Quatre démocraties ont cloisonné leur réseau d’État. La France a dix axes et aucun sur les ponts.

Sommaire

• Un million d’agents sur le même réseau
  • Comment on passe d’un prof à ton avis d’imposition
  • Ce n’est pas la première fois, et on le savait
  • L’ANSSI avait écrit la réponse. En juin 2025.
  • Dix axes. Zéro sur l’architecture.
  • Segmenter, ça veut dire quoi au juste ?
  • Quatre démocraties ont déjà tranché
  • Et le pirate qui ne se vante pas ?
  • Le commandement qu’on recommandait il y a quinze mois
• Notes de bas de page :
  • Soutenez un média libre
  • Partager :

J’entends ta réaction en lisant le titre de cet article. « Encore un article sur les vols de données en France ? ». Oui. Et non. Oui, car j’apporte quelques précisions sur les vols de données subis par différents ministères français. Non, car je m’interroge sur la sécurité du réseau interconnecté en France. Car il est là, l’enjeu de l’ANSSI dans les mois et les années à venir. Il ne s’agit pas que de donner une clé physique à chaque agent de l’État. Mais de compartimenter l’accès d’un ministère à un autre. Que des liens, comme on va le voir, ne puissent se faire du ministère de l’Agriculture à celui de l’Intérieur. C’est donc la mise en place de barrières, qui doit mis en place. Avec des contrôles périodiques.

Et si j’ai mis l’accent tout au long de cet été sur la sécurité des données, c’est qu’il s’agit pour moi d’un acte important. Comme je l’ai déjà dit : une donnée volée n’a plus de valeur, sauf pour le voleur. Il ne sert donc plus à rien de la protéger puisqu’elle est devenue publique. Or qu’avons-nous qui nous appartient en propre ? Que personne ne pourra nous enlever ? Nos données, tout simplement. Celles de notre identité, bien sûr. Et toutes celles qui nous permettent d’être identifiés. Soit par un service de l’État, comme par tout autre organisme. Alors non, il ne s’agit pas d’un énième article sur les vols de données qui ont eu lieu ces derniers mois. Ni de taper, comme il m’a été reproché, sur les services de l’État. Simplement d’énoncer les faits, et n’est-ce pas le principe même d’une démocratie ? Et ensuite présenter les mesures prises par d’autres démocraties. Je ne dis pas qu’elles sont meilleures. Ni qu’il faut les appliquer. J’indique simplement qu’elles existent.

Comprendre pourquoi un prof quelque part, un ordinateur personnel, un mot de passe volé. Et au bout du fil, ton avis d’imposition. Oui pourquoi ? Aujourd’hui, on parle des ponts. Et donc d’y mettre des barrières. Comme cela aurait du être fait depuis longtemps.

Un million d’agents sur le même réseau

Il s’appelle le RIE¹. Autrement dit, le Réseau Interministériel de l’État. Décidé en 2011, en service depuis 2013. Sa mission ? Relier les administrations entre elles. Toutes, précisément. Vertige des chiffres. Un million d’agents. Quatorze mille sites. Des brigades de gendarmerie aux phares maritimes. De plus, quatre centres de données portent la colonne vertébrale, et les baies sont posées dans treize centres appartenant à sept ministères. Pour faire tourner ça ? Plus de cinquante personnes. Dont vingt-cinq à Rennes, où siège la supervision.En 2023, un responsable du réseau confiait par ailleurs à LeMagIT une phrase que je te livre telle quelle. « Nous avons en moyenne une attaque d’envergure par semaine et qui est sous contrôle. » Sous contrôle. Retiens bien le mot. Mais là, c’était en 2023. Mais depuis ? 

Maintenant, une question bête. Comment ce réseau est-il cloisonné ? Concrètement, quels filtres entre le ministère A et le ministère B ? J’ai cherché. Sérieusement. Cela dit, la DINUM ne le publie pas. L’ANSSI non plus. Certes, la fiche officielle parle de souveraineté, de résilience, de blocage DNS. Du cloisonnement entre ministères, en revanche, pas un mot. De fait, le réseau qui relie un million d’agents a une architecture que personne ne décrit publiquement. C’est peut-être normal. C’est même peut-être prudent. Reste que ça complique un peu le débat.

Comment on passe d’un prof à ton avis d’imposition

De manière indirecte, on peut imaginer ce réseau. Grâce à une note émanant du Sénat.  Je ne dis pas qu’on va savoir comment il est architecturé. Non, pas de secrets dévoilés. Mais plutôt comment il fonctionne quand on s’est identifié une première fois. Cela est donc possible grâce à la note de la commission des finances du Sénat. Elle est datée du 4 septembre 2026. Donc toute récente. Signée de Claude Raynal et Jean-François Husson. Elle est confidentielle. Cela dit, elle a fuité.

Voici le chemin emprunté par des voleurs, comme elle le décrit. 

D’abord, un compte compromis. Celui d’un agent de l’Éducation nationale. Son mot de passe avait été « dérobé par des logiciels malveillants présents sur leurs équipements personnels ». En clair, un voleur de mots de passe² posé sur un ordinateur perso. Jusqu’à là rien de particulier. Du courant, je dirais. Ensuite, le pont. Pas de contrôle. Rien. Pas de barrières qui dit “Oh monsieur le professeur, ou allez vous ?” Rien. Comme c’est open-bar, avec ce compte, les pirates entrent désormais sur le réseau interministériel. 

Puis le rebond. De là, ils utilisent en revanche des accès volés d’agents du fisc. Direction un portail administratif³, et derrière lui l’application « e-contact ». Enfin, la sortie. Bref, les données de 678 000 particuliers et professionnels. Ta déclaration fiscale. Comme de ton patron peut-être. Ouvert à tous les vents. Du moins accessible aux voleurs. 

Vient le détail qui pique. Cette application n’avait pas de double authentification⁴. Les sénateurs le notent d’ailleurs sans ménagement. Pas de dispositif, « alors même que les données accessibles étaient couvertes par le secret fiscal ». Donc, c’est open-bar. Le mot est de moi. Le constat est d’eux. En général, j’ai dit en général, ils ne disent pas de bêtises. Mieux. Ou pire. Un autre compte a servi : celui d’un géomètre-expert. Un prestataire privé. Résultat, le malfaisant a ouvert les données cadastrales de 434 564 foyers. Un prof. Un géomètre. Tu commences à voir le motif ? 

Ce n’est pas la première fois, et on le savait

Aller, un simple rappel. Car, il est important de s’en souvenir. Décembre 2025. Ministère de l’Intérieur. Fuite de données. L’enquête établit alors le chemin. Les pirates étaient là encore passés par l’accès d’un fonctionnaire du ministère de l’Agriculture. Et avant lui, par son ordinateur et sa boîte mail personnels. Relis la phrase précédente. Puis relis la section d’avant. Agriculture vers Intérieur. Éducation nationale vers Finances. À chaque fois un ordinateur personnel. Àvec un compte légitime. À chaque fois un rebond. Neuf mois d’écart. Cette technique n’avait rien d’inédit en juin 2026. Elle était documentée. Enquêtée. Au fond, connue.

Les sénateurs pointent par ailleurs la cause de fond, et elle est presque banale. Les aménagements du Covid n’ont jamais été refermés. Les canaux de connexion « se sont multipliés, notamment durant la crise sanitaire, sans avoir ensuite été coupés ». Ainsi, les agents gardaient l’autorisation de se connecter depuis leur matériel perso. Messagerie, agenda, logiciels de ressources humaines. Des applications « considérées comme moins sensibles ». Ce sont leurs mots.  Moins sensibles. Sauf qu’elles ouvrent une session. Or une session ouvre un réseau. Et ? Ben rien, on a fait comme si !

L’ANSSI avait écrit la réponse. En juin 2025.

À ce stade, il faut que je te montre un document. Nous sommes le 20 juin 2025. L’ANSSI publie un guide sur le modèle Zero Trust⁵. Soit quatorze mois avant l’attaque. Quatre passages en tout, et tu vas comprendre pourquoi je m’énerve. Juste un peu.  Sur les clés et les mots de passe, d’abord.  Il est écrit : « Une session pouvant cependant être usurpée, le niveau de confiance initialement accordée à une authentification se dégrade dans le temps. » Autrement dit, une clé ouvre une session. Elle ne la protège pas.

Deuxième point, le réseau. « L’entité doit cloisonner son réseau de manière logique ou physique. Cette segmentation reste nécessaire. » Puis la tentation de tout miser sur l’identité. Le Zero Trust « ne doit en aucun cas être vu comme un remplacement d’une défense périmétrique ». Vient le meilleur. « Les demandes d’accès doivent être contrôlées avec la même attention quelles que soient leurs origines. » Qu’elles viennent de l’intérieur ou de l’extérieur, précise le guide.

Tu la vois, la phrase ? C’est exactement l’histoire du prof. Ou du spécialiste de l’agriculture. Ce compte arrivait pourtant par le réseau de l’État. Il était par conséquent « à l’intérieur ». Du coup, il a été traité comme tel. L’agence pose même un prérequis avant tout déploiement. Il tient en six mots, à savoir « une maturité forte sur la thématique de la détection ». Sauf que le fisc a coupé les accès, lu ses journaux, et conclu qu’il n’y avait pas eu de vol. Bercy l’a appris le 12 août. Par le pirate.Quand tu sais ce que le pirate a trouvé dans des boîtes mail de policiers. Un mot de passe échangé en clair entre deux agents. Reconnu par le ministre de l’Intérieur lui-même, qui parle d’une « vraie difficulté » d’hygiène numérique dans son ministère. On peut se demander si un jour cette maturité forte existera. Me vient cette question : comment sensibiliser des agents de l’État, quand eux-mêmes, en tant que citoyens, ne sont pas sensibilisés à la sécurité de leurs données ? Pourquoi je suis si affirmatif ? Car si cela avait été le cas, jamais ils n’auraient échangé ces données. 

Finalement que l’agent de l’Etat, communique ses mots de passe par courrier électronique, ce n’est pas lui le responsable. A t-il été formé à la protection des données ? Au danger de communiquer telle ou telle information ? Lui a t-on expliqué que l’hygiène sécuritaire des données passe par des protocoles bien strictes ? A-t-il eu de manière régulière des formations avec contrôle sur l’importance d »utiliser de manière stricte les outils informatiques mis à sa disposition ? La réponse je la connais déjà.

Dix axes. Zéro sur l’architecture.

Passons au document qui fâche. Le 9 avril 2026, l’État publie sa feuille de route de sécurité numérique pour 2026-2027. C’est précisément celle que REACTIV, le nouveau dispositif d’urgence de l’ANSSI, promet d’« accélérer ». Elle contient dix axes. Je te les donne. Surtout, ne survole pas la lecture de ces termes. Ils sont trop importants. Ils permettent de comprendre les axes que va mettre en place l’ANSSI.

Gouvernance. Homologation des systèmes. Maîtrise des prestataires. Maintien en condition de sécurité. Sécurisation des services Internet. Authentification et accès. Administration des systèmes. Supervision et réponse à incident. Plans de reprise. Enfin, cryptographie post-quantique.

Cherche le cloisonnement. Ou la segmentation. Cherche une revue des interconnexions entre ministères. Cherche le mot RIE. Le Réseau Interministériel de l’Etat

Rien. Nulle part.

Quant au Zero Trust, il y figure une fois. Une seule, en effet. Et réduit à l’identification, l’authentification, l’autorisation. Autrement dit, exactement l’usage contre lequel le guide de juin 2025 mettait en garde.

Je disais donc que le 9 avril 2026, l’ANSSI publiait la feuille de route de sécurité numérique de l’État. Un exercice annuel. À cette date, l’Intérieur a déjà été percé par le compte d’un fonctionnaire de l’Agriculture, et la DGFiP vient de reconnaître, sept semaines plus tôt, que quelqu’un a « usurpé les identifiants d’un fonctionnaire ». Le but ? Vol de 1,2 million de comptes bancaires. Six jours plus tard, l’ANTS “perdait” 11,7 millions de comptes.

Alors qu’est-ce que la feuille de route oppose à tout ça ? La même chose qu’avant ces vols. Et la même chose après. De l’authentification multifacteur généralisée. Une fédération d’identités. De la gestion du cycle de vie des accès, également. Ainsi que des outils de détection. Tout cela est utile. Tout cela est nécessaire. Toutefois, tout cela traite qui entre. Pas où il circule après.Tu la vois la différence ?  Posons la question franchement. Les clés matérielles promises aux agents empêcheront-elles un rebond entre ministères ? Non. Certes, elles rendront le vol de mot de passe plus dur. En revanche, elles ne touchent pas au pont. Le pont, lui, reste debout. Et tout le monde peut l’emprunter. À l’aise. Blaize. 

Segmenter, ça veut dire quoi au juste ?

Question légitime. Parce que « segmenter le réseau », ça ne veut rien dire pour toi. Moi non plus, au début. Prenons le cas réel. Aujourd’hui, un compte d’enseignant compromis ouvre une session. Cette session atteint le réseau de l’État. De ce réseau, elle atteint à son tour un portail des Finances. De ce portail, enfin, des données fiscales. Quatre marches. Aucun nouveau contrôle entre elles. Segmenter, c’est casser cette suite. Concrètement, trois gestes. Premier geste, découper. Le réseau cesse d’être une pièce unique. Il devient une série de zones. Concrètement, un compte de l’Éducation nationale vit dans la zone Éducation nationale. Point. Il ne va pas baguenauder, dans la cour d’un autre ministère. 

Deuxième geste, vérifier à chaque porte. Pas seulement à l’entrée du bâtiment. À chaque demande, on revérifie qui tu es et ce à quoi tu as droit. C’est exactement ce que l’ANSSI écrit : contrôler « avec la même attention quelles que soient leurs origines ». Troisième geste, faire sonner. Une tentative refusée ou un franchissement non autorisé doit laisser une trace. Une consultation de dix mille dossiers en une heure aussi.

Ce que ça change ? Le vol du mot de passe reste un incident. Il ne devient pas une fuite nationale. Attention, ce n’est pas gratuit. Cloisonner ralentit les échanges entre administrations. Les sénateurs le disent d’ailleurs eux-mêmes. Il faut chercher « un meilleur équilibre entre la circulation des données et la sécurisation des accès ». Pas supprimer les échanges, donc. Les arbitrer. Mais là, on se tourne vers une commission de commission. Ou personne ne prend réellement ses responsabilités. 

Quatre démocraties ont déjà tranché

On va me dire que c’est facile à écrire. Comme à critiquer. Justement, prenons des points de comparaison. Regardons ailleurs. Et n’hésitons pas à se chausser de bottes de sept lieues.  Commençons par le Royaume-Uni, qui a eu le même réseau que nous. Il s’appelait le Public Services Network. Londres l’a démonté. Motif écrit en 2019 par le responsable du programme : sa conception « est dépassée, coûteuse et difficile à sécuriser dans le monde d’aujourd’hui ». Qu’elle lucidité. Suit une phrase que je te laisse méditer. Ce réseau « ne garantit en rien la sécurité de bout en bout des systèmes du secteur public ». L’ANSSI n’a pas dit la même chose, en son temps ? 

Les États-Unis, eux, ont pris le chemin inverse du nôtre. En janvier 2022, la Maison-Blanche impose une règle aux agences fédérales. La voici : « aucun acteur, système, réseau ou service n’est digne de confiance, qu’il opère à l’extérieur ou à l’intérieur du périmètre de sécurité ». Et la mesure qui compte vraiment : « les systèmes des agences sont isolés les uns des autres ». Échéance donnée, fin de l’exercice 2024. Encore de la lucidité. 

L’Estonie n’a carrément jamais construit de réseau partagé. Ses administrations échangent par un système où « il n’y a ni passerelle ni concentrateur central ». Chacune a son propre serveur d’échange. Les données vont d’un système à l’autre, chiffrées et authentifiées. Elles ne transitent par aucun centre. Résultat, il n’y a pas de pont sur lequel rebondir. 

L’Allemagne, pour finir, a gardé son réseau interministériel. Sauf que son agence de sécurité publie un standard minimal contraignant, qui fixe ce qu’une administration doit respecter pour s’y raccorder. Le détail est classifié. Son existence, non. Récapitulons. Un pays a supprimé le pont. Un autre a imposé l’isolation. Un troisième n’en a jamais bâti. Le quatrième l’a gardé, avec des obligations écrites.

Et nous ? Nous avons le pont, un million d’agents dessus, et pas un axe sur son cloisonnement. Ou alors dans des rapports. Rien d’autre. 

Et le pirate qui ne se vante pas ?

Là, on quitte les faits. Je te préviens : on suppute. Suis-moi quand même, ça vaut le détour. Reprenons le fil. Comment a-t-on appris le vol au fisc ? Pas par une alerte. Ni par un audit. Pas par un journal de connexion. On l’a appris parce que le voleur l’a annoncé. C’est tout.  Mesure bien ça. La détection de la plus grosse fuite fiscale française a reposé sur la vanité d’un garçon de dix-huit ans. Maintenant, imagine. Même intrusion, même compte d’enseignant, même réseau. Même application sans double authentification. Une seule différence : le type se tait. Aucune revendication. Aucun message posté nulle part. Par contre, il se sert. Pour le vendre en douce à un état. Un groupe de malfaisant. Pas dit une mafia. J’oserais pas. 

Que se passe-t-il ? Rien. Absolument rien. La DGFiP coupe deux comptes. Lit avec sérieux ses journaux. Conclut qu’il n’y a pas eu de vol. Passe à autre chose. Exactement ce qu’elle a fait. Posons la vraie question, la seule qui compte. Combien d’intrusions silencieuses faut-il pour qu’on n’en découvre aucune ? Aucune réponse de mon côté. Personne n’en a. Cependant, l’ANSSI décrit le terrain. Elle écrit qu’il est « difficile de détecter et de faire sens de leurs traces dissimulées ». Et que les attaquants se cachent « parmi des flux qui ne sont pas caractérisés comme malveillants ». Bref, ils ressemblent à du trafic normal.

L’agence recense par ailleurs 196 exfiltrations de données  ou vol en 2025, contre 130 l’année précédente. Reste ce passage, sur un groupe étatique nommé Turla. Ses opérateurs auraient récupéré des identifiants d’administrateurs et des « schémas d’architecture réseau, qui pourraient servir aux attaquants dans le cadre de campagnes ultérieures ». Des plans de réseau. Collectés. Pour plus tard. Est-ce à dire qu’il y a quelqu’un dans le réseau de l’État ? Non. On ne le saurait pas, voilà tout.

Si tu es abonné au Patreon de Mychromebook, retrouve un fichier audio en complément de cet article.

Le commandement qu’on recommandait il y a quinze mois

Une dernière pièce, et je te laisse. 18 juin 2025. C’était il y a plus d’un an. Et déjà, tu vas voir la prémonition. La Cour des comptes publiait un rapport sur la réponse de l’État aux cybermenaces. Son constat tenait en une formule : « le pilotage interministériel reste trop flou et inefficace ». Sa recommandation ? Créer un commandement cyber interministériel. Quinze mois plus tard, l’ANSSI lance REACTIV. Un dispositif interministériel, capable d’imposer des mesures aux ministères dans des délais contraints. Soit, à peu de chose près, ce que la Cour réclamait.

Sauf qu’il arrive après. Après deux vols de données au fisc. De ton identité à l’ANTS. Je n’oublie pas l’Éducation nationale. Sans oublier l’Intérieur fin 2025. Mais ce dispositif arrive trop tard. Et il se fait dans l’urgence. Avec tous les risque que cela comporte. Car soyons clairs. Il accélère une feuille de route qui verrouille les portes sans regarder les couloirs. Je ne dis pas que la double authentification ne sert à rien. Elle sert. Je ne dis pas non plus que l’ANSSI se trompe. Au fond, elle a raison, et elle l’a même écrit avant tout le monde. Je dis qu’on répond à la moitié du problème. Et qu’on n’a pas posé l’autre moitié. Celle du passage d’un ministère à un autre. Sous contrôle. 

En 2023, on nous expliquait qu’une attaque d’envergure par semaine, c’était sous contrôle. Trois ans après, un compte d’enseignant a mené jusqu’à ton avis d’imposition. Toujours sous contrôle.

Notes de bas de page :

1. RIE : réseau interministériel de l’État. Infrastructure qui relie entre eux les réseaux informatiques des administrations, gérée par la Direction interministérielle du numérique. Elle permet à un agent d’un ministère d’atteindre des services hébergés par un autre. ↩︎
2. Voleur de mots de passe, ou infostealer. Logiciel malveillant qui collecte les identifiants enregistrés dans un navigateur ou saisis par la victime, puis les revend. L’ANSSI constate « un recours récurrent aux infostealers dans les attaques ayant conduit à des fuites de données » ↩︎
3. Acteurs Publics nomme ce portail ADER et décrit deux chemins distincts : le réseau interministériel avec le compte de l’Éducation nationale, puis ce portail avec des comptes du fisc. Le Monde, lui, écrit seulement « un portail administratif ». Les deux récits sont compatibles, mais le nom n’est confirmé que par une seule source. ↩︎
4. Double authentification, ou 2FA. Elle exige une seconde preuve en plus du mot de passe : un code, une application, ou une clé physique branchée en USB. L’ANSSI et la CNIL, elles, parlent d’authentification multifacteur, ou MFA : le même principe, mais à deux facteurs ou plus. Dans les deux cas, ça bloque un mot de passe volé. Ça ne bloque pas une session déjà ouverte. ↩︎
5. Zero Trust : modèle de sécurité qui refuse d’accorder une confiance automatique à un utilisateur du seul fait qu’il se trouve déjà à l’intérieur du réseau. Chaque demande d’accès est vérifiée, quelle que soit sa provenance. ↩︎