Police nationale piratée : noms, adresses et mails de milliers d’agents dans la nature

La page affiche « en maintenance ». Depuis un mois, la plateforme e-campus ^[1] du ministère de l’Intérieur ^[2] ne répond plus. Derrière cet écran blanc, une brèche. Les 17 et 18 mars 2026 ^[3], un acteur malveillant a consulté les données d’identification de policiers actifs, d’agents administratifs et de contractuels ^[4]. Noms, prénoms, adresses de résidence - souvent situées sur des bâtiments de la Police nationale - et adresses mail ^[5]. Le tout rendu accessible en deux jours.

L’information sort le 15 avril ^[6], confirmée par la Direction générale de la police nationale (DGPN) ^[7] à France Info, sur une information initiale de LCI ^[8]. Un mois de silence. Les victimes concernées viennent tout juste d’être contactées ^[9]. Mais aucune source consultée ne détaille le contenu de la notification envoyée aux agents: canal utilisé (mail, courrier, SMS), recommandations de sécurité, consignes de vigilance concernant leur domicile - tout reste opaque. On ignore également si les policiers exposés ont été invités à modifier leurs mots de passe ou à signaler d’éventuelles tentatives de contact suspectes.

Autre absence remarquable: aucune source consultée ne précise si la CNIL a été saisie dans le cadre du piratage d’e-campus, ni si le délai de notification de 72 heures imposé par le RGPD en cas de violation de données personnelles a été respecté. La CNIL avait pourtant été saisie lors du piratage de décembre 2025 ^[10]. Son silence - ou celui de la DGPN à son sujet - interroge.

Ce que le pirate a pris - et ce que la DGPN minimise

La DGPN ^[11] assure que « ces données ne sont pas liées à des fichiers de police » ^[12]. Des mesures correctives immédiates ont été prises « pour contenir l’incident, sécuriser les accès et évaluer l’ampleur de la compromission » ^[13]. L’accès à e-campus ^[1] est rétabli progressivement ^[14]. Des investigations sont en cours pour déterminer les causes ^[15].

Côté judiciaire, le parquet de Paris a saisi la BL2C ^[16] (brigade de lutte contre la cybercriminalité de la Préfecture de police de Paris) dès le 30 mars 2026 ^[17].

HexDex: le pirate qui parle à la télé

Le nom circule depuis des semaines. HexDex ^[18], décrit par TF1 Info comme « l’un des principaux hackers à l’origine des fuites de données françaises » ^[18], revendique l’attaque. Pour prouver ses accès, il a transmis des données confidentielles concernant des salariés de TF1 ^[19] à la chaîne elle-même.

Son discours est rodé. Dans Zataz: « Tout ce que je fais sous la bannière HexDex a un objectif clair: gagner de l’argent » ^[20]. Sur TF1 Info: « J’analyse, indexe et vends les données au détail à des gens qui, à leur tour, les revendent à leurs clients. C’est tout un écosystème » ^[21]. Et cette phrase, glaçante: « On sait tout de vous. Il doit y avoir 1 % de chance pour que vous ne soyez dans aucune fuite » ^[22].

Pas de remords. « J’y pense chaque jour mais, finalement, les gains me font vite oublier. L’argent n’a pas d’odeur » ^[23]. Sa vision de la donnée personnelle tient en une formule: « L’information n’est pas seulement du savoir ou l’adresse de Madame Giselle. C’est une monnaie » ^[24]. Et quand on lui demande qui est responsable: « Je dirais que les premiers responsables sont ceux qui ont laissé ces données exposées » ^[25].

Un écosystème industriel de la donnée volée

Derrière la figure médiatique de HexDex se dessine une filière structurée. Tout a commencé, explique-t-il, « lors de la réouverture de BreachForums » ^[26], l’un des principaux marchés noirs de données volées sur le web. Le modèle est celui d’une chaîne de valeur: le pirate extrait ou achète une base brute, la trie, l’indexe, puis la revend « au détail » ^[21] à des intermédiaires qui, à leur tour, la redistribuent à des clients finaux - escrocs, usurpateurs d’identité, officines de renseignement privé. HexDex ne fixe aucune limite éthique: « Pour gagner de l’argent, je n’ai pas de limite » ^[27]. « Toutes les données récupérées ont une valeur à mes yeux, qu’elles soient sensibles ou moralement discutables » ^[28]. Il ne publie pas tout: « La plupart du temps, je ne publie pas une base de données lorsqu’elle ne contient pas suffisamment d’informations exploitables ou trop peu d’entrées » ^[29] - preuve d’un tri industriel, guidé par la rentabilité.

Clément Domingo, alias SAXX ^[30], hackeur éthique, a présenté un fichier cumulant 60 millions de données ^[31] issues de fuites. L’ampleur du stock disponible sur les marchés noirs explique le chiffre qu’il avance: les données de huit Français sur dix ^[32] circulent déjà dans cet écosystème. L’usurpation de numéros de téléphone a bondi de 517 % ^[33] sur un an - signe que la donnée volée alimente désormais des escroqueries à échelle industrielle.

Le cadre pénal: jusqu’à 5 ans et 375 000 euros

L’accès frauduleux à un système informatique est encadré par les articles 323-1 à 323-7 du Code pénal ^[34]. La peine de base: 2 ans d’emprisonnement et 60 000 euros d’amende ^[35]. Si des données sont modifiées ou supprimées: jusqu’à 5 ans de prison et 150 000 euros d’amende ^[36]. Si elles sont revendues ou diffusées - ce que HexDex ^[18] revendique ouvertement - les faits peuvent être requalifiés en recel ou escroquerie: 5 ans d’emprisonnement et 375 000 euros d’amende ^[37].

Autre texte applicable: l’article 223-1-1 du Code pénal ^[38]. Diffuser des informations personnelles exposant des forces de l’ordre au danger est passible de 3 ans d’emprisonnement ^[39] et 45 000 euros d’amende ^[40]. Un arrêt de la Cour de cassation du 11 février 2025 ^[41] a confirmé la recevabilité de la constitution de partie civile de fonctionnaires de police dans ce type d’affaires ^[42].

Quatre mois après le piratage du ministère: la série noire

L’attaque contre e-campus ^[1] survient quatre mois ^[43] après une cyberattaque majeure contre le ministère de l’Intérieur lui-même. Le 15 décembre 2025 ^[44], des activités suspectes avaient été détectées sur les serveurs de messagerie. Les pirates avaient consulté le fichier de traitement d’antécédents judiciaires (TAJ) ^[45] - environ 17 millions de fiches ^[46] - et le fichier des personnes recherchées (FPR) ^[47]. Au minimum, « quelques dizaines de fiches » ^[48] avaient été extraites.

Le ministre de l’intérieur Laurent Nuñez ^[49] avait alors déclaré: « Il n’y a pas eu extraction de millions de données. A ma connaissance, c’est faux » ^[50]. Les pirates, eux, revendiquaient l’accès à plus de 16 millions ^[51] de données - sans preuve. La contradiction s’éclaire en partie par la distinction entre consultation et extraction: accéder à un fichier de 17 millions de fiches ^[46] ne signifie pas les avoir copiées. Le ministre lui-même opérait cette nuance implicite avec sa formule de réserve - « à ma connaissance » - et ajoutait: « Je reste prudent. On continue à investiguer » ^[52]. Les pirates, de leur côté, avaient intérêt à gonfler le chiffre pour maximiser la valeur marchande de leur butin. En l’absence d’audit indépendant rendu public, le volume réel de données exfiltrées reste inconnu.

Un suspect de 22 ans ^[53], déjà condamné pour des faits similaires en 2025 ^[54], avait été mis en examen le 20 décembre 2025 ^[55] pour accès frauduleux ^[56]. Deux enquêtes avaient été ouvertes ^[57] et la CNIL ^[10] saisie. La faille identifiée: des mots de passe échangés en clair sur des messageries professionnelles compromises ^[58].

Ce type d’exposition de données de forces de l’ordre n’est pas sans précédent à l’échelle internationale. On se souvient qu’en août 2023, les données personnelles de milliers d’agents de la Metropolitan Police londonienne avaient été compromises via un prestataire externe chargé de l’impression des cartes professionnelles. L’affaire avait provoqué un scandale politique au Royaume-Uni et conduit à une refonte des protocoles de sous-traitance de Scotland Yard.

La France, passoire numérique

Les brèches s’accumulent. En 2026, 243 000 agents ^[59] de l’Éducation nationale exposés via le logiciel RH Compas. Avant cela: Free et SFR ^[60] piratés, la CAF et France Travail ^[61] compromis, le fichier FICOBA ^[62] de la Direction générale des finances publiques visé, 11 à 15 millions de Français ^[63] touchés par la fuite Cegedim, 1,5 million de collégiens et lycéens ^[64] de l’UNSS. Les cas de violation de données personnelles ont doublé ^[65] en douze mois. Coût estimé des cyberattaques pour la France en 2024: plus de 129 milliards de dollars ^[66] selon Statista.

L’ANSSI réagit, mais la feuille de route arrive après la brèche

Le 9 avril 2026 ^[67], l’ANSSI ^[68] a publié sa feuille de route 2026-2027 ^[69] de sécurité numérique de l’État. Rendue publique pour la première fois ^[70], « pour en renforcer sa portée ». Le texte reconnaît que « les multiples incidents et fuites de données qui ont affecté en 2025 les systèmes d’information des ministères » ^[71] imposaient une réponse. Les administrations devront se conformer à la directive NIS 2 ^[72]. Un Comité interministériel de suivi de la sécurité numérique (CINUS) ^[73] assurera un suivi mensuel ^[74].

Six jours après la publication de cette feuille de route, on apprenait le piratage d’e-campus ^[1]. Le décalage est cruel, mais il est surtout structurel. La directive NIS 2, adoptée par l’Union européenne fin 2022, aurait dû être transposée en droit national avant octobre 2024. La France, comme la majorité des États membres, a pris du retard. La feuille de route de l’ANSSI fixe les premières étapes d’inventaire pour la transition vers la cryptographie post-quantique en 2026 et 2027 ^[75], avec un horizon de mise en œuvre repoussé à 2030 ^[76]. Ce calendrier suppose que les fondamentaux - authentification, cloisonnement des accès, chiffrement des données au repos - soient déjà en place. Or le piratage de décembre 2025 a révélé que des mots de passe circulaient encore en clair sur des messageries professionnelles ^[58]. Le CINUS ^[73], censé piloter la mise en conformité, n’a tenu à ce jour aucune réunion publique. La feuille de route est établie annuellement ^[77]: reste à savoir si le rythme annuel suffit quand les attaques, elles, surviennent tous les mois.

L’angle mort: quand l’adresse d’un policier vaut de l’or

Ce que personne ne dit. La DGPN ^[7] précise que les adresses de résidence exposées sont « souvent sur des bâtiments de la Police nationale » ^[5]. Souvent - pas toujours. Pour les agents dont l’adresse personnelle figurait dans e-campus ^[1], le risque est concret. Le Monde a démontré en décembre 2025 ^[78] qu’il était possible de déterminer l’identité, le domicile et les habitudes de plusieurs dizaines ^[79] de personnels sensibles - officiers de renseignement ^[80], membres du GIGN ^[81], militaires affectés dans des bases cruciales pour la dissuasion nucléaire ^[82] - en croisant de simples données publicitaires géolocalisées, précises à quelques mètres près ^[83].

Croisez ces données publicitaires avec les noms et adresses mail d’e-campus ^[5], et vous obtenez un annuaire opérationnel de policiers identifiables, localisables, ciblables. Une source citée par BFM TV résume la bascule: « On passe d’une cybercriminalité qui reposait sur la technique à une cybercriminalité axée sur la donnée » ^[84]. La donnée, c’est le policier. Son nom. Son adresse. Sa routine.

Ce que les sources ne disent pas

Aucune source ne précise le nombre exact de policiers dont les données ont été consultées. La DGPN ^[7] ne confirme ni n’infirme le chiffre de 176 000 agents revendiqué par HexDex ^[18]. On ignore si les adresses exposées incluent des domiciles personnels ou uniquement des adresses administratives. On ne sait pas non plus si les données ont été copiées, ou seulement « consultées » - la nuance est capitale, comme l’a montré le débat sur le volume réel de l’extraction de décembre 2025. Enfin, personne n’explique pourquoi une plateforme de formation en ligne stockait des adresses de résidence.

Le site gouvernemental 17cyber ^[85] reste le point de contact pour les victimes de cybermalveillance. Plusieurs millions ^[86] de demandes d’assistance y sont effectuées chaque année.

La plateforme e-campus ^[2] est toujours en maintenance. Les données, elles, ne le sont plus.