Cyberattaques : la France 2e pays mondial des fuites, Lecornu lâche 200 millions

Le chiffre est tombé sans bruit, noyé dans le flot des annonces gouvernementales. Au premier trimestre 2026, 23,5 millions de comptes ont été compromis en France ^[1], sur un total mondial de 210,3 millions ^[2]. La progression atteint 109 % par rapport au dernier trimestre 2025 ^[3], plaçant le pays au deuxième rang mondial des nations les plus touchées par les fuites de données ^[4], derrière les seuls États-Unis et leurs 60,3 millions de comptes piratés ^[5]. Rapportée à la population, la France affiche le taux le plus élevé au monde: 35 164 violations pour 100 000 habitants ^[6].

LES ENJEUX

Vulnérabilité technique systémique

Une faille IDOR « basique », signalée mais ignorée pendant des mois, a suffi à exposer près de 12 millions de comptes ANTS [15] [25].

Sous-investissement chronique

Les budgets cyber ministériels oscillent entre 1 % et 5 %, contre un seuil minimal recommandé de 10 % [55] [56].

Fracture gouvernementale

La ministre du Numérique Anne Le Hénanff juge publiquement les 200 millions de Lecornu insuffisants, quatre jours après l'annonce [53].

Dette de gouvernance

Pour les experts, le problème dépasse la dette technique: c'est le pilotage interministériel qui est défaillant depuis des années [63] [65].

Position mondiale dégradée

La France passe au 2e rang mondial des fuites au Q1 2026, avec le taux par habitant le plus élevé au monde: 35 164 pour 100 000 [6].

L’étude provient de Surfshark ^[7], spécialiste européen du VPN et de la sécurité, qui mesure les comptes compromis trimestre par trimestre. À l’échelle mondiale, le rythme s’accélère: 1 623 comptes piratés chaque minute au premier trimestre 2026 ^[8], contre 1 329 au trimestre précédent ^[9]. La hausse mondiale, mesurée différemment, s’établit à 22 % entre les deux périodes ^[10].

Une faille « basique » à 12 millions de victimes

Le déclencheur visible de la réponse politique porte un nom: ANTS. Le 15 avril 2026 ^[11], le portail de l’Agence nationale des titres sécurisés ^[12], qui gère cartes d’identité, passeports et permis de conduire ^[13], subit une intrusion massive. Selon le ministère de l’Intérieur ^[14], les données de près de 12 millions de particuliers et professionnels ont été touchées ^[15]: noms, prénoms, dates de naissance, adresses électroniques ^[16].

L’attaquant agit sous le pseudonyme breach3d ^[17]. Il a 15 ans ^[18]. Sa technique relève d’un manuel d’introduction à la cybersécurité: une faille de type IDOR ^[19], Insecure Direct Object Reference, qui consiste à modifier un identifiant dans l’URL pour accéder aux comptes d’autres utilisateurs ^[20]. En automatisant le procédé, l’adolescent a aspiré des millions de profils sans mot de passe ^[21]. Pour Baptiste Robert ^[22], hacker éthique, la faille est « basique mais redoutable quand elle n’est pas corrigée » ^[23].

Or elle était connue. Léo Gonzalez ^[24], cofondateur de Devensys Cybersecurity, affirme avoir « remonté déjà deux failles de sécurité critiques qui n’ont jamais été corrigées » à l’ANTS ^[25]. Une des vulnérabilités était encore active le 22 avril 2026 ^[26], une semaine après la découverte de l’intrusion. Mieux: en septembre 2025 ^[27], l’agence avait formellement démenti la mise en vente de données similaires sur le dark web ^[28], assurant que ses systèmes faisaient l’objet de « mesures de sécurité renforcées » ^[29].

Cadre légal: ce que dit le Code pénal

L’article 323-1 du Code pénal sanctionne l’accès ou le maintien frauduleux dans un système de traitement automatisé de données. La peine de référence atteint trois ans d’emprisonnement et 100 000 euros d’amende, mais elle est portée à cinq ans et 150 000 euros lorsque le système est mis en œuvre par l’État - ce qui couvre directement le cas de l’ANTS. L’article 226-17 du même code prévoit en miroir, pour le responsable de traitement défaillant en matière de sécurité des données personnelles, jusqu’à cinq ans d’emprisonnement et 300 000 euros d’amende. À cela s’ajoute le règlement européen RGPD, dont l’article 32 impose une obligation de sécurité « adaptée au risque » et l’article 83 expose les manquements à des amendes pouvant atteindre 4 % du chiffre d’affaires annuel mondial.

La minorité de l’auteur présumé déplace en revanche le dossier hors du droit commun. Depuis l’entrée en vigueur du Code de la justice pénale des mineurs, issu de l’ordonnance du 11 septembre 2019, les adolescents poursuivis relèvent d’une procédure dédiée, avec primauté de l’éducatif sur le répressif. Un mineur de 15 ans encourt, en pratique, des peines réduites de moitié, et le procès se tient devant un tribunal pour enfants.

200 millions, six jours trop tard

Le 30 avril 2026 ^[30], Sébastien Lecornu ^[31] se rend à l’ANTS et annonce un plan d’urgence. 200 millions d’euros ^[32], prélevés sur les crédits de France 2030 ^[33], débloqués « dès la semaine prochaine ». Une nouvelle « autorité numérique de l’État » ^[34], née de la fusion entre la DINUM et la DITP ^[35], placée directement auprès du Premier ministre. Les amendes de la CNIL, qui ont atteint 500 millions d’euros en 2025 ^[36], seront affectées à un fonds de modernisation des infrastructures numériques ^[37]. Audits flash dans chaque ministère ^[38], outils EDR et chiffrement post-quantique ^[39], objectif de 5 % des budgets numériques ministériels consacrés au cyber dès 2027 ^[40].

« C’est le casse du siècle qui a lieu tous les mois », résume le Premier ministre ^[41]. Depuis janvier 2026, la France enregistre en moyenne trois vols de données par jour ^[42], voire trois à quatre selon Matignon ^[43]. Lecornu reconnaît que « les fonctions numériques des ministères ont été délaissées budgétairement, accumulant une dette technique considérable » ^[44].

La feuille de route déjà rédigée - et déjà ignorée

Le détail dérange parce qu’il met le gouvernement face à sa propre injonction. Le 9 avril 2026 ^[45], soit six jours avant l’intrusion à l’ANTS, Sébastien Lecornu avait diffusé une feuille de route imposant à tous les ministères des mesures d’urgence en matière de sécurité numérique ^[46]: identification des systèmes à forts enjeux ^[47], traitement des systèmes obsolescents ^[48], généralisation de l’authentification multi-facteurs ^[49]. L’ANTS, opérateur sous tutelle directe du ministère de l’Intérieur, manipule des données d’identité d’une sensibilité maximale: elle entrait sans ambiguïté dans le périmètre de ces mesures.

Or la faille IDOR exploitée par breach3d ne nécessitait pas l’authentification multi-facteurs pour être colmatée - une simple validation côté serveur des droits d’accès suffisait. Et elle avait été signalée. Léo Gonzalez affirme avoir remonté deux vulnérabilités critiques restées sans correctif ^[25]; l’une d’elles était encore active une semaine après l’intrusion ^[26]. Aucune source ne précise qui, dans la chaîne de responsabilité - ANTS, ministère de l’Intérieur, DINUM - était chargé de transposer la feuille de route du 9 avril aux opérateurs sous tutelle, ni quel calendrier d’application avait été retenu. Cette zone grise est précisément ce que Lecornu désigne désormais comme « désorganisé et donc vulnérable » ^[50].

La fracture gouvernementale

Le 4 mai 2026 ^[51], quatre jours après l’annonce, Anne Le Hénanff ^[52], ministre déléguée chargée de l’Intelligence artificielle et du Numérique, intervient sur France Inter. Sa formule fait mouche: la somme « ne suffira pas » ^[53]. Une simple « mesure d’urgence » ^[54] face à l’ampleur des menaces.

La séquence est inhabituelle. Une ministre déléguée contredit publiquement, à quatre jours d’intervalle, le chef du gouvernement dont elle dépend. Le désaccord n’est pas un dérapage: il porte sur le périmètre budgétaire et il est étayé. Les budgets ministériels consacrés à la protection informatique oscillent « de 1 %, ce qui demeure extrêmement faible, à 5 %, ce qui n’est guère plus suffisant » ^[55]. Le seuil minimal recommandé internationalement est de 10 % d’un budget informatique ^[56]. Le Premier ministre l’a lui-même reconnu lors de sa visite à l’ANTS: la plupart des entreprises françaises consacrent environ 10 % de leur budget global aux infrastructures numériques, « l’État en est davantage proche de 1 % que des 10 % » ^{[57] [58]}.

La fracture renvoie à une question de gouvernance. Le portefeuille du Numérique relève d’une ministre déléguée - rang politique inférieur - tandis que la nouvelle « autorité numérique de l’État » est placée directement sous l’autorité du Premier ministre ^[59]. Anne Le Hénanff perd, dans la fusion, une partie de la tutelle qu’exerçait son périmètre sur la DINUM. Le démenti public sur France Inter peut se lire à la fois comme un constat technique - les 200 millions ne couvrent pas le retard accumulé - et comme un repositionnement institutionnel, l’architecture interministérielle du numérique se redessine sans elle au centre.

« Il convient de créer une infrastructure IT de l'État standardisée, car actuellement tout demeure désorganisé et donc vulnérable. »

Sébastien Lecornu, Premier ministre

30 avril 2026

« Cette somme demeure insuffisante. Les vulnérabilités informatiques évoluent quotidiennement, les cyberattaquants exploitent sans cesse de nouvelles failles. »

Anne Le Hénanff, ministre déléguée au Numérique

4 mai 2026

Le marché français accuse un déficit de plus de 15 000 spécialistes en cybersécurité ^[60]. Notre analyse de l’intervention d’Anne Le Hénanff revient en détail sur la mise en cause publique du Premier ministre.

Combien manque-t-il vraiment? L’arithmétique du retard

L’angle « est-ce suffisant » se laisse approcher chiffre à chiffre. Lecornu reconnaît que l’État consacre environ 1 % de son budget à ses infrastructures numériques quand la cible est 10 % ^{[57] [58]}. À cadre constant, atteindre la cible suppose donc de multiplier l’effort par dix. Sa propre ministre fixe une fourchette plus précise pour le seul cyber: 1 à 5 % aujourd’hui, 10 % recommandés ^{[55] [56]}. L’écart est d’au moins un facteur deux, plus probablement quatre à cinq pour les ministères les moins bien dotés.

Le plan Lecornu fixe d’ailleurs lui-même la cible intermédiaire à 5 % des budgets numériques ministériels d’ici 2027 ^[40] - soit la borne haute de la situation actuelle. Les 200 millions débloqués sur France 2030 ^[33] constituent donc, dans la logique du gouvernement, un acompte d’amorçage destiné à atteindre la moitié du seuil international. Pour combler intégralement le retard, le rythme devrait être maintenu sur plusieurs exercices. C’est précisément ce qu’Anne Le Hénanff souligne quand elle qualifie l’enveloppe de « mesure d’urgence » ^[54]: suffisante pour réagir, insuffisante pour rattraper.

Le silence de la CNIL

La fuite ANTS expose des données personnelles directement identifiantes - noms, prénoms, dates de naissance, adresses électroniques ^[16] - pour près de 12 millions de personnes ^[15]. Le RGPD, en son article 33, impose au responsable de traitement de notifier l’autorité de contrôle dans les 72 heures suivant la connaissance de la violation. La CNIL est l’autorité compétente. Aucune des sources consultées ne précise toutefois si la notification réglementaire a été effectuée dans les délais, ni si la commission a ouvert une procédure de contrôle sur l’ANTS. Dans le plan Lecornu, la CNIL apparaît exclusivement comme pourvoyeuse de financement - ses 500 millions d’euros d’amendes 2025 ^[36] alimenteront le fonds de modernisation ^[37] - jamais comme régulateur saisi de l’incident.

L’angle mort: une « dette de gouvernance »

Pour Christophe Mazzola ^[61], RSSI, directeur pratique GRC et fondateur de Cyber Academy, le diagnostic officiel passe à côté du sujet. Ce que la feuille de route de Matignon qualifie de simple « dette technique » ^[62] relève en réalité d’une « dette de gouvernance » ^[63]. La nuance est lourde: un défaut de pilotage ne se résout pas avec un chèque.

Le rapport de la Cour des comptes du 10 juillet 2024 ^[64] avait pourtant tiré la sonnette d’alarme: les repositionnements successifs de la DINUM ont « altéré sa capacité à piloter une politique interministérielle à fort impact » ^[65]. Sur le terrain, le résultat est tangible. Nubo, le cloud souverain de l’État, a coûté 55,8 millions d’euros entre 2016 et 2024 ^[66] mais reste utilisé à plus de 90 % par la seule DGFiP ^[67]. Sur 450 produits numériques étudiés ou développés par les incubateurs publics ^[68] pour 172 millions d’euros depuis 2019 ^[69], seuls 24 ont atteint le statut de service à impact national ^[70]. Des logiciels datant des années 1990 alimentent encore certains services essentiels, notamment au ministère de l’Éducation nationale ^[71].

L’ironie tient en une phrase: la même DINUM avertissait dès 2021 que « disperser les énergies sur des offres multiples et non coordonnées dans plusieurs ministères ne peut que conduire à un échec à moyen terme » ^[72]. Cinq ans plus tard, Matignon l’absorbe dans une nouvelle structure ^[73].

Une position mondiale dégradée

Le décrochage français au classement Surfshark n’est pas un effet de loupe statistique. Avec 23,5 millions de comptes compromis ^[1] pour environ 68 millions d’habitants, la France atteint 35 164 violations pour 100 000 habitants ^[6] - davantage, en proportion, que les États-Unis (17 326 pour 100 000) ^[74] qui caracolent pourtant en tête du volume absolu ^[5]. L’Allemagne, pourtant comparable en taille de population et en exposition historique ^[75], n’apparaît pas dans le quinté de tête trimestriel. Le Royaume-Uni est cité parmi les pays touchés ^[76] sans figurer aux mêmes niveaux. Le Brésil ^[77] et l’Inde ^[78] complètent le tableau mondial. La France se retrouve isolée parmi les économies européennes développées, avec une intensité de fuites par habitant qui n’a pas d’équivalent dans son voisinage immédiat.

Ce que la position française traduit est moins un excès de cyberattaquants qu’un défaut de durcissement des cibles publiques - ce que la fuite ANTS, à elle seule près de la moitié du volume trimestriel national, illustre sans nuance. On se souvient de la fuite massive de France Travail en mars 2024: 43 millions de personnes exposées, données très proches - noms, prénoms, NIR, adresses électroniques - via une compromission d’identifiants prestataire. Deux ans plus tard, la même typologie d’incident frappe une autre agence d’État, sur des données équivalentes, à un ordre de grandeur comparable. Pour Christophe Mazzola, le diagnostic ne change pas: tant que la « dette de gouvernance » ^[63] n’est pas traitée, le rang mondial restera tributaire de la prochaine faille IDOR oubliée.

Ce que les chiffres ne disent pas

Les sources livrent des évaluations divergentes du choc d’avril. Surfshark recense 23,5 millions de comptes français compromis sur l’ensemble du premier trimestre 2026 ^[1] - périmètre mondial agrégé. Le ministère de l’Intérieur évoque, lui, près de 12 millions de comptes touchés par la seule attaque ANTS ^[15]. Generation NT cite 11,7 millions ^[79]. Les chiffres ne mesurent pas la même chose: l’un agrège toutes les fuites trimestrielles recensées par un opérateur privé, les autres décrivent un incident unique tel que documenté par l’État. La fuite ANTS représente donc, à elle seule, près de la moitié du volume trimestriel français.

Reste la question politique du calendrier. Lecornu annonce 200 millions le 30 avril, prélevés sur France 2030 ^[33]. Sa ministre du Numérique le contredit publiquement quatre jours plus tard ^[51]. La stratégie 2026-2030 de l’ANSSI ^[80] a été signée ^[81]. Mais c’est un adolescent de 15 ans ^[18], exploitant une faille « basique » ^[23] signalée et ignorée ^[25], qui aura forcé l’État à débloquer en urgence ce qu’il refusait depuis des années.