Cybercrime dopé à l’IA : la France, deuxième cible mondiale en 2025

Le premier rapport In the Wild de HPE Threat Labs ^[1], publié en 2026 ^[2], dresse un constat sec: la cybercriminalité a basculé dans une ère industrielle ^[3]. Les chercheurs ont analysé 1 186 campagnes actives ^[4], identifié plus de 147 000 domaines malveillants ^[5] et près de 58 000 fichiers de malware ^[6] en un an, ainsi que 549 vulnérabilités activement exploitées ^[7]. Le laboratoire fusionne les expertises d’HPE et de Juniper Networks ^[8] et s’appuie sur les retours de plus de 2 200 leaders IT et sécurité ^[9].

LES ENJEUX

Cybercrime industrialisé

HPE Threat Labs documente 1 186 campagnes actives et 147 000 domaines malveillants en un an, signe d'une organisation de type multinationale.

IA générative comme accélérateur

Pas de révolution mais une démultiplication: deepfakes, contenus de phishing multilingues, malwares polymorphiques - l'IA réduit le coût et le temps des attaques.

France en première ligne

1,8 million de comptes compromis au S1 2025, deuxième pays le plus touché derrière les États-Unis; les méga-fuites s'accumulent.

Dette de sécurité française

80 % des grandes violations de 2024 auraient pu être évitées par une double authentification, selon la CNIL.

Riposte réglementaire

NIS 2 élargit le périmètre à des milliers d'entités essentielles, le CRA impose la sécurité by design aux produits connectés, contrôles CNIL massifs prévus en 2026.

Le trio des cibles est explicite: gouvernements (274 campagnes) ^[10], finance (211) ^[11], technologie (179) ^[12]. L’infrastructure leurre d’HPE Threat Labs a enregistré 44,5 millions de tentatives de connexion ^[13] provenant de 372 800 adresses IP uniques ^[14] sur l’année 2025.

Une criminalité organisée comme une multinationale

Selon le rapport, les attaquants opèrent « comme des multinationales, avec des structures hiérarchiques, des équipes spécialisées et une rapidité d’exécution qui dépasse les capacités de défense classiques » ^[15]. Des équipes conçoivent les malwares, d’autres gèrent l’infrastructure, d’autres encore se concentrent sur la monétisation des données volées ^[16]. Les flux automatisés via Telegram exfiltrent les données en temps réel ^[17].

L’IA générative joue le rôle d’accélérateur, pas de révolution. Alex Holland ^[18], Principal Threat Research au sein du HP Security Lab, résume la logique au média Usine Digitale: « Ce que nous observons, c’est que de nombreux attaquants privilégient la rapidité et le coût, pas la sophistication » ^[19]. Deepfakes vocaux et vidéo servent à des usurpations d’identité ^[20]. 14 % des menaces diffusées par e-mail échappent à au moins un système de filtrage ^[21], et les fichiers exécutables restent le principal vecteur d’infection avec 37 % ^[22].

Ce que l’ANSSI nuance - et que les vendeurs taisent

L’angle dominant martèle l’IA comme arme absolue. L’ANSSI ^[23], dans sa note de synthèse sur l’IA générative face aux attaques informatiques ^[24], pose un contrepoint factuel: « Aucun système d’IA générative officiel ou débridé n’a été en mesure de mener de manière autonome toutes les étapes d’une attaque informatique » ^[25]. Pour les attaquants avancés, l’IA est « un outil de gain de performance et de passage à l’échelle » ^[26]; pour les novices, « un outil d’apprentissage » ^[27]. Les usages documentés: profilage de victimes ^[28], conception de contenu d’ingénierie sociale ^[29], développement de programmes malveillants ^[30]. Rien qui justifie le récit d’une IA autonome conquérant les réseaux.

Ian Pratt ^[31], Global Head of Security for Personal Systems chez HP Inc, prévient: « Quand les cyberattaquants peuvent générer et modifier des malwares en quelques minutes, les défenses fondées sur la seule détection ne peuvent pas suivre » ^[32]. La réponse passe par le confinement des activités à risque et l’architecture Zero Trust ^[33], plutôt que la course aux signatures.

La France, deuxième cible mondiale: les chiffres

L’Hexagone concentre 1,8 million de comptes compromis entre janvier et juin 2025 ^[34], derrière les États-Unis (2,5 millions) ^[35] et devant l’Inde (1,2 million) ^[36]. Plus de 3 % des internautes français ont été touchés au premier semestre ^[37]. Janvier 2025 a marqué un record mensuel avec près de 1,6 million de comptes compromis ^[38].

Pourquoi la France? Trois facteurs structurels

Le classement n’est pas un hasard statistique. Trois facteurs convergents expliquent l’exposition française. D’abord, la centralisation des bases de données publiques: France Travail concentre l’historique professionnel de 36,8 millions de personnes sur vingt ans ^[39][40], l’Urssaf agrège 12 millions de salariés ^[41], l’Assurance Maladie et la DGFIP gèrent des bases comparables. Cette architecture, héritée de l’État social, offre une densité de données personnelles que peu d’autres pays présentent au même endroit - un numéro de sécurité sociale français reste valable à vie, contrairement à un identifiant commercial réémissible.

Ensuite, le retard sur les mesures d’hygiène élémentaires. Marie-Laure Denis ^[42] le résume sans détour: 80 % des grandes violations de données de 2024 auraient pu être évitées par la mise en place d’une double authentification ^[43]. Quand 57 % des adresses email compromises chez Bouygues Telecom figuraient déjà dans des fuites antérieures ^[44], le constat est sans appel: la défense française accumule de la dette technique pendant que les attaquants industrialisent leurs outils.

Enfin, le ciblage géopolitique. L’ANSSI identifie clairement les modes opératoires d’origine russe et chinoise visant les intérêts français ^[45], cohérents avec le positionnement diplomatique de Paris (soutien à l’Ukraine, présence en Indo-Pacifique, industrie de défense exportatrice). Les acteurs étatiques visent particulièrement les infrastructures critiques des télécommunications et de l’énergie ^[46] - une logique de prépositionnement qu’illustrent les attaques contre le réseau électrique polonais fin 2025 ^[47].

Quatre méga-fuites, deux sanctions seulement

Le tableau des fuites françaises documentées par DPO Partage est édifiant: Free en octobre 2024 (19 millions de clients, dont 5,1 millions d’IBAN) ^[48][49][50], France Travail en mars 2024 (36,8 millions de personnes, avec numéros de sécurité sociale et historique sur 20 ans) ^[51][39][40], Bouygues Telecom en août 2025 (6,4 millions de clients) ^[52][53], Urssaf en janvier 2026 (12 millions de salariés) ^[54][41].

La CNIL a sanctionné France Travail de 5 millions d’euros ^[55] et Free de 42 millions d’euros ^[56]. En revanche, à la date de publication de cet article, aucune des sources consultées ne fait état d’une sanction prononcée ou même publiquement annoncée par la CNIL à l’encontre de Bouygues Telecom ou de l’Urssaf. L’absence est notable: la fuite Bouygues remonte à août 2025 ^[52], celle de l’Urssaf à janvier 2026 ^[54]. L’article 83 du RGPD autorise des amendes jusqu’à 4 % du chiffre d’affaires mondial annuel, mais le calendrier des procédures CNIL - contradictoires, instruction par formation restreinte - s’étire généralement sur dix-huit à vingt-quatre mois après les faits.

À titre de comparaison, selon plusieurs sources, la fuite Equifax aux États-Unis en 2017 avait exposé les données de millions d’Américains et coûté plusieurs centaines de millions de dollars à l’entreprise dans le cadre d’un règlement avec la FTC et les procureurs généraux des États - un précédent qui avait accéléré l’adoption de législations sectorielles sur la notification des violations. Rapportées à ces étalons, les amendes françaises (5 et 42 millions d’euros) ^[55][56] traduisent une jurisprudence européenne encore prudente face à l’ampleur des bases compromises.

Le paradoxe ANSSI: moins d’événements, plus de pression

L’ANSSI ^[57] a traité 3 586 événements de sécurité en 2025 ^[58], soit 18 % de moins qu’en 2024 ^[59]. Cette baisse, juxtaposée à la flambée des fuites massives documentées par DPO Partage et HPE, semble contradictoire. Elle ne l’est qu’en apparence - et l’arbitrage mérite d’être posé clairement.

Les 3 586 événements ANSSI mesurent un périmètre précis: signalements (2 209) et incidents (1 366) remontés par les entités régulées - opérateurs d’importance vitale, opérateurs de services essentiels, administrations ^[60][61]. Ce périmètre est borné, contractuel, et subit deux effets mécaniques: la comparaison à 2024, année des Jeux Olympiques de Paris (mai et août 2024) ^[62] où la mobilisation était exceptionnelle; et la concentration sur des cibles institutionnelles. À l’inverse, les chiffres HPE et DPO Partage agrègent l’exposition tous secteurs confondus, y compris le secteur privé non régulé et les bases de données indexées sur les forums clandestins. Les sources informatiquenews.fr rapportent ainsi, sur ce périmètre élargi, une chute de 77 % entre T1 et T2 2025 ^[63] - qui mesure la concentration d’événements sur janvier-mars 2025, pas une accalmie de fond. À l’échelle européenne, deux indicateurs coexistent: Usine Digitale relève une hausse de plus de 50 % des attaques de chevaux de Troie bancaires sur Android en 2025 ^[64], tandis qu’informatiquenews.fr documente une augmentation de 179 % des comptes compromis en Italie entre T1 et T2 2025 ^[65]. Les deux chiffres mesurent des périmètres différents (vecteur mobile spécifique vs comptes compromis tous canaux) mais convergent vers une même lecture: la baisse française n’est ni générale ni structurelle.

L’ANSSI le reconnaît elle-même: l’agence anticipe une augmentation massive des attaques hybrides à horizon 2030 ^[66] et appelle à une réévaluation régulière de la menace ^[67]. La baisse statistique de 2025 est donc un effet de base, pas un signal d’apaisement.

Sur la répartition des incidents traités, l’éducation et la recherche concentrent 34 % des cas ^[68], les ministères et collectivités 24 % ^[69], la santé 10 % ^[70]. 460 événements ont été caractérisés comme possibles fuites de données, dont 42 % avérées ^[71][72].

Ce que personne ne dit: la dette de sécurité française

La CNIL a reçu 5 629 notifications de violations en 2024, en hausse de 20 % par rapport à 2023 ^[73][74]. Le nombre de violations touchant plus d’un million de personnes a doublé en un an, atteignant une quarantaine de cas ^[75]. L’IA générative n’a pas créé cette dette technique - elle l’exploite. Quand les fichiers exécutables restent le premier vecteur d’infection ^[22], le problème n’est pas l’IA de l’attaquant: c’est l’hygiène de la défense.

La CNIL veut imposer la double authentification aux organismes gérant plus de deux millions de personnes ^[76], avec contrôles massifs prévus en 2026 ^[77]. Reste à mesurer la portée réelle de cette obligation, tant que les sanctions ne dépassent pas mécaniquement le coût d’opportunité du laxisme.

NIS 2 et Cyber Resilience Act: ce que la riposte réglementaire va imposer

Deux textes européens structurent désormais la riposte. La directive NIS 2 ^[78] élargit considérablement le périmètre des entités régulées par rapport à NIS 1, selon plusieurs sources: on passe d’un noyau d’opérateurs d’importance vitale à plusieurs milliers d’entités essentielles et importantes en France. Sont désormais concernés non seulement l’énergie, les transports, la banque ou la santé, mais aussi les administrations publiques, la fabrication de produits chimiques, l’agroalimentaire, la gestion des déchets, ou encore les fournisseurs de services numériques. La transposition française ^[79] impose des obligations concrètes: analyse de risques documentée, gestion des incidents, sécurité de la chaîne d’approvisionnement, formation des dirigeants - qui voient désormais leur responsabilité personnelle engagée.

Le Cyber Resilience Act (CRA) ^[80] complète le dispositif en visant les produits eux-mêmes. Il impose, selon plusieurs sources, aux fabricants de produits contenant des éléments numériques (objets connectés, logiciels commercialisés, composants industriels) des exigences de sécurité by design, une gestion documentée des vulnérabilités tout au long du cycle de vie du produit, et une obligation de fourniture de correctifs gratuits pendant une période définie. L’entrée en vigueur s’étale ^[81] selon un calendrier progressif. Le marquage CE conditionnera l’accès au marché européen. Pour les industriels français de l’IoT et de l’embarqué, le rattrapage technique sera lourd - d’autant que le règlement s’applique aussi aux composants logiciels open source intégrés à titre commercial.

La publication du panorama ANSSI 2025 coïncide avec ces échéances, tensions géopolitiques marqué par les attaques contre les infrastructures électriques polonaises fin 2025 ^[47]. HPE prône, en complément, un basculement vers Zero Trust ^[33] et SASE ^[82] pour briser les silos de défense. L’analyse converge avec celle de l’ANSSI: la détection seule ne suffit plus, la réduction de la surface d’exposition prime. Reste à savoir si la commande publique et les grandes entreprises françaises tireront les enseignements de Free, France Travail, Bouygues et Urssaf avant la prochaine méga-fuite.

► Lire aussi: la note de synthèse intégrale de l'ANSSI sur l'IA générative