L'État français, un danger pour vos données

23,5 millions de comptes compromis au premier trimestre 2026. La France est devenue le deuxième pays au monde le plus touché par les violations de données, derrière les États-Unis. Rapporté au nombre d'utilisateurs, elle est numéro un mondial. Un adolescent de 15 ans a piraté l'ANTS via une faille connue depuis 2007. Pendant ce temps, le gouvernement parle de cryptographie post-quantique et externalise la sécurité à McKinsey. Enquête.

Une hécatombe silencieuse

La France saigne. Ses données personnelles — médicales, bancaires, fiscales, judiciaires — s'écoulent sur le dark web comme du pétrole d'un pipeline percé. 23,5 millions de comptes compromis depuis janvier 2026 (source : sylink.fr). Plus de 300 services impactés. On n'est même pas à la fin du premier semestre.

Le 28 février 2025, CGIM — une entreprise de solutions numériques pour médecins — laisse fuiter les données médicales de 15 millions de Français. Diabète, addiction, antécédents psychiatriques, adresses, RIB, numéros fiscaux : tout est en vente. Nos journalistes ont consulté ces fichiers. Des vies entières en format .csv.

Le même jour, les données des allocataires de la CAF sont compromises.

Le 15 mars 2025, une base de données du ministère de l'Éducation nationale est siphonnée via un logiciel de RH piraté.

En décembre 2024, les fichiers d'antécédents judiciaires du ministère de l'Intérieur tombent entre les mains de hackers.

En février 2024, France Travail — 37 millions d'usagers, tous les inscrits depuis 20 ans — voit ses données volées. La CNIL condamne l'État à 5 millions d'euros d'amende.

— Les autorités savaient. Elles ont laissé faire.

Entre septembre 2024 et septembre 2025, 8 613 violations de données ont été recensées, dont 5 841 d'origine malveillante. C'est une hausse de 60 % par rapport à l'année précédente (source : ANSSI). Le chiffre devrait être dépassé en 2026.

Le coût ? En 2016, la cybercriminalité coûtait 5 milliards d'euros à la France. En 2025, c'est 100 milliards (source : Statista). Vingt fois plus en neuf ans. Une hémorragie que personne n'endigue. — Voilà.

L'ANTS : une passoire numérique

Mercredi 15 avril 2026. L'Agence nationale des titres sécurisés (ANTS) — sous tutelle du ministère de l'Intérieur — est piratée. L'ANTS délivre les cartes d'identité, passeports, visas, permis de conduire. Sa mission officielle : "garantir et protéger votre identité."

Dès le lendemain, les hackers mettent en vente sur le dark web les données de près de 12 millions de comptes. Adresses, numéros de téléphone, identifiants.

Le pirate ? Un adolescent de 15 ans et un mois. Surnom : Bridge 3D.

Il s'est introduit dans les bases de données de l'agence en exploitant une vulnérabilité basique. Une faille que le top 10 mondial des risques applicatifs répertorie depuis... 2007. Dix-huit ans que l'administration savait. Et pourtant.

Arrêté, le mineur a déclaré aux enquêteurs : "Je ne pensais même pas qu'une telle faille puisse exister sur les infrastructures du gouvernement français."

Un gamin de 15 ans pirate l'administration chargée de protéger l'identité des Français. Il revend les données au plus offrant. Personne n'avait rien vu venir.

Le gouvernement a réagi. Sébastien Lecornu, alors Premier ministre, est monté au créneau. Il a annoncé 200 millions d'euros débloqués des crédits France 2030. Une nouvelle autorité sous son contrôle. Une fusion d'agences. — Les hackers de 15 ans doivent être morts de peur.

Les causes d'une faillite organisée

Pourquoi la France est-elle devenue le pays le plus vulnérable d'Europe ? 1 % du budget global de l'État consacré au numérique, contre 10 % dans les entreprises privées.

Le député et le ministre le reconnaissent eux-mêmes : "La plupart des entreprises françaises consacrent quelque chose comme 10 % de leur budget global à l'infrastructure numérique. L'État, lui, est plus proche de 1 % que de 10 %." Un sous-investissement chronique.

Mais il y a pire. Depuis des années, l'État a externalisé sa sécurité informatique à des centaines de prestataires privés. Multipliant les dépendances. Diluant les responsabilités. En cas de faille, chacun se renvoie la balle.

Et ce n'est pas tout : les données sensibles des administrations sont majoritairement stockées chez les hyperscalers américains — Amazon Web Services, Google Cloud, Microsoft Azure. Des serveurs soumis à l'extraterritorialité du droit américain. Le Patriot Act permet aux agences de renseignement des États-Unis d'accéder à ces données sans même en informer les autorités françaises. — Vos données médicales, bancaires, fiscales sur des serveurs US, accessibles à la NSA.

Ajoutez à cela les cabinets de conseil. McKinsey facture des millions pour des "feuilles de route" qui parlent de cryptographie post-quantique et d'intelligence artificielle. Pendant ce temps, les services de l'État sont incapables de mettre en place une simple authentification à deux facteurs. — Parlons de l'éléphant dans la pièce.

Bruxelles verrouille, Paris encaisse

Début 2026, la Commission européenne met sur la table une révision du Cyber Security Act. Le texte passe sans vote. Il instaure un nouveau cadre harmonisé de certification cloud pour toute l'Union européenne. Grands gagnants : les hyperscalers américains.

Les critères retenus se focalisent sur des considérations techniques. Pas sur la dépendance extraterritoriale. Pas sur la souveraineté numérique. Grande perdante : la France.

L'ENISA — agence européenne de cybersécurité — récupérera toutes les attributions de l'ANSSI, l'agence française. L'ANSSI deviendra une coquille vide. Les schémas de certification nationaux seront remplacés par des standards européens négociés en lien étroit avec les grands cabinets de conseil. Exit les dispositifs qui interdisaient aux prestataires cloud américains de transmettre nos données aux autorités US.

La Commission prépare ainsi, sous couvert d'harmonisation, la dépendance totale de l'Europe à Amazon, Google et Microsoft. Et le gouvernement français ? Il laisse faire. Pire : il agite les bras. Il annonce des réformes. Il fusionne deux agences qui viennent tout juste d'être divisées. Il promet des enveloppes financées par les amendes infligées aux services de l'État... donc par l'argent des contribuables. Un système qui se mord la queue.

Le contrat social brisé

Voilà où ça se complique. L'État oblige les citoyens à se numériser. Déclarations fiscales en ligne. Carte d'identité dématérialisée. Permis de conduire numérique. France Connect. Vous n'avez pas le choix.

Mais l'État ne protège pas ces données. Il les expose. Il les vend à des prestataires privés. Il les stocke chez des entreprises américaines. Il laisse des adolescents les pirater. Et ce n'est pas rien — quand vos données médicales tombent dans les mains de criminels, vous pouvez être rançonné, cambriolé, agressé.

Après le piratage de la Fédération française de tir et du système d'information sur les armes, des détenteurs d'armes ont été cambriolés. Des possesseurs de cryptomonnaies ont été enlevés contre rançon. L'État vous met en danger.

Alors, pourquoi remplir ses obligations légales ? Pourquoi déclarer son arme si cela vous expose à la violence ? Pourquoi confier ses données à un État incapable de les protéger ? La question est posée. Et elle est grave. Car si l'État ne remplit plus sa part du contrat social — protéger les citoyens — pourquoi les citoyens devraient-ils continuer à lui obéir ? Jusqu'où ira la défiance ?

Une réponse en trompe-l'œil

Le gouvernement a annoncé 200 millions d'euros. Une nouvelle agence. Une fusion. Un numéro vert, peut-être. Pendant ce temps, les fuites continuent.

Le 15 avril 2025, les données de 1,2 million de comptes bancaires du fichier national de la DGFiP sont compromises. Le 28 février 2025, c'est CGIM. En décembre 2024, les fichiers des antécédents judiciaires. En février 2024, France Travail. La liste est longue. Elle s'allonge chaque semaine. — Les annonces sont des pansements sur une hémorragie.

Les experts plaident pour une réinternalisation des compétences. Recruter des ingénieurs. Construire des infrastructures open source. Héberger les données sensibles en France. Cela demande de l'argent. De la volonté politique. Du temps. Nos dirigeants préfèrent facturer des feuilles de route à McKinsey et préparer l'abandon de souveraineté à Bruxelles. Les Français paient. Les Américains encaissent. Les criminels se servent.

Un constat implacable

La France est aujourd'hui le pays le plus vulnérable d'Europe en matière de fuites de données. Pas par accident. Par choix politique.

Sous-investissement chronique. Externalisation systématique. Dépendance aux hyperscalers américains. Absence de volonté de réinternaliser. Abandon programmé de la souveraineté numérique. Chaque citoyen est exposé. Vos données médicales peuvent servir à vous faire chanter. Vos données bancaires à vider vos comptes. Vos données fiscales à monter des arnaques sophistiquées. Vos données judiciaires à vous nuire. Et l'État s'en fiche.

Il vous oblige à lui confier ses données. Il les stocke mal. Il les laisse fuiter. Il vous condamne à payer l'amende qu'il s'inflige à lui-même. Un système absurde.

Mais pas irréversible. Si la volonté politique existait, les choses pourraient changer. Recruter des ingénieurs. Construire des infrastructures souveraines. Reprendre le contrôle. Cette volonté n'existe pas. Nos dirigeants préfèrent parler de "cyber résilience" et de "cryptographie post-quantique" pendant qu'un adolescent de 15 ans pirate l'administration qui protège votre identité.

— À suivre.

Sources

• Rapport ANSSI 2025 (données entre septembre 2024 et septembre 2025)
• Données CNIL 2025-2026 (amendes, violations)
• Statista (coût de la cybercriminalité en France : 5 milliards en 2016, 100 milliards en 2025)
• Sylink.fr (23,5 millions de comptes compromis en 2026)
• Dsih.fr (250 organismes concernés en 2026)
• 01net.com (90 millions de comptes touchés en janvier 2026)
• Ladepeche.fr (fuite ANTS : 11 millions de personnes concernées)
• Vigilance-numerique.fr (180+ incidents, 330 millions de données exposées en 2025-2026)
• Transcript de l'émission "Le fil d'actu" (vidéo source : https://youtube.com/watch?v=W77PG5CcaHA)