La rentrée 2026 restera comme celle où l'État a vacillé. Les données fiscales de centaines de milliers de contribuables volées, l'Éducation nationale paralysée à quelques jours de la rentrée scolaire : deux attaques d'ampleur, revendiquées par le même groupe, ont exposé la vulnérabilité des administrations françaises. Mais derrière l'émotion, le plus instructif est ailleurs : ces intrusions ne sont pas l'œuvre de génies, elles exploitent des failles connues. Décryptage, et leçons pour qui veut agir.

Le fisc : environ 678 000 contribuables exposés

L'affaire a éclaté à la mi-août. La Direction générale des finances publiques (DGFiP) a confirmé, le 14 août 2026, avoir subi des « accès illégitimes » à son système d'information. Le bilan est lourd : le vol de données touche au moins 678 000 particuliers et professionnels, dont environ 350 000 particuliers, auxquels s'ajoutent une fuite sur les fichiers cadastraux (environ 200 000 comptes) et une autre sur des données de succession. Le groupe cybercriminel « ZeroBytes » a revendiqué ces intrusions, mettant en vente une partie de la base sur le dark web.

Une précision de rigueur s'impose : les attaquants annoncent 678 438 « lignes » de données, ce qui ne correspond pas nécessairement à autant de personnes uniques, plusieurs enregistrements pouvant concerner un même contribuable. Le ministre chargé des Comptes publics, David Amiel, a par ailleurs assuré qu'aucun impôt n'avait été détourné ni aucun avis d'imposition modifié, et a demandé un audit approfondi de l'ANSSI. Le parquet de Paris a ouvert une enquête.

Le mode opératoire, lui, est éloquent : l'attaquant a usurpé les identifiants de deux comptes légitimes, celui d'un agent et celui d'un tiers habilité. Pas d'exploit spectaculaire, une simple usurpation d'identité. Et un détail qui interroge : la DGFiP avait détecté et bloqué des comptes compromis dès juin et juillet, sans identifier le vol de données, qu'elle n'a découvert qu'en août, via une alerte de l'ANSSI et la revendication de l'attaquant.

L'Éducation nationale paralysée pour la rentrée

Le même groupe a frappé un second pilier de l'État. À la suite d'une intrusion survenue dans la nuit du 25 juillet 2026 (un accès frauduleux par usurpation d'un compte professionnel, visant le système d'information dédié à la formation des personnels), le ministère a dû suspendre de nombreux services numériques par précaution. ZeroBytes, qui a revendiqué l'opération le 17 août, affirme avoir exfiltré environ 43 gigaoctets de données, soit près de 346 millions de lignes brutes couvrant deux décennies.

Le ministère n'a officiellement confirmé qu'un périmètre : les données des agents ayant exercé en académie depuis 2001 (identité, statut, fonctions, et pour certains adresse, téléphone, numéro de sécurité sociale), sans donnée bancaire ni mot de passe compromis dans ce système ; l'ampleur concernant les élèves reste, à ce stade, non confirmée.

La conséquence a été un véritable « chômage technique » à quelques jours de la rentrée. Les messageries et le portail d'accès aux applications métier (comme celles servant à affecter les enseignants ou à éditer les emplois du temps) ont été coupés, plongeant les personnels de direction dans l'embarras. Les académies de Nantes, Toulouse et Bordeaux ont été parmi les plus affectées, tandis que d'autres, dotées de systèmes distincts, étaient relativement épargnées. Fait aggravant : c'est la troisième attaque visant l'Éducation nationale en 2026, après le piratage du portail RH Compas (243 000 agents) en mars et celui de la plateforme ÉduConnect en avril.

Le point commun : pas des génies, des failles béantes

Voici la leçon centrale, et elle est dérangeante. Ces attaques contre le cœur de l'État ne reposent pas sur des prouesses techniques, mais sur des fondamentaux de sécurité négligés. Le vecteur commun est l'usurpation d'identifiants de comptes légitimes, exactement le scénario que nous décrivions dans notre article sur la fin du VPN et l'authentification.

Un chiffre le confirme cruellement : la CNIL relève que près de 80 % des violations de grande ampleur constatées en 2024 ont été permises par l'usurpation d'un compte protégé uniquement par un mot de passe. La parade est connue depuis des années : l'authentification multifacteur (MFA). Or, de l'aveu même de la feuille de route de l'État, celle-ci n'est pas encore généralisée dans les ministères, sa mise en place complète n'étant prévue que d'ici 2027-2028. C'est ce que le gouvernement lui-même reconnaît comme une « dette technique » accumulée depuis des décennies, faite de sous-investissement et de pénurie d'experts. La sophistication des attaquants n'explique pas tout : l'insuffisance des défenses compte au moins autant.

La vraie bataille : la remédiation et les compétences

Ces épisodes éclairent un aspect méconnu de la cybersécurité : l'après-attaque. Couper des services entiers, comme l'a fait l'Éducation nationale, n'est pas un aveu d'impuissance, mais une étape parfois nécessaire de la remédiation : comprendre par où les attaquants sont entrés, jusqu'où ils sont allés, et s'assurer qu'ils ne reviendront pas avant de tout rouvrir. Ce n'est pas un hasard si l'ANSSI vient de publier un référentiel de formation dédié à ce pilotage du retour à un état de sécurité maîtrisé : c'est devenu un métier à part entière.

Sur le volet politique, sans prendre parti, il faut noter que le débat est vif : pendant que le gouvernement met en avant ses mesures et l'audit de l'ANSSI, une partie de l'opposition réclame une commission d'enquête et évoque une succession d'incidents. Pour les citoyens concernés, la prudence reste de mise : redoubler de vigilance face aux tentatives d'hameçonnage et d'usurpation qui suivent souvent ce type de fuite, car des données personnelles dans la nature en sont la matière première.

Ce que ces attaques disent de la cybersécurité française

Au fond, cette rentrée sous tension confirme une réalité que nous documentons régulièrement : la France est massivement ciblée, le secteur public est en première ligne, et les brèches s'enchaînent. Mais elle porte aussi un message d'espoir, car les remèdes sont connus et n'ont rien d'inaccessible : généraliser l'authentification forte, moderniser les systèmes hérités, améliorer la détection, et surtout former des professionnels capables de les mettre en œuvre. Le maillon qui manque le plus n'est pas technologique, il est humain.

C'est précisément le sens de notre action chez KLE Formations. Notre parcours en cybersécurité forme aux compétences que ces crises rendent indispensables : gestion des identités et des accès, détection, réponse à incident et remédiation, gouvernance des risques. Accessible et finançable (CPF, France Travail, OPCO, Transitions Pro), il vise un titre RNCP de niveau 7, et s'adresse aussi bien aux profils techniques qu'aux personnes en reconversion. Pour approfondir, lisez notre article sur l'authentification et la fin du VPN, notre enquête sur les cyberattaques qui frappent la France, et notre guide des métiers de la cybersécurité.

L'État a payé cet été le prix d'années de retard. La bonne nouvelle, c'est que chaque organisation, publique ou privée, peut tirer les leçons de ces attaques sans attendre la sienne. Encore faut-il des femmes et des hommes formés pour les défendre. Et là, tout reste à faire.

---

Sources : communiqués de la DGFiP et du ministère de l'Action et des Comptes publics (14-18 août 2026), franceinfo, ICI et Tout sur mes finances (chronologie, ampleur, mode opératoire de l'attaque DGFiP) ; Generation-NT, MacGeneration et La Nouvelle Tribune (attaque de l'Éducation nationale, académies touchées, périmètre confirmé) ; CNIL, rapport annuel 2025 (part des violations liées aux comptes sans MFA) ; question écrite à l'Assemblée nationale (contexte des fuites du secteur éducatif) ; feuille de route cybersécurité de l'État 2026-2027. Faits à jour au 28 août 2026 ; enquêtes judiciaires en cours, plusieurs éléments (attribution, périmètre exact) restant à confirmer. Cet article traite le sujet sous l'angle défensif, sans détailler de procédé offensif.