L’ANSSI a publié début octobre le premier point de situation de son dispositif REACTIV. On y apprend que quatre-vingt-dix-neuf violations de données ont été recensées depuis le 1er août 2026.
Deux mois, quatre-vingt-dix-neuf violations. Le chiffre a tourné dans la presse comme un indicateur de l’état de la menace. Il est plus intéressant comme indicateur d’autre chose : jusqu’ici, personne en France ne publiait ce décompte.
Il recense les violations portées à la connaissance de l’agence, sur son périmètre. Pas toutes les violations survenues en France.
La différence n’est pas un détail. Manquent à l’appel celles qui n’ont jamais été détectées — et c’est la majorité, puisqu’une intrusion non repérée ne se signale pas elle-même —, et celles qui ont été détectées mais pas signalées. Quatre-vingt-dix-neuf est donc un plancher, pas une mesure.
C’est utile à garder en tête quand le chiffre servira d’argument, dans un sens ou dans l’autre. Une hausse au prochain point de situation pourra tout aussi bien signifier que les attaques augmentent, ou que la détection et le signalement s’améliorent. Les deux lectures sont valables et on ne pourra pas les départager avant plusieurs trimestres.
Le mouvement est net depuis la rentrée. Le 29 septembre, un rapport critique sur l’attaque de la DGFiP, qui écarte la thèse de l’attaque sophistiquée. Le 30, un rapport sur la compromission de l’agence elle-même et de la Dinum. Début octobre, cet inventaire. Et sur la même période, une enquête ouverte par le parquet de Paris.
Publier ses propres échecs n’est pas une pratique courante dans l’administration française. Pour les organisations privées, ce changement a des effets très concrets.
Le premier concerne les fournisseurs du secteur public. Un incident survenu chez un prestataire et qui remonte vers une administration a désormais vocation à être documenté publiquement. Compter sur la discrétion n’est plus une stratégie de gestion de crise viable, et la façon dont un fournisseur gère son incident devient un élément de réputation vérifiable.
Le deuxième concerne les acheteurs. Quand les modes opératoires sont publics, les questionnaires de sécurité cessent d’être génériques. On ne demandera plus « avez-vous une politique de mise à jour » mais « quelle est votre version de tel composant, et depuis quand ». Les réponses déclaratives vieillissent mal.
Le troisième effet est le plus directement exploitable, et il est gratuit.
Les rapports publiés décrivent des enchaînements réels : des identifiants valides utilisés sur un accès distant, un outil d’analyse interne non mis à jour, des prestataires compromis servant plusieurs clients. Ce sont des scénarios documentés, pas des hypothèses d’atelier.
Un exercice d’une heure en comité de direction consiste à les prendre un par un et à poser la même question à chaque fois : est-ce que ça pourrait se produire ici, et qui s’en apercevrait ? Trois scénarios suffisent à faire émerger plus de travail utile que la plupart des analyses de risque formelles.
Le Cybermois court du 1er au 31 octobre, avec cette année un dépliant de Cybermalveillance.gouv.fr et de la CNIL consacré à la conduite à tenir en cas de violation de données.
Ces opérations de sensibilisation ont une limite connue : elles produisent une attention qui retombe en novembre. Le moyen le plus simple de la dépasser est de ne pas se contenter d’une communication interne, et de sortir d’octobre avec une chose faite — un inventaire des services web internes, une liste des fournisseurs qui détiennent vos données, un test de restauration chronométré.
Une seule, mais terminée. C’est plus utile que cinq affiches dans la salle de pause.
545 000 personnes exposées en Hauts-de-France via deux prestataires. Le risque ne vient pas de la qualité du fournisseur mais du nombre de ses clients.
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
