Fuites de données de l'État : les rapports officiels pointent des failles classiques

Depuis le début de 2026, l'État français enchaîne les fuites de données. L'intelligence artificielle est souvent citée, mais les rapports de l'ANSSI décrivent surtout des causes bien connues. Notre relevé de 216 sites publics montre que certaines protections de base restent inégalement déployées.

En septembre 2026, le Premier ministre a demandé à l'ANSSI de lancer l'opération REACTIV pour répondre aux violations de données touchant les services de l'État. Son point de situation recense 99 violations portées à la connaissance de l'agence depuis le 1er août, dont 67 confirmées.

L'année avait déjà été marquée par l'accès illégitime au fichier des comptes bancaires FICOBA, avec environ 1,2 million de comptes concernés, puis par la fuite de l'ANTS, avec 11,7 millions de comptes selon le ministère de l'Intérieur. Le point de situation de REACTIV cite aussi près de 353 000 usagers particuliers et 252 000 professionnels à la DGFiP, ainsi que les données potentiellement exfiltrées de 4,35 millions d'enseignants.

Ce que disent les rapports officiels

Le document de septembre ne mentionne pas l'IA. Il cite plusieurs causes récurrentes :

• des identifiants volés par des logiciels espions, ou issus de fuites précédentes ;
• l'absence de double authentification, ou un second facteur trop faible ;
• une faille du logiciel Metabase, exploitée dans neuf instances ministérielles, alors que le correctif existe depuis le 6 août ;
• des failles d'accès direct aux données (IDOR) ;
• la compromission d'un prestataire.

Cette absence ne prouve pas qu'aucun attaquant n'a utilisé l'IA. Elle montre que l'ANSSI n'en fait pas une cause de ces incidents dans ce document.

Sa synthèse de février 2026 allait dans le même sens : l'agence écrivait alors qu'elle « n'a pas connaissance de cyberattaques menées contre des acteurs français » à l'aide de l'IA, et qu'elle n'avait pas identifié de système capable de mener seul une attaque complète. Elle jugeait en revanche plausible que ces outils améliorent le niveau, le volume et l'efficacité des attaques, surtout contre les environnements peu sécurisés.

Notre relevé : des protections inégales

Le 6 novembre 2026, nous avons relevé des indicateurs publics sur les sites en .gouv.fr de la liste ouverte d'Etalab et sur 40 grands portails de démarches. Nous avons consulté la page d'accueil de chaque site, ses fichiers publics et ses enregistrements DNS, sans aucun test d'intrusion. 216 sites ont pu être mesurés.

Indicateur	Sites concernés (sur 216)
Protection contre l'intégration malveillante de page (clickjacking)	73 %
HSTS, qui impose la connexion chiffrée	67 %
DMARC bloquante, contre l'usurpation d'adresse email	50 %
CSP, qui limite l'exécution de scripts non prévus	40 %
CSP sans la tolérance unsafe-inline	12 %
Fichier security.txt, pour signaler une faille	8 %

Un tiers des sites (33 %) cumulent HSTS, CSP et protection contre le clickjacking, et 13 % n'en ont aucune. Les grands portails font souvent mieux sur certains points : sur les 26 que nous avons pu mesurer, 20 activent HSTS et 20 ont une politique DMARC bloquante. Seuls 5 proposent un fichier security.txt.

Par ailleurs, 36 adresses en .gouv.fr répondent encore sans HTTPS fonctionnel. Nous n'avons pas vérifié si elles sont encore entretenues ni ce qu'elles contiennent.

Ces chiffres ne mesurent pas le niveau réel de sécurité d'un site. Un en-tête absent n'est pas une faille, et une protection peut être assurée autrement. Surtout, ce relevé ne voit rien de ce qui a causé les incidents décrits par l'ANSSI : double authentification, mises à jour internes, droits d'accès ou prestataires. Il donne seulement une indication sur l'application de bonnes pratiques visibles de l'extérieur.

L'IA change surtout le rythme

Devant le Sénat, le 8 juillet, le directeur général de l'ANSSI, Vincent Strubel, a estimé selon AEF info que la multiplication des failles trouvées grâce à l'IA pourrait saturer les équipes de cybersécurité. Aux Assises de la cybersécurité, en octobre, il a décrit l'IA comme un multiplicateur de force pour les attaquants, tout en rappelant que les bonnes pratiques de base restent la première défense, d'après IT for Business. Il a aussi invité à garder du recul face aux annonces spectaculaires des fournisseurs d'IA, selon le Journal du Net.

Notre lecture est la suivante : si les failles sont découvertes plus vite, les délais de correction comptent davantage, et il faut pouvoir recevoir les signalements. Sur ce point, le chiffre de 8 % de sites dotés d'un security.txt paraît faible. Ce fichier ne protège de rien, mais il indique à qui écrire quand une faille est découverte.

Les priorités restent connues

Pour une administration, les mesures qui répondent aux causes citées par l'ANSSI sont les suivantes :

1. Activer une double authentification robuste sur tous les services exposés, y compris pour les partenaires et prestataires.
2. Tenir l'inventaire des applications exposées et appliquer les correctifs critiques en quelques jours.
3. Vérifier côté serveur les droits d'accès à chaque donnée.
4. Encadrer les accès des prestataires et limiter ce qu'ils peuvent extraire.
5. Publier un canal de signalement et déployer les protections de base : HSTS, CSP, DMARC.

Ces mesures valent aussi pour les collectivités et les entreprises, y compris avant l'arrivée de nouveaux outils d'IA.

---

Méthode et limites. Relevé passif réalisé le 6 novembre 2026, avec un robot identifié et une seule consultation de page d'accueil par site. Aucune recherche de faille, aucun scan de ports, aucun essai de connexion. Sur 1 205 noms interrogés, 662 ne répondaient plus. 44 sites n'ont pas pu être mesurés parce qu'ils refusent les outils automatisés ou répondent par une page vide ou une erreur, et ces protections ne sont pas contournées : plusieurs grands ministères et portails en font partie, et 14 des 40 grands portails sont absents des résultats. Les résultats portent sur une mesure unique et sur la page d'accueil seulement. Aucun site n'est nommé.

Transparence. Peacemaker Design est une agence web qui vend la création et la sécurisation de sites. Soumis au même relevé, notre site activait HSTS, CSP (avec unsafe-inline) et la protection contre le clickjacking, mais n'avait ni security.txt ni politique DMARC bloquante. Nous avons depuis ajouté un security.txt et activé une politique DMARC bloquante (quarantine). L'illustration de couverture a été générée par IA.

Sources. ANSSI / CERT-FR : Panorama de la cybermenace 2025, L'IA générative face aux attaques informatiques, REACTIV, point de situation de septembre 2026. DGFiP : communiqué FICOBA. Liste des domaines publics : Etalab.