Face à l’accumulation des fuites de données dans les ministères, le Premier ministre a chargé l’ANSSI, le 1er septembre 2026, de bâtir une capacité renforcée de réaction et d’intervention, baptisée opération Reactiv. Son premier point de situation, publié par le CERT-FR le 30 septembre, fait état de 99 violations de données portées à la connaissance de l’agence depuis le 1er août, dont 67 confirmées. Le document pointe à la fois des identifiants volés et des failles logicielles exploitées en masse.
Ce que change l’opération Reactiv
D’après le CERT-FR, Reactiv permet à l’ANSSI de mobiliser immédiatement des moyens aux côtés des ministères touchés. Le dispositif se concentre sur le traitement des comptes d’utilisateurs compromis et sur l’analyse des fuites, afin de contenir les attaques et de réagir plus vite aux exfiltrations. L’agence obtient deux leviers : elle peut exiger des ministères des mesures de protection urgentes dans des délais serrés, et elle centralise la communication technique de crise. L’opération complète la feuille de route de sécurité numérique de l’État pour 2026-2027, dont le chef du gouvernement veut accélérer la mise en œuvre. Le CERT-FR souligne que ses chiffres et constats restent provisoires, les investigations se poursuivant.
Selon le document de l’ANSSI, sur ces 99 événements, 67 sont des violations confirmées, dont 32 restaient en cours de traitement par l’agence : les 32 dossiers en cours font partie des 67, ils ne s’y ajoutent pas. Outre la DGFiP et l’Éducation nationale, il recense notamment des incidents à la Dinum et au laboratoire d’innovation de l’ANSSI, liés à des instances compromises de l’outil Metabase ; Banque des Territoires les juge assez mineurs.
Un été de fuites en série
Les incidents de l’été expliquent cette mobilisation. Selon IT-Connect, Bercy a confirmé le 14 août des intrusions menées en juin et juillet grâce aux identifiants usurpés d’un agent du fisc et d’une tierce personne habilitée ; le bilan porte sur 678 000 particuliers et professionnels. Identifiant fiscal, état civil, coordonnées, revenu fiscal de référence ou taux de prélèvement figurent parmi les données exposées, mais pas les mots de passe. Pour le serveur des données cadastrales, piraté grâce au compte compromis d’un géomètre-expert, la DGFiP a d’abord évoqué 200 000 comptes, avant de retenir 1,8 million ; l’ANSSI parle d’environ 2 millions de données concernant quelque 434 000 usagers.
L’Éducation nationale a annoncé le 31 juillet une intrusion survenue dans la nuit du 25 juillet sur le système de formation de ses personnels, au moyen d’un compte professionnel compromis. Le ministère confirme l’exposition d’identités, de fonctions, de coordonnées et, pour certains agents, du numéro de sécurité sociale. Le pirate ZeroBytes, qui revendique aussi l’attaque contre la DGFiP, affirme détenir 346 millions de lignes, un chiffre non vérifié qui ne correspond pas à un nombre de personnes.
D’autres services ont suivi. Bloctel, le service d’opposition au démarchage téléphonique, a subi le 7 août une violation de données, menée depuis le compte professionnel d’une entreprise, avant sa fermeture définitive le 11 août, selon l’ANSSI. L’OCCRP évoque des fichiers de 3 millions de numéros, dont l’agence estime qu’environ 600 000 inscrits peuvent être déduits. Le 7 septembre, Le Monde Informatique relatait une attaque qualifiée de sophistiquée par le ministère de la Transition écologique, qui a rendu plusieurs services en ligne temporairement indisponibles. Le point de situation indique depuis qu’une faille du portail OISO, exploitée avec le compte compromis d’un organisme privé, a permis d’énumérer les données personnelles de 22 000 agents et organismes agréés.
Des identifiants volés, mais pas seulement
À la DGFiP comme à l’Éducation nationale, l’accès initial s’appuie sur des comptes valides tombés entre de mauvaises mains. L’ANSSI confirme ce schéma : les identifiants dérobés par des logiciels voleurs d’informations sur des postes personnels, ou issus de fuites antérieures, restent selon elle un vecteur d’entrée marquant, et l’absence de double authentification a facilité de nombreuses intrusions. Elle décrit pourtant aussi l’exploitation massive, depuis début août, d’une faille de l’outil Metabase (CVE-2026-72898), qui a permis de compromettre neuf instances dans des ministères, ainsi que plusieurs attaques de type IDOR, qui ouvrent l’accès à des données sans authentification préalable. La DGFiP a annoncé, selon IT-Connect, la double authentification pour tous ses agents d’ici la fin de l’année, des quotas de consultation, une refonte de la détection des usages anormaux et un programme de recherche de failles rémunéré.
Auditionné par les députés, Vincent Strubel, qui dirige l’ANSSI, a jugé la maturité cyber de la DGFiP « au-dessus de la moyenne » et refusé que l’agence serve à « trouver un coupable », rapporte Banque des Territoires. Selon lui, la transposition de la directive NIS2, avec son référentiel Récif, aurait « permis d’éviter la majorité de ces attaques » ; il a aussi observé que l’intelligence artificielle permet d’automatiser les offensives. Or ce texte attend toujours son examen à l’Assemblée nationale.
Questions fréquentes
Qu’est-ce que l’opération Reactiv ?
C’est une capacité de réponse renforcée de l’ANSSI, demandée par le Premier ministre le 1er septembre 2026, pour épauler les services de l’État victimes de fuites de données. Elle autorise l’agence à imposer des mesures urgentes aux ministères.
Combien de fuites de données l’État a-t-il subies depuis l’été 2026 ?
Selon le premier point de situation de Reactiv, publié par le CERT-FR, 99 violations de données ont été signalées à l’ANSSI depuis le 1er août 2026 ; 67 sont confirmées, dont 32 étaient encore traitées par l’agence. Ces chiffres restent provisoires.
Mes données fiscales ont-elles été volées ?
Selon les chiffres de Bercy rapportés par IT-Connect, 678 000 particuliers et professionnels sont concernés par les intrusions de juin et juillet. Les mots de passe ne figurent pas dans les données dérobées, mais la vigilance face aux messages d’hameçonnage s’impose.
Sources
- Point de situation de l'opération REACTIV – septembre 2026 (CERTFR-2026-CTI-006) — CERT-FR, 2026-09-30
- Un cybermois placé sous le signe des fuites de données, la discussion autour de NIS2 de nouveau reportée — Banque des Territoires, 2026-10-06
- DGFiP, cadastre, Éducation nationale : l'État français enchaîne les fuites de données — IT-Connect, 2026-08-19
- French Authorities Investigate Widespread Government Data Breaches — OCCRP, 2026-08-20
- Le ministère de la Transition écologique ciblé par une cyberattaque — Le Monde Informatique, 2026-09-07
- REACTIV – Point de situation, septembre 2026 (document PDF) — CERT-FR / ANSSI, 2026-09-30