Impôts, ANTS, Éducation nationale piratés : vos données ont-elles fuité, et qu’est-ce que ça change pour votre PME ?

Entre avril et août 2026, au moins six systèmes d’information publics français ont fait l’objet d’une intrusion ou d’une fuite de données confirmée : France Titres (l’ex-ANTS, 11,7 millions de comptes), ÉduConnect, la messagerie sécurisée de l’État Tchap, l’Insee (12 800 agents), la Direction générale des Finances publiques (678 000 contribuables et professionnels) et le ministère de l’Éducation nationale. Le duo de pirates ZeroBytes revendique à lui seul les deux derniers incidents, ceux visant le fisc et l’Éducation nationale, à quelques jours d’intervalle mi-août.

Si vous avez reçu, ou craignez de recevoir, un email ou un courrier vous informant que vos données ont pu fuiter, cet article fait le point sur ce qui est aujourd’hui confirmé par les organismes concernés, ce qui n’est encore qu’une revendication de pirates à prendre avec prudence, les réflexes à adopter dans les prochains jours, et ce que cette vague sans précédent révèle sur la sécurité numérique de votre propre PME.

Chronologie : six cyberattaques confirmées contre l’État en quatre mois

Depuis le printemps 2026, la liste des administrations touchées s’allonge presque chaque mois. Voici, dans l’ordre chronologique des intrusions, les six incidents aujourd’hui confirmés par les organismes concernés ou par l’État, avec la distinction entre les chiffres officiels et les revendications de pirates encore non vérifiées.

Ces six incidents ne sont que la partie émergée. Selon plusieurs médias spécialisés en cybersécurité, plus de 300 services publics auraient été compromis depuis le début de l’année 2026, et le Premier ministre Sébastien Lecornu a reconnu fin avril un rythme moyen de trois vols de données par jour en France. Du côté de l’ANSSI, le nombre d’incidents traités est resté stable en 2025 (1 366 contre 1 361 en 2024), mais le volume de données exfiltrées lors de ces incidents a bondi d’environ 50 % sur la même période, ce qui traduit des attaques moins nombreuses mais nettement plus efficaces une fois qu’elles aboutissent.

Impôts (DGFiP) : ce qui est confirmé sur le piratage de 678 000 contribuables

L’intrusion dans le système d’information de la Direction générale des Finances publiques a eu lieu en juin et juillet 2026, selon le mode opératoire suivant : l’usurpation des identifiants de deux comptes légitimes, celui d’un agent de la DGFiP et celui d’un tiers habilité à accéder au système. Le pirate agissant sous le pseudonyme ZeroBytes a revendiqué publiquement le vol le 12 août, évoquant 678 438 lignes de données fiscales et annonçant leur mise en vente sur le dark web. Bercy a confirmé l’incident deux jours plus tard, le 14 août, chiffrant à 678 000 le nombre de particuliers et de professionnels concernés.

Les données confirmées comme exposées comprennent, pour les particuliers, le nom, le prénom, le quotient familial, le revenu fiscal de référence et le taux de prélèvement à la source. Le parquet de Paris a ouvert une enquête. À titre de comparaison, la DGFiP indique avoir essuyé 6 972 tentatives de cyberattaques rien qu’en 2025, ce qui donne une idée du volume d’attaques qu’une administration de cette taille doit repousser en continu, et souligne à quel point cette intrusion réussie constitue une exception plutôt que la norme.

Face à l’ampleur de l’incident, le ministre chargé des Comptes publics, David Amiel, a présenté des excuses publiques, déclarant que « ce qu’il s’est passé est inacceptable pour les Français », et reconnu l’existence d’une dette technique importante au sein des systèmes d’information de l’État, un point sur lequel nous revenons plus loin dans cet article. Depuis le 17 août, la DGFiP prévient individuellement par email les contribuables concernés afin de les mettre en garde contre des tentatives d’escroquerie ciblées exploitant ces données.

France Titres (ex-ANTS) : retour sur la fuite de 11,7 millions de comptes

L’Agence Nationale des Titres Sécurisés, rebaptisée France Titres, gère les démarches de permis de conduire, passeport, carte d’identité et immatriculation des véhicules pour des millions de Français. La cyberattaque contre sa plateforme, détectée le 15 avril 2026 et rendue publique le 20 avril, a conduit le ministère de l’Intérieur à reconnaître l’exposition de 11,7 millions de comptes, quand le pirate revendiquant l’attaque, sous le pseudonyme « breach3d », en annonçait 18 à 19 millions, un écart qui n’a pas été confirmé côté officiel. Un suspect âgé de 15 ans a été interpellé le 25 avril 2026.

Les données exposées comprennent l’identifiant de connexion, la civilité, le nom, le prénom, l’adresse électronique, la date de naissance et l’identifiant unique du compte, et pour une partie des usagers, l’adresse postale, le lieu de naissance et le numéro de téléphone. Nous avions déjà détaillé cet incident dans notre article sur la sécurité des API pour PME : la faille technique à l’origine de cette fuite est une vulnérabilité d’autorisation de type IDOR / BOLA, où il suffisait de modifier un identifiant dans une requête pour accéder au profil d’un autre usager, sans qu’aucun contrôle ne vérifie les droits d’accès réels. Ce même type de faille, loin d’être propre à l’administration, reste l’une des vulnérabilités les plus fréquentes dans les logiciels utilisés par les PME françaises.

Éducation nationale : ce qui est confirmé, ce qui n’est qu’une revendication

C’est ici que la prudence factuelle s’impose le plus. Le ministère de l’Éducation nationale a rendu public le 31 juillet 2026 un accès frauduleux survenu dans la nuit du 25 juillet, obtenu par l’usurpation d’un compte professionnel, et visant le système d’information dédié à la formation des personnels. Dès l’alerte de son centre opérationnel de sécurité le 26 juillet, le ministère a suspendu les accès externes au système concerné, activé une cellule de crise, déposé plainte, et saisi à la fois l’ANSSI et la CNIL. Cette partie des faits est confirmée directement par le ministère.

Le 17 août, le groupe ZeroBytes, déjà à l’origine de l’attaque contre la DGFiP, a revendiqué le vol de 346 millions de lignes de données réparties dans environ 2 500 fichiers représentant 43 gigaoctets, couvrant plus de vingt ans d’historique, du début des années 2000 à juillet 2026, et incluant selon eux les données de 1,22 million d’élèves, 4,35 millions d’identifiants d’enseignants et 602 000 comptes académiques. Or, le 18 août, le ministère indiquait poursuivre ses investigations avec l’ANSSI pour déterminer l’ampleur exacte de la fuite : à cette date, seule l’intrusion elle-même et une exfiltration de données à un périmètre encore non déterminé étaient confirmées, pas l’ampleur précise annoncée par les pirates.

Cette distinction n’est pas un détail technique : elle conditionne directement le niveau de vigilance réellement justifié pour les personnes concernées. Les pirates ZeroBytes, qui se présentent comme un duo agissant depuis la France, ont justifié leurs actions dans des échanges avec des journalistes par une formule lapidaire, résumant leur mode opératoire en expliquant que le service visé était simplement mal sécurisé. Sur le terrain, la conséquence la plus concrète pour les usagers a été la suspension de services informatiques dans plusieurs académies à une semaine de la rentrée scolaire, plaçant certains établissements en grande difficulté administrative.

Que faire si vous êtes concerné : la checklist immédiate

Que vous ayez reçu une notification officielle ou que vous vous demandiez simplement si vous êtes concerné, les réflexes à adopter restent les mêmes, qu’il s’agisse de l’incident DGFiP, France Titres ou Éducation nationale.

• Ne cliquez jamais directement sur les liens d’un email ou d’un SMS vous informant d’une fuite de données, même s’il semble provenir de la DGFiP ou d’un autre organisme : vérifiez systématiquement l’adresse exacte de l’expéditeur et privilégiez l’accès direct au site officiel (impots.gouv.fr, education.gouv.fr) plutôt qu’un lien reçu par message
• Ne communiquez jamais vos coordonnées bancaires, codes ou mots de passe par email, SMS ou téléphone : aucune administration ne demande ce type d’information par ces canaux
• Surveillez régulièrement vos comptes bancaires et signalez sans délai à votre banque toute opération inconnue ou inhabituelle
• Changez les mots de passe réutilisés sur vos comptes personnels et professionnels, en particulier si un identifiant ou un email exposé dans l’une de ces fuites sert aussi à vous connecter ailleurs
• Maintenez une vigilance dans la durée : contrairement à un mot de passe que l’on peut changer en quelques secondes, un revenu fiscal de référence ou une date de naissance reste exploitable pendant des années par un fraudeur, la prudence ne doit donc pas se limiter aux premiers jours suivant l’annonce
• Signalez toute utilisation frauduleuse de vos données à la CNIL et déposez plainte auprès des services de police ou de gendarmerie si vous constatez une tentative d’usurpation d’identité

Pour les dirigeants de PME, un point mérite une attention particulière : l’incident DGFiP concerne à la fois des particuliers et des professionnels, ce qui signifie que les données liées à votre activité (revenu professionnel, taux de prélèvement à la source de votre entreprise) peuvent figurer dans le périmètre exposé au même titre que vos données personnelles.

Pourquoi l’État se fait autant pirater : la dette technique, un mal aussi partagé par les PME

Un point commun frappant relie presque tous les incidents confirmés cette année : aucun ne repose sur une prouesse technique de niveau étatique. France Titres a été compromis via un défaut de contrôle d’autorisation basique, la DGFiP et l’Éducation nationale via l’usurpation de comptes utilisateurs légitimes. Le vecteur qui revient sur l’ensemble des cas confirmés n’est donc pas une attaque sophistiquée, mais l’exploitation d’un accès qui aurait dû être mieux protégé ou mieux cloisonné.

Le gouvernement lui-même reconnaît ce constat : au-delà de ses excuses publiques, le ministre David Amiel a explicitement évoqué une dette technique importante au sein des administrations, résultant de systèmes d’information parfois anciens, mal intégrés entre eux, et insuffisamment mis à niveau au regard des menaces actuelles. Le Premier ministre Sébastien Lecornu a par ailleurs chargé l’ANSSI de créer une nouvelle cellule dédiée pour renforcer la réponse de l’État face à ces attaques.

Cette dette technique n’est pas propre à l’administration : elle se retrouve, sous une forme différente, dans la grande majorité des PME françaises, qui font tourner des logiciels métiers hérités, des accès jamais révoqués après un départ, ou des mots de passe partagés entre plusieurs collaborateurs faute de temps pour déployer un outil dédié. Ce constat rejoint directement les chiffres détaillés dans notre article sur les raisons pour lesquelles les PME sont les cibles préférées des hackers. Un premier diagnostic gratuit via l’Audit Cyber PME de SIAC Media permet d’objectiver rapidement où se situe votre propre dette technique avant qu’elle ne soit exploitée.

Un dernier point mérite d’être précisé pour rester intellectuellement honnête : ces six incidents concernent des systèmes exploités par l’État français lui-même, hébergés en France. Ils rappellent qu’une infrastructure souveraine protège contre la réquisition de données par une puissance étrangère au titre d’une loi comme le CLOUD Act américain, mais qu’elle ne dispense en aucun cas des fondamentaux de contrôle d’accès : un compte mal protégé reste un compte mal protégé, qu’il soit hébergé à Paris, en Virginie ou en Irlande. La souveraineté numérique, détaillée dans notre guide anti-CLOUD Act pour PME, réduit un risque juridique précis, elle ne remplace jamais l’hygiène de sécurité de base. Cette même logique de facteur humain justifie qu’une PME encadre par écrit les usages numériques de ses équipes, y compris ceux de l’intelligence artificielle : le générateur de charte IA de SIAC Media permet de poser gratuitement ce cadre.

Ce que cette vague de cyberattaques change concrètement pour votre PME

Au-delà de l’inquiétude légitime pour vos données personnelles, cette séquence a trois implications concrètes pour un dirigeant de PME.

La première est directe : si l’État, avec les moyens de l’ANSSI et des équipes de sécurité dédiées, se fait piéger à ce rythme par des attaques reposant sur des identifiants compromis plutôt que sur des exploits sophistiqués, une PME disposant de ressources bien plus limitées ne peut pas se permettre de négliger ces mêmes fondamentaux : gestion rigoureuse des mots de passe, révocation immédiate des accès en cas de départ, et authentification à plusieurs facteurs sur les comptes sensibles.

La deuxième concerne votre exposition indirecte : si votre PME échange des données avec l’administration, que ce soit pour vos démarches fiscales professionnelles, l’obtention d’un titre sécurisé pour un véhicule d’entreprise ou, à partir de 2026-2027, la transmission de vos factures électroniques via une plateforme agréée comme détaillé dans notre article sur la facturation électronique obligatoire, ces incidents rappellent que la sécurité de vos propres échanges de données mérite le même niveau d’attention que celle de vos partenaires publics.

La troisième est méthodologique : si votre PME devait un jour subir un incident comparable, savoir immédiatement qui prévenir (CNIL, ANSSI, assurance, forces de l’ordre) et dans quel ordre fait souvent la différence entre un incident maîtrisé et une crise qui s’aggrave. Notre article Qui prévenir en cas de cyberattaque détaille cette procédure pas à pas, et notre étude sur combien coûte réellement une cyberattaque à une PME permet de mesurer ce qui est concrètement en jeu financièrement.

Conclusion

Six systèmes publics compromis en quatre mois, un ministre qui présente des excuses publiques, un Premier ministre qui reconnaît trois vols de données par jour en moyenne dans le pays : l’été 2026 restera comme un révélateur brutal de la dette technique accumulée par une partie de l’administration française. Mais le détail de ces incidents montre surtout que la cause n’est presque jamais une prouesse technique hors de portée d’une PME de se défendre : c’est, encore et toujours, un accès mal protégé, un compte mal cloisonné, un mot de passe réutilisé. Si vous êtes concerné personnellement par l’une de ces fuites, la vigilance doit rester active dans la durée, pas seulement dans les jours suivant l’annonce. Et si vous dirigez une PME, cette séquence est l’occasion d’un diagnostic honnête : votre propre dette technique est-elle plus solide que celle que l’État vient de découvrir à ses dépens ?

Pour objectiver votre exposition actuelle, l’outil gratuit Audit Cyber PME de SIAC Media permet d’obtenir un diagnostic en quelques minutes, et notre guide complet de la cybersécurité pour PME en 2026 ainsi que notre panorama complet des technologies IA en cybersécurité pour PME approfondissent chacun des sujets abordés ici pour structurer durablement la protection de votre entreprise.