DGFiP, cadastre, Éducation nationale : l’État français face à une série de fuites de données

Plusieurs administrations françaises ont récemment été touchées par des cyberattaques. DGFiP, cadastre et Éducation nationale : des données sensibles ont été exposées, mettant une nouvelle fois en lumière les enjeux de sécurité des données publiques.

678 000 personnes concernées à la DGFiP

La DGFiP a confirmé des intrusions survenues en juin et juillet 2026 après la compromission d’identifiants. 678 000 particuliers et professionnels sont concernés par des données consultées ou extraites, notamment des informations fiscales et professionnelles.

Les espaces personnels des contribuables et leurs mots de passe n’ont pas été compromis. La CNIL et l’ANSSI ont été saisies.

Le cadastre également ciblé

Une seconde attaque a visé le Serveur professionnel de données cadastrales. Selon les dernières informations rapportées, 1,8 million de comptes seraient concernés. Ce chiffre correspond à des comptes et non nécessairement à autant de personnes.

L’Éducation nationale sous pression

Le ministère de l’Éducation nationale a lui aussi subi plusieurs incidents liés à la compromission de comptes professionnels. Le groupe ZeroBytes revendique par ailleurs le vol de 43 Go de données, soit environ 346 millions de lignes. Ce volume ne correspond pas au nombre de victimes et doit encore être vérifié officiellement.

Le principal risque : l’usurpation d’identité

Ces attaques montrent l’importance de protéger les comptes disposant d’accès privilégiés. Une fois des identifiants volés, les cybercriminels peuvent accéder à des données légitimes et les exploiter pour du phishing ciblé, de l’usurpation d’identité ou des fraudes.

Pour les administrations comme pour les citoyens, l’authentification forte, la limitation des droits d’accès et la vigilance face aux messages suspects deviennent essentielles.

À retenir : la multiplication de ces incidents rappelle que la cybersécurité ne consiste plus seulement à protéger les serveurs, mais aussi à sécuriser les identités et à contrôler précisément l’accès aux données.

Sources : Ministère de l’Économie, DGFiP, Ministère de l’Éducation nationale, CNIL, ANSSI et médias spécialisés. Les chiffres non officiellement confirmés sont présentés comme des revendications.

Dimanche 14 juin 2026. Pendant que Paris dort, un message apparaît sur un forum du dark web. L’auteur, baptisé “Misere”, annonce avoir en sa possession l’annuaire interne complet de la RATP — 62 208 fiches d’employés, six années de données RH, prêtes à être vendues au plus offrant. Le lendemain matin, la régie confirme. L’incident est réel.

Quelles données ont été exposées ?

D’après la revendication, le fichier comprend des informations d’identité professionnelle et de contact, des identifiants internes (matricule, UID, login), des précisions sur les fonctions, le département, le service et la structure RH. Sont aussi mentionnés des e-mails professionnels et alternatifs, des numéros de téléphone, des adresses et des éléments de localisation.

Les échantillons publiés montrent que les données pourraient couvrir une période allant de 2020 à 2026, soit potentiellement près de six années d’informations professionnelles, organisationnelles et RH.

Bonne nouvelle toutefois: aucun mot de passe ni donnée bancaire n’apparaît dans les échantillons publiés. Et surtout, aucune donnée des usagers n’est concernée par cet incident.

Quelle est l’origine de la fuite ?

Selon ses propres termes, le pirate “Misere” invoque la “Human Stupidity” — la stupidité humaine — comme cause de la compromission, sans fournir davantage de précisions techniques. Cette formulation, couramment utilisée dans les milieux cybercriminels, désigne généralement une erreur humaine, un accès compromis ou une mauvaise pratique de sécurité interne.

La présence de champs liés à Okta, une solution largement utilisée pour la gestion des identités et des accès (IAM), laisse penser que les données pourraient provenir d’un export associé à une plateforme de gestion des comptes collaborateurs.

Pourquoi c’est dangereux malgré l’absence de mots de passe

Ne pas voir de mots de passe dans les échantillons ne signifie pas que le risque est faible. La combinaison de coordonnées professionnelles, d’informations RH, de données hiérarchiques, de données de localisation et d’éléments techniques pourrait accroître significativement les risques de phishing ciblé, d’opérations d’ingénierie sociale et de tentatives d’usurpation d’identité professionnelle.

Une fois le fichier copié, il peut être redistribué, reconditionné et réapparaître ailleurs. Si le fichier contient des données datées ou des comptes anciens, cela n’annule pas le danger — cela ouvre au contraire la porte à des attaques par réutilisation de mots de passe.

Un incident qui s’inscrit dans une tendance lourde

La fuite RATP ne surgit pas dans le vide. En 2025, la CNIL a reçu 6 167 notifications de violations de données, un record historique (+9,5 % par rapport à 2024). Pour le seul premier trimestre 2026, le compteur est déjà à 2 730 notifications, contre 2 500 sur la même période en 2025. Plusieurs cas récents ont visé des organisations françaises de premier plan: administrations, opérateurs de transport, ministères, hôpitaux et opérateurs télécoms.

Le schéma est toujours le même: un pirate met en vente un annuaire professionnel, parfois quelques semaines avant une attaque plus profonde exploitant ces mêmes données pour s’introduire dans le système d’information.

Conclusion

L’incident RATP illustre une réalité que les organisations publiques ne peuvent plus ignorer: un annuaire interne mal protégé est une arme potentielle entre les mains d’un attaquant. Noms, fonctions, hiérarchies, e-mails et numéros de téléphone suffisent à monter des attaques sophistiquées contre des milliers d’agents. La cybersécurité des ressources humaines est désormais un enjeu de sécurité nationale, au même titre que la protection des infrastructures techniques.

Il y a dix ans, l’Asie-Pacifique était considérée comme une région victime de la cybercriminalité internationale. Aujourd’hui, elle en est devenue l’un des principaux théâtres d’opérations — et parfois la source. Le rapport annuel 2025/2026 d’INTERPOL sur les cybermenaces en Asie et dans le Pacifique Sud, publié en juin 2026, dresse un constat sans ambiguïté : plus de la moitié des pays interrogés attribuent au cybercrime plus de 30 % des infractions nationales enregistrées, en parallèle de plus de 135 000 attaques par rançongiciels et d’une hausse de 92 % des attaques par déni de service (DDoS).

1. L’ampleur des chiffres : une région sous assaut numérique

Le rapport INTERPOL couvre la période de janvier 2024 à mars 2025 et s’appuie sur les contributions de 18 pays membres. Il révèle une augmentation spectaculaire de la cybercriminalité, portée par la numérisation rapide, l’essor des nouvelles technologies et des réseaux criminels de plus en plus organisés. Eurasia Review

Les statistiques clés sont édifiantes :

Entre janvier et décembre 2024, plus de 6,5 milliards de cybermenaces ont été détectées et neutralisées dans la région Asie-Pacifique, selon les données fournies par TrendAI, partenaire du secteur privé travaillant avec la direction de la lutte contre la cybercriminalité d’INTERPOL. Bloomberg

Plus de 135 000 attaques par rançongiciels ont été détectées en 2024, touchant des secteurs comme l’immobilier, l’industrie manufacturière et les services financiers. Les attaques DDoS ont augmenté de 92 % en 2024 par rapport à l’année précédente. Les discussions relatives aux deepfakes sur les forums cybercriminels et les canaux Telegram populaires parmi les acteurs malveillants d’Asie du Sud-Est ont augmenté de 600 % entre février et juin 2024. En moyenne, 5,5 personnes sur 1 000 dans la région ont cliqué sur des liens de phishing chaque mois — soit environ le double de la moyenne mondiale. Infosecurity Magazine

Sur le plan économique, la région Asie-Pacifique a représenté 20,70 % du marché mondial de la cybersécurité en 2025, générant 45,28 milliards de dollars de revenus, et devrait atteindre 52,04 milliards de dollars en 2026. Une croissance qui traduit autant l’investissement en défense que l’urgence des attaques. Fortune Business Insights

2. Les principales menaces identifiées

Escroqueries en ligne : la menace dominante

Les escroqueries par phishing ont émergé comme la forme de cybercriminalité la plus répandue et la plus coûteuse financièrement, avec 33 % des pays signalant plus de 10 000 cas. Eurasia Review

Neal Jetton, directeur de la lutte contre la cybercriminalité à INTERPOL, a déclaré : « Les résultats de ce rapport soulignent un paysage de cybermenaces en rapide évolution en Asie et dans le Pacifique Sud, où les cybercriminels exploitent l’intelligence artificielle, les modèles de rançongiciels-en-tant-que-service et des techniques d’ingénierie sociale sophistiquées à une échelle industrielle. » Eurasia Review

Rançongiciels et vol d’identifiants

Le deuxième type de cybermenace le plus significatif selon le rapport est constitué par les infostealers et les chevaux de Troie bancaires, suivis par les rançongiciels, les deepfakes et la désinformation, et enfin les compromissions d’e-mails professionnels (BEC). Infosecurity Magazine

Le montant moyen des sinistres liés aux rançongiciels a atteint 508 000 dollars en 2025, en hausse de 16 % d’une année sur l’autre. Les demandes d’indemnisation en responsabilité civile ont bondi de 70 %. Insurance Business America

Intelligence artificielle au service du crime

Les cybercriminels exploitent l’intelligence artificielle, les modèles de rançongiciels-en-tant-que-service et des techniques d’ingénierie sociale sophistiquées à une échelle industrielle. Les deepfakes — vidéos et voix synthétiques générés par IA — sont désormais utilisés massivement pour l’usurpation d’identité, la fraude aux dirigeants (CEO fraud) et la manipulation des victimes lors d’escroqueries sentimentales ou financières. Eurasia Review

Conclusion : une nouvelle guerre numérique sans frontières

Le rapport 2025/2026 d’INTERPOL décrit une menace cyber devenue structurelle en Asie et dans le Pacifique Sud. Les escroqueries en ligne dominent par leur fréquence et leurs pertes financières. En parallèle, les rançongiciels, les attaques DDoS, les vols d’identifiants et les contenus générés par intelligence artificielle gagnent en ampleur. ZATAZ

La cybercriminalité n’est plus un phénomène marginal ou opportuniste : c’est une industrie organisée, financée, géographiquement ancrée et technologiquement avancée. La réponse ne peut qu’être à la hauteur : coopération internationale renforcée, investissements en cybersécurité, formation des équipes, et adoption de standards de protection adaptés à la réalité des menaces actuelles.

Une fuite de données massive, baptisée “FortiBleed” par la communauté de la cybersécurité, vient d’être mise en lumière. Des identifiants VPN FortiGate et Fortinet correspondant à 73 932 URL de pare-feu appartenant à des organisations du monde entier ont été exposés. Cette fuite est considérée comme l’une des plus graves jamais enregistrées dans l’écosystème Fortinet

Découverte : comment FortiBleed a été mis au jour

À l’origine de cette découverte se trouve le chercheur en sécurité Bob Diachenko. Ce dernier a indiqué avoir trouvé un serveur hébergeant un ensemble de fichiers contenant des identifiants VPN Fortinet : des paires nom d’utilisateur/mot de passe, ces derniers étant stockés en clair. Dans certains cas, il s’agit de mots de passe longs et complexes, théoriquement difficiles à craquer. Certaines entrées de la base de données font référence à des entreprises de premier plan : AT&T, Mercedes-Benz, Toyota, Chevron, Samsung et Foxconn. La base contient également, pour chaque organisation, son secteur d’activité, son chiffre d’affaires et le nombre de ses employés.

La véracité des données a été rapidement confirmée par le chercheur Kevin Beaumont : « Les données sont authentiques. On compte environ 75 000 appareils. Presque tous sont encore en ligne et sont bien des équipements Fortinet. Les données semblent récentes. » D’après les données réseau de Shodan, la fuite concernerait environ la moitié de tous les pare-feu Fortinet accessibles sur Internet, et la majorité des appareils affectés exposeraient directement leur interface de gestion FortiGate sur le net.

Une ampleur inédite : 5 fois plus large que la fuite précédente

FortiBleed ne surgit pas dans le vide. En 2025, le groupe Belsen avait déjà divulgué des configurations et des identifiants VPN pour environ 15 000 appareils FortiGate. FortiBleed est environ cinq fois plus volumineux, et les adresses IP concernées sont différentes — il ne s’agit donc pas d’un recyclage des anciennes données, mais d’une nouvelle compromission, plus étendue. TorchLight

En date de mi-juin 2026, le jeu de données circulerait activement dans des communautés criminelles souterraines. Les chercheurs estiment qu’environ 50 % de tous les appareils FortiGate accessibles sur Internet pourraient être affectés, dans 194 pays, ce qui en fait l’un des incidents de sécurité Fortinet les plus significatifs à ce jour. Bitsight

Origine technique : CVE-2022-40684, une vulnérabilité vieille de 4 ans

Les données ont été dérobées il y a plusieurs années via CVE-2022-40684, une faille de type path traversal dans FortiOS. Fortinet lui a attribué un score CVSS de 9,8 (Critique) et a publié des correctifs dans FortiOS 7.0.7 et 7.2.2. L’entreprise avait également émis une alerte d’urgence invitant à patcher immédiatement, et recommandant aux organisations exposant leurs interfaces de gestion sur Internet de se considérer comme déjà compromises. La CISA avait ajouté cette CVE à son catalogue des vulnérabilités exploitées connues (KEV), imposant aux agences fédérales un délai de correction. Gblock

Le délai entre la publication du correctif et son exploitation active avait été de quelques jours. Le délai entre l’exploitation et la publication publique des identifiants a été de plusieurs années — un cycle classique des dumps à haute valeur.

La campagne exploite également une faiblesse fondamentale dans la gestion des identifiants FortiOS : lors d’une mise à jour depuis une ancienne version, les mots de passe administrateurs restent stockés sous forme de hachages SHA-256 faibles tant que l’administrateur ne se reconnecte pas manuellement après la mise à jour.

Exploitation active confirmée

Les chercheurs de Bitsight ont confirmé une exploitation active liée à la campagne FortiBleed, incluant au moins un acteur malveillant sur un forum cybercriminel russophone proposant à la vente du contenu lié à cette menace. La Threat Intelligence de Bitsight a également identifié des outils de post-exploitation associés à cette activité, notamment les outils de tunneling Chisel et Neo-reGeorg — déjà observés dans des campagnes étatiques ciblant les équipements périmètriques Fortinet, y compris la campagne Volt Typhoon. Bitsight

Les organisations concernées

La liste des victimes potentielles couvre tous les secteurs : énergie, automobile, télécommunications, industrie, technologie. Les analyses réseau indiquent que le jeu de données FortiBleed englobe environ la moitié de tous les pare-feu Fortinet accessibles sur Internet à l’échelle mondiale — une proportion stupéfiante de l’infrastructure de sécurité sur laquelle des organisations du monde entier s’appuient pour protéger leurs réseaux. Shield53 Insights

Fortinet n’a pas publié d’advisory dédié à FortiBleed, car le dataset provient d’incidents antérieurs et d’attaques par force brute plutôt que d’une nouvelle vulnérabilité produit. L’absence de CVE ne réduit pas l’urgence : les identifiants valides au moment du scan FortiBleed restent valides aujourd’hui pour tout compte dont le mot de passe n’a pas été changé. Decryption Digest

Consignes Cles

• Rotation immédiate des identifiants : Changez tous les mots de passe administrateurs et utilisateurs VPN associés aux interfaces FortiGate. Considérez que tous les identifiants existants sont compromis.
• Vérification de la version FortiOS : Assurez-vous que vos équipements tournent sur FortiOS 7.0.7 minimum ou 7.2.2+ — les versions antérieures restent vulnérables à CVE-2022-40684.
• Audit des interfaces exposées : Vérifiez si votre interface de gestion Fortinet est directement accessible depuis Internet et, si c’est le cas, restreignez-en l’accès immédiatement via des règles firewall ou un VPN dédié.
• Activation de l’authentification multi-facteurs (MFA) : Le MFA aurait rendu inutilisables les identifiants volés dans la majorité des cas d’accès non autorisés.
• Surveillance des logs d’authentification : Analysez les journaux de connexion FortiGate à la recherche de connexions suspectes, d’heures inhabituelles, ou d’IP inconnues — en particulier des connexions SSL VPN réussies depuis des pays étrangers.
• Segmentation réseau : Vérifiez que la compromission d’un accès VPN ne puisse pas mener directement au cœur du réseau sans contrôle supplémentaire.