projets informatiques plutôt que la sécurisation d’applications anciennes mais sensibles. Sources : Europe 1 et CGT Finances Publiques.

Les comptes tiers, porte d’entrée récurrente

Le cas le mieux documenté est celui de France Travail, sanctionné 5 millions d’euros par la CNIL le 22 janvier 2026. La délibération SAN-2026-003 détaille une chaîne de défaillances autour des comptes des conseillers Cap Emploi, un partenaire tiers :

« Modalités d’authentification […] pas suffisamment robustes […] insuffisance de mesures de journalisation permettant de détecter les comportements anormaux […] habilitations définies de manière trop large, permettant aux conseillers Cap Emploi d’accéder aux données de personnes qu’ils n’accompagnaient pas. »

Le détail le plus révélateur de cette décision n’est pas technique mais organisationnel : la CNIL relève que la plupart de ces mesures de sécurité avaient déjà été identifiées par France Travail dans ses propres analyses d’impact — sans avoir été mises en œuvre. Le problème n’était donc pas un défaut de diagnostic, mais un défaut d’exécution.

Ce schéma n’est pas isolé : la fuite DGFiP d’août 2026 repose elle aussi sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité, tout comme la fuite FICOBA de janvier, déjà fondée sur l’usurpation d’un accès tiers légitime.

Nuance nécessaire : ce n’est pas un mécanisme universel. La fuite chez Santé publique France montre l’inverse — un prestataire hébergé de façon cloisonnée, ce qui a limité l’incident à une seule plateforme sans propagation au reste du système d’information. Le risque vient moins du recours à un tiers en soi que de l’absence de cloisonnement et de contrôle d’accès autour de lui.

L’aveu budgétaire : quand une ministre reconnaît l’insuffisance

Le 30 avril 2026, au lendemain de la révélation de l’incident ANTS, le Premier ministre Sébastien Lecornu a annoncé un plan de 200 millions d’euros (financés via France 2030) et la création d’une autorité numérique de l’État par fusion de la DINUM et de la DITP. Ce plan n’a pas de nom officiel au-delà de « plan cyber de l’État » — à ne pas confondre avec le fichier ARIANE du ministère de l’Europe et des Affaires étrangères, distinct, dont la fuite de 2018 figure aussi dans notre timeline.

Cinq jours après l’annonce, la ministre déléguée au Numérique Anne Le Hénanff en a elle-même relativisé la portée :

« C’est une mesure d’urgence, ça ne suffira pas. […] Ça peut aller dans certains ministères de 1 %, ce qui est extrêmement faible, à 5 %, ce qui n’est également pas énorme » — de la part du budget numérique consacrée à la cybersécurité, quand elle juge qu’« il faut 10 % d’un budget informatique ».

Une ministre du gouvernement qui vient d’annoncer le plan reconnaissant publiquement, cinq jours plus tard, qu’il ne suffira pas : c’est un rare aveu officiel que la question n’est pas seulement technique, mais budgétaire — et documentée comme telle depuis un moment. Un an plus tôt, un rapport de la Cour des comptes (16 juin 2025) évaluait déjà le budget de l’ANSSI à environ 30 millions d’euros hors salaires pour environ 634 agents (données 2023), et recommandait de porter l’effort cyber national à 0,3 % du PIB (contre 0,15 % alors) et les effectifs de l’ANSSI de 20 % d’ici 2027, tout en jugeant le pilotage interministériel « trop flou et inefficace ».

« France passoire » : le Sénat s’empare du sujet

Le 5 mai 2026, une proposition de commission d’enquête sénatoriale a été déposée pour évaluer « l’adéquation des moyens humains, techniques et financiers de l’ANSSI et du CERT-FR », pointant aussi une « dépendance structurelle vis-à-vis de fournisseurs extra-européens, au premier rang desquels Microsoft ». Interrogée par Public Sénat, la sénatrice Nathalie Goulet résume l’ enjeu en une formule :

« C’est la France passoire. À un moment, il y a eu des budgets dépensés, des consultants nommés, des choix stratégiques, il faut peut-être que dans cette République de l’irresponsabilité complète, on finisse par parler de responsabilité. »

Cette commission d’enquête n’avait pas encore rendu de rapport à la date de publication de cet article (23 août 2026) — nous mettrons cette page à jour dès que ses conclusions seront disponibles.

Ce que cet article ne prétend pas démontrer

Par souci de rigueur : nous n’avons pas trouvé de communiqué syndical spécifique sur la sanction CNIL contre France Travail (l’organisme a répondu en disant « prendre acte » de la décision), ni de déclaration unique de l’ANSSI reliant nommément l’ensemble des incidents 2026 à une cause commune. Un chiffre largement partagé en ligne (« 80 % des violations seraient dues à l’absence de MFA ») s’est révélé non sourcé lors de la vérification et n’est donc pas repris ici. L’argument de cet article repose uniquement sur les déclarations et décisions officielles citées et sourcées ci-dessus.