Une faille systémique dans les infrastructures critiques

Les attaques récentes ne sont pas de simples incursions isolées : elles révèlent une vulnérabilité structurelle de nos institutions. Le groupe ZeroBytes a récemment transformé la ransomware en arme de guerre contre la Direction générale des finances publiques (DGFiP), ciblant des données fiscales qui concernent 678 000 particuliers et professionnels, ainsi que 200 000 comptes de fichiers cadastraux. Ce n'est pas un simple coup d'éclat, c'est une brèche béante dans le cœur financier de l'État.

Le timing est celui d'un counterattack dévastateur : les vols ont eu lieu entre fin juin et fin juillet, mais la DGFiP n'a découvert l'intrusion que le 12 août. Cette latence dans la détection souligne une incapacité à maintenir une surveillance active de nos systèmes d'information. Comme l'a admis David Amiel, ministre des Comptes publics, l'État a accumulé des "dettes techniques" pendant des décennies, un passif qui handicape aujourd'hui notre capacité de réaction.

L'Éducation nationale : le secteur le plus ciblé au monde

Le secteur éducatif subit une pression similaire, illustrant une stratégie de groupe où chaque administration devient une cible de choix. Les chiffres sont sans appel : selon Check Point Research, l'éducation est le secteur le plus attaqué mondialement avec une moyenne de 4 696 cyberattaques hebdomadaires entre janvier et juillet 2026, un chiffre qui a culminé à 4 848 en juillet.

L'académie de Toulouse illustre parfaitement la réalité du terrain : certains services numériques y sont restés suspendus pour des raisons de précaution après des vols de données touchant des dizaines de milliers d'enseignants et d'élèves. Dans ce scénario, l'absence de visibilité sur l'étendue exacte des données compromises crée un climat d'insécurité qui dépasse le cadre technique pour devenir un enjeu social.

L'impasse législative et le retard de la défense-in-depth

La réponse de l'État ne peut se limiter à une simple réaction émotionnelle ; elle doit s'appuyer sur un cadre réglementaire robuste. Or, nous faisons face à un blocage institutionnel majeur. La transposition de la directive européenne Nis 2, qui aurait dû être finalisée en octobre 2024, est actuellement dans l'impasse à l'Assemblée nationale après le passage au Sénat en mars 2025.

Ce retard législatif empêche la mise en place d'obligations de sécurité cruciales, comme la notification systématique des incidents ou l'imposition de mesures de protection strictes. Sans ce cadre, nous ne pouvons pas construire une defense-in-depth cohérente où chaque couche de l'administration agit comme un joueur de défense en équipe. La cybersécurité est ici sacrifiée sur l'autel de l'instabilité politique.

Vers une doctrine de la réactivité forcée

Face à l'urgence, le gouvernement tente de reprendre la main par des mesures de dernier recours. La création d'une "nouvelle unité cyber" de première ligne, ordonnée par Sébastien Lecornu, vise à intervenir dès la violation d'accès sensibles pour limiter les dégâts. C'est une tentative de passer d'une posture réactive à une présence proactive en amont des crises.

Le plan technique repose sur deux piliers : un audit approfondi mené avec l'Anssi et la généralisation de la double authentification, qui doit couvrir les quelque 400 applications nationales du ministère de l'Éducation d'ici début 2027. Si ces mesures sont nécessaires, elles ne constituent qu'un premier pas pour combler des lacunes de sécurité qui semblent aujourd'hui structurelles. La véritable question reste de savoir si l'État saura transformer cette crise en une mise à jour radicale de sa doctrine de défense.