Cyberattaques : Lecornu débloque 200 millions face à trois vols de données par jour

Trois vols de données par jour ^[1]. Le chiffre, lâché par Sébastien Lecornu ^[2] depuis les locaux de l’Agence nationale des titres sécurisés ^[3] le 30 avril 2026 ^[4], résume une débâcle. Le Premier ministre ^[2] a annoncé une enveloppe de 200 millions d’euros ^[5] prélevés sur les crédits de France 2030 ^[6], la fusion de la DINUM et de la DITP ^[7] en une autorité numérique de l’État ^[7], et l’affectation de l’ensemble des amendes CNIL ^[8] à un fonds de modernisation des infrastructures ^[9].

LES ENJEUX

Une hémorragie quotidienne

Trois vols de données par jour depuis janvier 2026, 23,5 millions de comptes compromis dès les trois premiers mois.

Dette technique abyssale

L'État consacre 1 % de son budget aux infrastructures numériques contre 10 % pour les entreprises. La faille ANTS remontait à 2007.

Le pari du fonds CNIL

Les amendes CNIL alimenteront un fonds de modernisation. 500 millions d'euros d'amendes en 2025 contre 55 millions en 2024, soit un facteur neuf - mais l'autorité indépendante peut-elle financer l'État qu'elle sanctionne?

Refonte structurelle

Fusion de la DINUM et de la DITP en autorité numérique unique. 5 % des budgets ministériels dédiés au cyber dès 2027.

Doctrine contestée

Lecornu distingue fuites graves et non graves - une hiérarchisation politique en tension avec NIS2 et avec la doctrine de l'ANSSI, qui refuse de stigmatiser les victimes.

Le déclencheur tient en un nom: France Titres ^[11]. Des pirates y ont volé les données personnelles de 11,7 millions de Français ^[10] - état civil, identifiants, adresses, numéros de téléphone ^[10]. Un adolescent de 15 ans ^[12] a été interpellé ^[13]. On se souvient pourtant qu’en 2024, la fuite massive de France Travail avait déjà exposé les données de plusieurs dizaines de millions de personnes sans déclencher de plan d’ampleur comparable. Il aura fallu une arrestation médiatisée d’un mineur pour que l’État sorte le carnet de chèques.

Une cascade de fuites en quatre mois

L’ANTS ^[3] n’est pas un cas isolé. Le 1er janvier 2026 ^[14], l’Office français de l’immigration et de l’intégration ^[15] a été piraté via le compte d’un prestataire externe ^[16]. Deux hackers de 17 et 20 ans ^[17] ont été mis en examen à Paris ^[17]. Un répertoire d’1 Go ^[18] mis en vente sur BreachForums ^[19]. Selon une source proche du dossier, ces hackers ne sont pas « des petits génies de l’informatique » ^[20]. Ils ont avoué avoir agi « pour se prouver qu’ils pouvaient le faire » ^[21].

Le 26 février 2026 ^[23], France 2 a révélé le piratage de Cegedim Santé ^[24]. Selon le Sénat, près de 15 millions de Français ^[25] sont concernés, après la compromission de 1 500 praticiens ^[26] utilisant le logiciel Mon logiciel médical (MLM) ^[27]. Cegedim avait identifié « un comportement anormal » dès la fin de 2025 ^[28] mais n’a communiqué qu’après les révélations télévisées ^[29].

Reste à arbitrer un écart vertigineux: France 2 estime entre 11 et 15 millions de personnes concernées ^[30], le Sénat parle de près de 15 millions ^[25], le pirate revendique pour sa part 19 millions ^[31]. Soit un facteur de 1 à 1,73 entre les estimations basse et haute. La divergence n’est pas anodine: selon que l’on compte les patients actifs d’un praticien MLM, l’ensemble des dossiers historiques jamais purgés, ou les fiches dédupliquées par personne physique, le périmètre varie radicalement. Aucune source consultée ne précise la méthodologie de comptage retenue par chaque partie - ni Cegedim, qui revendique 3 800 clients ^[32], ni le pirate, ni les autorités.

Au compteur s’ajoutent l’URSSAF ^[33], France Travail, la plateforme Resana Secure, la Fédération française de tennis, la Fédération nationale des chasseurs ^[34], le ministère de l’Intérieur dont le fichier des antécédents judiciaires a été consulté et publié ^[35], les services en ligne de La Poste ^[36] et du groupe BPCE ^[37]. Au premier trimestre 2026 ^[38], la France est le deuxième pays au monde le plus touché par les fuites de données ^[39].

Le pari budgétaire: 200 millions et un effet de levier

Les 200 millions d’euros ^[5] financeront applications, outils de détection et cryptographie post-quantique ^[5], à l’approche de l’échéance 2030 ^[40]. Le Premier ministre exige que 5 % des budgets numériques de chaque ministère ^[41] soient dédiés au cyber dès 2027 ^[42]. « On va faire un effet de levier pour obliger les différents ministères à remettre un peu d’argent sur la table » ^[43], a-t-il assumé.

L’innovation politique est ailleurs. L’ensemble des amendes prononcées par la CNIL ^[8] alimentera un fonds dédié aux infrastructures numériques ^[44], dans une logique « pollueur-payeur » ^[44] portée par le prochain projet de loi de finances ^[45]. Le réservoir est massif: environ 500 millions d’euros d’amendes en 2025 ^[46], contre 55 millions en 2024 ^[47] et 89 millions en 2023 ^[48]. France Travail à elle seule a écopé de 5 millions d’euros début 2026 ^[49].

Mais le mécanisme heurte une difficulté de principe. La CNIL est une autorité administrative indépendante: ses sanctions ne sont pas une recette de l’État au sens classique du terme. Affecter par voie législative l’intégralité de ses amendes à un fonds piloté par Bercy ouvre deux questions sensibles. D’une part, celle de la séparation des pouvoirs: l’autorité de régulation peut-elle financer, même indirectement, l’organe qu’elle est censée contrôler lorsqu’il est lui-même mis en cause - on se souvient des 5 millions d’amende infligés à France Travail ^[49]? D’autre part, celle de l’incitation: une CNIL dont les sanctions abondent un fonds étatique peut-elle continuer à sanctionner sans réserve l’État? Le projet de loi de finances ^[45] devra trancher ces points. Aucune source consultée ne précise la position officielle de la CNIL sur ce mécanisme.

Le paradoxe: 1 % contre 10 %

L’angle mort de l’annonce, Lecornu lui-même l’a énoncé. « La plupart des entreprises françaises consacrent quelque chose comme 10 % de leur budget global aux infrastructures numériques. L’État en est davantage proche de 1 % que de 10 % » ^[50]. Multiplier ce pourcentage par dix supposerait un changement d’échelle que 200 millions sur France 2030 ^[6] ne couvrent pas. La dette technique de l’ANTS illustre ce constat: des couches logicielles empilées et jamais auditées en profondeur.

Lecornu reconnaît l’état des lieux sans détour. « [Actuellement], c’est un jardin à l’anglaise […], dans une forme de désorganisation désormais dangereuse » ^[51]. La fusion DINUM-DITP, jusque-là placées sous l’autorité du ministre de la Fonction publique ^[52], doit standardiser les pratiques. Des « stress tests » ^[53] sont programmés sur les infrastructures publiques. Des équipes internes mèneront des audits intrusifs ^[54] - l’État testant ses propres vulnérabilités. Le rattachement hiérarchique précis de la nouvelle autorité numérique de l’État ^[7] n’est toutefois pas explicité dans les sources consultées.

La voix dissonante: l’ANSSI refuse de stigmatiser

Sur la doctrine, une fracture émerge. Lecornu assume une hiérarchisation: « Il y a des fuites qui sont graves et des fuites qui ne sont pas graves » ^[55]. Vincent Strubel ^[56], patron de l’ANSSI ^[56], refuse pour sa part de stigmatiser les entités victimes ^[56]. « Entre alerter sur la menace et donner des leçons, voire taper sur les victimes, ce que l’ANSSI ne fera jamais » ^[57], a-t-il tranché.

La fracture n’est pas que rhétorique. Hiérarchiser les fuites - décider lesquelles méritent communication publique, sanction ou plan d’urgence - revient à exercer un jugement politique sur des incidents techniques. Or la directive européenne NIS2, dont l’ANSSI verra le rôle renforcé en France ^[58], impose au contraire des obligations de notification uniformes: tout incident significatif doit être déclaré dans des délais stricts, sans gradation préalable. La position de Strubel est ainsi cohérente avec le cadre européen; celle de Lecornu, qui distingue le grave du mineur, introduit une marge d’appréciation politique qui pourrait, à terme, entrer en tension avec les obligations de transparence portées par NIS2. La question reste ouverte: qui, du Premier ministre ou de l’agence technique, fixera la doctrine de communication publique sur les incidents à venir?

Fabrice Epelboin ^[59], enseignant à Sciences Po et cofondateur de Yogosha ^[59], pointe quant à lui les mesures que le gouvernement « s’apprête vraisemblablement à ne pas prendre » ^[59]. Alexandre Basquin ^[60] interroge le gouvernement sur l’opportunité de faire de la cybersécurité « une priorité de l’action publique » ^[61], jugeant cette multiplication d’attaques « insupportable » ^[62].

Pourquoi maintenant: l’arrestation comme déclencheur

Le timing du plan tient à un calendrier judiciaire. Lecornu s’est rendu à l’ANTS ^[3] dans la foulée de l’arrestation ^[13] de l’adolescent de 15 ans ^[12]. La feuille de route ministérielle, elle, avait été établie le 9 avril ^[63]. Le portail France Titres ^[11] a été mis hors ligne dans le cadre d’une opération de maintenance ^[64] - cinq jours d’inaccessibilité ^[65] qui ont accentué la pression médiatique.

Ce que les sources ne disent pas, en revanche, c’est comment l’État compte combler la dette technique accumulée. La cryptographie post-quantique ^[5] est un horizon; la vulnérabilité de l’ANTS est un présent. Aucune source consultée ne précise le calendrier de modernisation des systèmes hérités, ni les moyens humains qui seront mobilisés au-delà des 200 millions ^[5]. Le coût mondial des fuites de données pourrait atteindre 12 000 milliards de dollars ^[66] dans les années à venir.

► Lire aussi: Cyberattaques: la cartographie des fuites françaises