« Notre pire ennemi, ce serait la banalisation. » Sept jours plus tard, ZeroBytes revenait se servir

Sommaire

• La task-force n’existe pas. Je l’ai crue, moi aussi.
  • Sept jours. C’est le temps qu’il leur a fallu.
  • L’été 2026 de l’État français, vu par ses trous.
• ZeroBytes, l’été 2026
  • Ce que l’État annonce, ce que ZeroBytes fait
  • Ce qui est revendiqué, ce qui est établi
  • Combien de temps avant que ça se sache
  • Une porte ouverte, avec le mot de passe scotché dessus
  • Cent quarante-huit millions de lignes : apprends à lire un butin
  • Le compte est bon : cinq fuites, un été, deux personnes
  • Ce que Bercy avait promis, il y a douze jours
  • Mardi, la facturation électronique. « Hermétique », qu’ils disent.
  • Et pendant ce temps, personne ne dit rien
• Le feuilleton de l’été :
• Notes de bas de page :
  • Soutenez un média libre
  • Partager :

Oh, les jolis mois d’été. Moi qui avais peur de m’ennuyer, je suis servi. Car question vols de données dans les sites de l’État, c’est open-bar pour le voleur. Le dernier date d’il y a quelques jours à peine. Mais d’abord, rappelle-toi. Le 18 août, à Bercy, un ministre est monté au pupitre. D’abord les excuses. Ensuite trois mots : transparence, considération, fermeté. Puis un avertissement. Car le vrai danger, selon lui, ce n’était pas les pirates. C’était nous. Notre capacité à hausser les épaules.

Sept jours plus tard, ZeroBytes était de retour dans une base de l’État. Pas eu le temps de lever les épaules, que déjà il se servait. De fait, je m’interroge. J’imaginais les services de l’État sur le pont. Eh bien non, semble-t-il. De nouveau un vol. Même auteur. Et pourtant la fameuse task-force devait tourner. Manque de bol. Faut croire qu’il y a encore des trous. Et il y en a. La preuve.

La task-force n’existe pas. Je l’ai crue, moi aussi.

Commençons par là, puisque c’est ce qu’on croit tous. Il n’y a pas de task-force. Pas de cellule de choc. Pas d’équipe qui veille pendant que tu dors. J’ai vérifié avant d’écrire cette phrase, et le résultat est pire que ce que j’imaginais. Voici ce qui existe vraiment. Le 19 août, Sébastien Lecornu écrit au secrétaire général de la défense et de la sécurité nationale.¹ Il lui demande de créer une « unité cyber ». Une équipe de contact, composée d’agents de l’ANSSI, chargée d’intervenir la première en cas d’atteinte grave au système d’information de l’État. Renforcée au besoin par les Armées ou l’Intérieur.

Demande. Le verbe change tout. Il n’annonce pas une unité, il en réclame une. Et il fixe un délai serré : l’ANSSI doit rendre pour le 21 août une proposition d’organisation, des règles d’engagement, des moyens, et le nom d’un responsable. Nous sommes le 30. Rien n’a été annoncé depuis. Aucune unité, aucun responsable, aucun moyen public. Pendant ce temps, les pirates, eux, ont respecté leur calendrier.

Maintenant, le pompon. Ce genre de structure a déjà existé en France. Des groupes d’intervention rapides tournaient sous l’égide de l’ANSSI dès 2011. Un comité stratégique des systèmes d’information également. Le tout a été démantelé dans la seconde moitié des années 2010. Là-haut, ils ont pensé que cela ne servait à rien. Relis ça tranquillement. On avait l’outil. On l’a supprimé. Quinze ans plus tard, on se fait vider cinq fois en un été, et on écrit une lettre pour le recréer. En urgence. Un dimanche d’août. Ah, et le budget consacré au cyber dans France 2030 s’élève à 200 millions d’euros. Retiens ce chiffre. On y revient plus bas, et il va te paraître bizarre.

Sept jours. C’est le temps qu’il leur a fallu.

Reprenons dans l’ordre. La chronologie fait tout le travail à ma place.

Mardi 18 août 2026, seize heures. Conférence de presse à Bercy. David Amiel, ministre de l’Action et des Comptes publics, s’avance. À ses côtés, Amélie Verdier, patronne de la DGFiP. Un général de l’ANSSI complète le tableau. Au menu : le vol de données du fisc. Cet équipage donne une impression de force. Une impression, j’ai dit.

Le ministre présente ses excuses aux usagers. Ainsi déclare-t-il : « Ce qui est arrivé est insupportable pour les Français. » Il ajoute alors cette phrase, qu’il faut relire deux fois : « Notre pire ennemi, ce serait la banalisation, de s’habituer à des fuites. » Je n’aurais pas mieux dit.

Belle phrase. Vraiment. Bref, on la note.

Mardi 25 août 2026. Sept jours pile. ZeroBytes revendique une intrusion dans Zéro Logement Vacant, un service porté par la Fabrique Numérique du ministère de la Transition écologique. Concrètement, un outil que les communes utilisent pour repérer les logements vides et démarcher leurs propriétaires. Rien de spectaculaire, donc. Juste une base de données publique de plus. Oui, juste une.

Samedi 29 août, la revendication sort. Le soir même, elle passe au journal de vingt heures. Ce dimanche matin, deux adresses du service renvoient une erreur 404. Autrement dit : on a débranché. Tiens, ils ont fait comme après le vol de l’Éducation nationale. Hop, tiré la prise.

Sept jours entre le discours sur la banalisation et le retour des pirates. Difficile de faire plus démonstratif. Note quand même l’élégance : ils ont attendu la fin de la conférence de presse. Bien élevés, les voleurs. Je suis sûr que leurs mamans devaient leur dire « Mouche-toi avant de dire bonjour à la dame ! ».

L’été 2026 de l’État français, vu par ses trous.

Comme je ne suis pas chien, j’ai pensé que pour t’y retrouver dans cette succession de vols de données, rien ne vaut un beau graphique inter-actif. A ce train là, il risque de s’agrandir. Apprécie quand même le travail. Pour toi.

Une porte ouverte, avec le mot de passe scotché dessus

Voilà le meilleur moment du dossier. Accroche-toi bien.

Selon ZeroBytes, l’entrée s’est faite par une instance Metabase² laissée accessible sur internet, à l’adresse stats.zlv.beta.gouv.fr. Un outil de tableaux de bord, en clair. Le genre de truc qu’on installe pour faire de jolis graphiques, puis qu’on oublie. Dedans, toujours selon le pirate, se trouvaient les identifiants de la base PostgreSQL³ de production. Non chiffrés. Pas dans un coffre. Écrits. En dur.

Tu vois la différence avec les impôts ? Là-bas, il a fallu travailler un peu. Pas beaucoup. Mais un peu. Un compte d’agent compromis en juin. Bloqué en vingt-quatre heures, d’ailleurs. Un second en juillet, même méthode, bloqué aussi. Sauf que personne n’a vu que les données, elles, étaient déjà parties.

Bercy a fermé la porte deux fois sans regarder ce qui manquait dans la pièce. La DGFiP a reconnu que ses premières investigations avaient été insuffisantes. De fait, le vol n’a été découvert que le 12 août, sur alerte de l’ANSSI. Amélie Verdier l’a dit : « Nous n’avions pas connaissance du vol de données avant le 12 août. » Ce qui change du « tout est sous contrôle » de fin juin.

On nous a aussi expliqué la faille de fond : l’authentification ne demandait qu’un identifiant et un mot de passe. Pas de double authentification. Aucun VPN obligatoire. On a promis de corriger tout ça. Tu as noté le mot ? Promis, qu’ils ont dit. Sauf qu’ici, il n’y avait même pas de compte à voler. Rien à contourner, en somme. La double authentification, tu la mets où, sur une page laissée ouverte qui contient déjà les clés ? Euh…

Une précision d’honnêteté, parce qu’on est carré ici : cette description est celle du pirate. Personne ne l’a confirmée. Ni le service, ni sa tutelle. En réalité, ils n’ont rien dit du tout, on y revient. Cela dit, si elle est exacte, alors c’est le seul élément vraiment utile de toute l’affaire. En effet, il y a d’autres Metabase dans d’autres administrations. Et il y a d’autres mots de passe écrits en clair dedans. Dors bien.

Cent quarante-huit millions de lignes : apprends à lire un butin

Passons aux chiffres. Là, on va être méchant. Précis, aussi. Partout depuis samedi, tu lis « 48 millions de personnes exposées ». Certains montent même à 149 millions. C’est faux. Enfin, pas exactement faux : c’est mal lu.

ZeroBytes revendique 148 929 194 lignes de données brutes. Or une ligne n’est pas une personne. En effet, un même propriétaire apparaît plusieurs fois : par bien, par exercice, par événement administratif. Le site spécialisé qui publie ces chiffres l’écrit d’ailleurs noir sur blanc. Je cite : « une ligne n’est pas un compte, et une base immobilière peut contenir des enregistrements répétés ». Il donne du reste une fourchette de personnes uniques allant de 47,9 à 71 millions selon la méthode. Quand la fourchette varie de vingt-trois millions, c’est qu’on ne sait pas. Dans ce cas-là, on se tait.

À l’inverse, ce qu’on sait tient en quelques lignes. Des empreintes de mots de passe⁴ au nombre de 3 450. Un peu plus de dix mille adresses électroniques uniques. Moins de sept mille numéros de téléphone. Le reste, c’est une base de propriétaires : noms, dates de naissance, adresses, références de biens. Grave ? Oui. En revanche, la moitié de la France s’est-elle fait voler son compte ? Non.

Meilleur encore, le voici. En juillet, pour l’Éducation nationale, ZeroBytes annonçait 346 178 591 lignes. La presse a titré sur les millions. Le pirate, lui, a pris la peine de préciser que 346 millions de lignes ne font pas 346 millions de personnes. Relis cette phrase. Le voleur explique la statistique mieux que ceux qui la reprennent. On en est là. Ce n’est même pas la première fois. Ainsi, en août, pour le fisc, un chiffre de deux millions d’usagers a circulé. La DGFiP a ensuite annoncé le vrai total : 678 000 contribuables et professionnels. Trois dossiers, trois emballements, trois corrections. Bref, on progresse dans la répétition, pas dans la lecture.

Le compte est bon : cinq fuites, un été, deux personnes

Faisons l’addition, elle est vertigineuse.

Chez les impôts, ce ne sont pas une mais trois fuites distinctes. D’abord la messagerie entre contribuables et agents. Ensuite le serveur cadastral. Puis, révélé le 17 août, le portail de recherche des successions vacantes. Amélie Verdier l’a confirmé elle-même en conférence de presse : une troisième fuite, découverte le lundi.

Ajoute l’Éducation nationale, entrée dans la nuit du 25 juillet par l’usurpation d’un compte professionnel⁵. Ajoute encore Zéro Logement Vacant ce week-end. Total : cinq intrusions revendiquées dans la sphère publique française en un seul été. Cela fait beaucoup, non ? Quand je te disais que la France grimpait au classement mondial des vols de données, je ne me trompais pas beaucoup. Au premier trimestre 2026, elle était le deuxième pays le plus touché de la planète. Juste derrière les États-Unis. Soit 23,5 millions de comptes compromis, contre 60,3 millions outre-Atlantique. Plus du double du trimestre précédent, du reste. L’Inde suivait loin derrière, à 7,3 millions.

Alors volé par qui ? Un duo. Deux personnes qui se déclarent françaises. Interrogées par l’AFP sur Telegram, elles ont résumé leur motivation en trois mots : « l’argent, j’imagine ». Elles évoquent par ailleurs des « milliers d’euros » de revente. Des milliers d’euros. Pas des millions. Pour ce prix : le fichier fiscal de 678 000 Français, la scolarité de centaines de milliers d’enfants, le patrimoine immobilier d’on ne sait combien de propriétaires. Soit le tarif d’une voiture d’occasion. Voilà ce que valent tes données sur le marché. Bonne nouvelle : tu n’es pas cher. Mauvaise nouvelle : c’est bien pour cela qu’on ne protège pas grand-chose. Rappelle-toi les 200 millions d’euros de France 2030 pour le cyber. Deux personnes, un ordinateur portable et quelques milliers d’euros de butin ont suffi à traverser cinq fois la maison. Le rapport de force est joli, non ? Hurle pas. Cela ne sert à rien !

Ce que Bercy avait promis, il y a douze jours

Reprenons la liste du 18 août, elle mérite d’être relue aujourd’hui.

Double authentification accélérée pour tous les agents de la DGFiP, d’ici la fin de l’année. VPN obligatoire sur l’ensemble des applications. De plus, changements de mots de passe plus fréquents. Formation renforcée. Simulations de hameçonnage. Également des quotas de consultation, pour qu’un agent ne puisse plus aspirer des fichiers entiers. Et une alerte automatique en cas de connexion inhabituelle ou de volume anormal.

Ajoute de l’intelligence artificielle pour repérer les comportements suspects. Un programme de chasse aux failles ouvert aux chercheurs extérieurs. Une migration vers des outils souverains. Enfin, une structure baptisée Ariane pour janvier 2027. Surtout, un audit de l’ANSSI, dont les conclusions doivent être remises au Parlement en septembre. C’est-à-dire cette semaine.

Rien de tout cela n’est absurde. Rien de tout cela n’est inutile. Le problème n’est pas la liste. Toutefois, elle porte sur la DGFiP. Or Zéro Logement Vacant, ce n’est pas la DGFiP. C’est un service de la Transition écologique, sponsorisé par l’Anah et deux directions du logement, avec une équipe d’une douzaine de personnes. Par conséquent, le VPN de Bercy ne l’a jamais protégé. Les quotas de consultation ne le concernaient pas. L’audit de l’ANSSI ne le regardait pas. Ariane ne le connaît pas.

Chaque administration sécurise sa maison pendant qu’on entre par le garage du voisin. Sauf qu’il y a beaucoup de voisins. Un dernier chiffre remet tout en perspective, donné ce jour-là par l’ANSSI. À savoir : 196 incidents d’exfiltration de données recensés en 2025, en hausse de 50 % sur un an. La tendance se poursuivait en 2026, précisait le général. On peut confirmer. Et si tu veux une idée du rythme, regarde le trimestre : les comptes compromis en France ont plus que doublé d’un trimestre à l’autre. Bref, 150 % de hausse en 2026 ? Je le lance au doigt mouillé, aucune étude ne dit ça. Reste à savoir de combien je me trompe. Et surtout dans quel sens.

Mardi, la facturation électronique. « Hermétique », qu’ils disent.

Petit détail de calendrier que personne ne relève. Le 1er septembre, dans deux jours, l’obligation de recevoir des factures électroniques entre en vigueur pour toutes les entreprises françaises. Autant dire demain. Or le 27 août, Bercy est monté au créneau pour rassurer. Les plateformes agréées répondraient aux standards de sécurité les plus élevés d’Europe. Tests d’intrusion généralisés dès l’automne. Signalement d’incident sans délai. Surveillance continue, avec suspension possible des plateformes non conformes.

Arrive la formule. Celle qu’il faut savourer lentement. Une architecture pensée comme hermétique, sans les connexions externes qui ont permis les attaques de la DGFiP. Hermétique. Sans connexions externes.

Quarante-huit heures plus tard, un service de l’État se fait vider par une connexion externe laissée grande ouverte sur internet. Non, je ne dis pas que c’est lié. Ce n’est ni la même administration, ni le même dispositif, et je n’ai aucune raison de croire que les plateformes de facturation sont trouées. Je dis simplement qu’il faut un certain aplomb pour employer ce mot-là, cette semaine-là.

Le pire, c’est qu’ils ont peut-être raison. Bercy a sans doute bien travaillé sur ce chantier précis. Sauf que Zéro Logement Vacant aussi devait avoir bien travaillé, quelque part, sur un autre chantier. Et il a suffi d’un tableau de bord oublié. Au passage, une association anticorruption a déposé plainte au parquet national financier. Elle demande le report de la réforme, tant que des garanties concrètes de cybersécurité ne sont pas confirmées. Elle est la seule à le demander. Le calendrier, lui, n’a pas bougé d’un jour.

Pour aller plus plus loin sur le sujet :

À trois jours de l’obligation, une association réclame le report de la facturation électronique

Et pendant ce temps, personne ne dit rien

Ce dimanche matin, à l’heure où je boucle cet article, voici l’état des prises de parole officielles sur Zéro Logement Vacant.

Côté service : rien. Sa tutelle au ministère de la Transition écologique : rien. L’Anah : rien. L’administration fiscale, dont les fichiers fonciers alimentaient légalement la plateforme : rien. La CNIL : rien. Sur le site de beta.gouv.fr, la fiche officielle du service ne mentionne aucun incident. Elle décrit tranquillement un produit en phase d’accélération depuis novembre 2022. On dirait qu’il ne s’est rien passé. Pourtant il s’est passé quelque chose. Le site est en 404.

Note bien la nuance, car elle compte : ce n’est pas un second piratage du fisc. Les données de propriétaires venaient des fichiers fonciers et d’une base bâtie sur des sources fiscales. Néanmoins, Zéro Logement Vacant les détenait tout à fait légalement, pour son travail. Personne n’est retourné chez les impôts. Quelqu’un est simplement allé chercher la photocopie ailleurs.

C’est peut-être ça, le vrai enseignement de l’été. Tu peux blinder le coffre central autant que tu veux. Mais si tu distribues des copies des dossiers à quinze services aux moyens inégaux, tu n’as pas quinze fois moins de risques. Tu en as quinze fois plus. Amiel disait le 18 août qu’il ne fallait pas s’habituer. À vrai dire, il avait raison. Sauf qu’on ne s’habitue pas : on n’a même plus le temps. Une fuite chasse l’autre avant qu’on ait fini de compter la précédente. Alors non, on ne banalise pas. On ne suit plus, ce qui est différent. Et franchement, à ce stade, c’est devenu risible. Tiens, une idée pour la conférence de presse suivante. Prévoir un compteur derrière le pupitre. Comme dans les usines. « Jours sans incident ». On le remettrait à zéro en direct. Il ne dépasserait jamais sept. Tu paries ?

Le feuilleton de l’été :

Notes de bas de page :

1. Le secrétaire général de la défense et de la sécurité nationale, ou SGDSN, est le service qui coordonne la sécurité nationale auprès du Premier ministre. L’ANSSI, l’agence chargée de la cybersécurité de l’État, lui est rattachée. Autrement dit : Lecornu a écrit au patron du patron des cyberpompiers. ↩︎
2. Metabase est un logiciel libre de tableaux de bord. On le branche sur une base de données pour en tirer des graphiques et des statistiques sans écrire de code. Pratique, très répandu, et donc très souvent installé puis oublié dans un coin. ↩︎
3. PostgreSQL est un système de gestion de base de données, l’endroit où sont réellement stockées les informations. La « base de production », c’est celle qui contient les vraies données des vrais usagers, par opposition aux bases de test. ↩︎
4. Une empreinte de mot de passe, ou hachage, est une version transformée du mot de passe. Elle permet de vérifier qu’on tape le bon sans stocker le mot de passe lui-même. Le format utilisé ici, bcrypt, est solide et lent à casser, ce qui limite les dégâts. Cela ne les annule pas. ↩︎
5. Les deux dates ne concordent pas sur ce dossier. Le communiqué officiel du ministère parle d’une intrusion dans la nuit du 25 juillet. Le pirate, lui, revendique une entrée dès le 15 juillet. Personne n’a tranché publiquement. ↩︎