La cybersécurité citoyenne : une faille structurelle qui ne peut plus être ignorée

Les systèmes publics ne sont pas des forteresses inviolables. Ils sont des cibles systémiques, et leur vulnérabilité devient une arme pour les cybercriminels. Prenons l'exemple de l'ANTS : en juin 2026, une cyberattaque a compromis 11,7 millions de comptes, révélant une faille exploitée par un simple modification d'un identifiant dans une requête - une vulnérabilité aussi simple qu'inattendue. Les données exposées ? 18 à 19 millions d'enregistrements : noms, prénoms, adresses électroniques, identifiants de connexion. Ces données, vendues sur des forums criminels, ne sont pas un simple dump technique. Elles sont le carburant des escroqueries massives : faux SMS au nom de la préfecture, phishing ciblant les impôts, ou usurpation d'identité pour des fraudes bancaires. 33 % des atteintes numériques en France en 2025 visaient directement des personnes physiques (116 000 plaintes via Thésée, 207 000 signalements de fraudes bancaires via Perceval). Ces chiffres ne sont pas abstraits : ils parlent de millions de Français, confrontés seuls à une menace qu'ils ne maîtrisent pas.

Mais cette faille n'est pas un accident. Elle est le résultat d'une logique de gouvernance cyber qui a oublié le citoyen. Pendant deux décennies, la cybersécurité a été une affaire de professionnels : des RSSI, des SOC, des PSSI, des réglementations comme la Directive NIS 2 ou le règlement DORA. Pourtant, ces dispositifs ne suffisent pas à eux seuls. Comme le souligne Yanik Guillemette, entrepreneur et expert en souveraineté numérique, « quand une vulnérabilité est créée par le gouvernement, elle devient instantanément une surface d'attaque pour les cybercriminels et les États hostiles ». La loi C-22 canadienne, qui impose la rétention obligatoire des métadonnées pendant un an, illustre cette dérive : « ce n'est pas de l'accès légal, c'est de la surveillance de masse préventive », martèle-t-il. En France, l'ANTS n'est qu'un symptôme d'un problème plus large : les institutions se concentrent sur les infrastructures critiques, tandis que les citoyens, le plus exposé, restent le grand oublié.

Une cybersécurité citoyenne : entre hygiène numérique et responsabilité collective

Le citoyen n'a pas vocation à devenir un expert en sécurité informatique. Mais il doit être reconnu pour ce qu'il est déjà devenu : un rempart de première ligne. Comme le rappelle Tom Wilner, chroniqueur spécialisé dans la cybersécurité, « le problème structurel est que pendant deux décennies, la cybersécurité a été pensée pour des professionnels, pour des professionnels ». Pourtant, les données compromises lors de l'attaque ANTS ont été exploitées pour des campagnes de phishing aussi crédibles que des courriels officiels. Avec un nom, un prénom et une adresse email, un escroc peut envoyer un faux email au nom de la préfecture, réclamer un paiement pour un impôt fictif, ou demander des coordonnées bancaires sous prétexte d'une « mise à jour de votre compte ». Le risque n'est pas abstrait : il est dans la boîte mail de millions de Français.

Pourtant, malgré cette exposition massive, le citoyen reste désarmé. Les chiffres le confirment : 453 000 atteintes numériques en France en 2025, soit une progression de 87 % en cinq ans. Parmi elles, 33 % visaient directement des personnes physiques. Les plateformes de signalement du ministère de l'Intérieur en témoignent : plus de 116 000 plaintes pour escroqueries via Thésée, près de 207 000 signalements de fraudes bancaires via Perceval. Ces chiffres ne parlent pas des entreprises du CAC 40. Ils parlent de madame et monsieur tout le monde, confrontés seuls à une menace face à laquelle le grand public est démuni.

L'urgence : former les citoyens à l'hygiène numérique de base

La solution ne réside pas dans la perfection technique des systèmes publics. Comme le souligne l'analyse de l'ANTS, la faille exploitée ne relevait pas d'une prouesse technique : il suffisait de modifier un identifiant dans une requête pour accéder aux données d'un autre utilisateur, sans aucun contrôle. Même les systèmes bien financés, bien conçus, auditables, ont des angles morts. Le vrai défi ? Transformer le citoyen en acteur de sa propre cybersécurité.

Cela ne signifie pas transférer la responsabilité. Mais reconnaître que la résilience collective dépend aussi de la résilience individuelle. Un salarié sensibilisé ne clique pas sur un lien malveillant. Un citoyen informé reconnaît un faux SMS frauduleux. Le principe est le même. L'effort d'éducation doit être une priorité.

Pour cela, il faut aller au-delà de la simple sensibilisation. Comme le plaide Tom Wilner, « chaque citoyen doit aussi savoir quoi faire lorsque l'incident survient » : vers qui se tourner, quels réflexes adopter, et comment être accompagné dans les premières heures. La première ligne de défense reste encore trop souvent une personne seule, face à une menace qu'elle ne maîtrise pas.

Une cybersécurité citoyenne : les leçons à tirer

La loi C-22 canadienne et l'attaque de l'ANTS ne sont pas des exceptions. Elles sont des symptômes d'un problème systémiques : les institutions ont construit des politiques de sécurité pour des professionnels, sans jamais s'interroger sur la capacité des citoyens à protéger leurs données. Pourtant, comme le rappelle Gerard Haas, avocat spécialisé en cybersécurité, « la cybersécurité n'est plus un sujet technique, c'est une responsabilité de gouvernance ». Les dirigeants ne peuvent plus se contenter de réagir aux attaques. Ils doivent anticiper, documenter les choix de sécurité, former les équipes, et encadrer les prestataires critiques.

Pour les citoyens, cela signifie adopter une hygiène numérique de base :

• Activer la double authentification sur tous les comptes sensibles.
• Ne jamais cliquer sur des liens suspects, même s'ils semblent officiels.
• Vérifier les adresses email et les numéros de téléphone avant de répondre à un message.
• Signaliser immédiatement toute anomalie via les plateformes dédiées (Thésée, Perceval).

Ces gestes ne sont pas des solutions miracles. Mais ils transforment le citoyen en rempart actif, au même titre que les pare-feux ou les SIEM. Comme le souligne Yanik Guillemette, « la confiance numérique repose sur la résilience collective ». Si les institutions ne peuvent pas garantir une sécurité parfaite, chacun doit contribuer à réduire les risques.

Conclusion : une cybersécurité citoyenne, c'est une souveraineté numérique

La cybersécurité citoyenne n'est pas une option. C'est une nécessité. Les chiffres le montrent : les attaques ciblent désormais les structures intermédiaires - PME, ETI, professions libérales - dont le niveau de préparation reste inégal. Les institutions ne peuvent plus se contenter de sécuriser leurs propres systèmes. Elles doivent sensibiliser, former, et accompagner les citoyens, qui sont à la fois les plus exposés et les plus vulnérables.

La loi C-22 canadienne et l'attaque de l'ANTS ne sont pas des cas isolés. Elles sont des signaux d'alerte sur un système qui a oublié son premier utilisateur. La souveraineté numérique dépend de la confiance collective. Si les institutions ne peuvent pas garantir une sécurité parfaite, chacun doit contribuer à réduire les risques. La cybersécurité citoyenne n'est pas une faille structurelle. C'est une opportunité de repenser notre rapport au numérique, au-delà des solutions techniques ou réglementaires.

Comme le disait un ancien joueur de football : « un bon défenseur ne se contente pas de bloquer le ballon. Il anticipe, il protège, et il rend le terrain plus sûr pour tous. » Aujourd'hui, c'est la même logique qui s'applique à la cybersécurité. **Le citoyen n'est pas une cible. Il est une première ligne de défense.