Une date de naissance, un numéro de sécurité sociale, un IBAN, une adresse, un identifiant France Travail. Pris isolément, chacun de ces fragments semble anodin. Corrélés entre eux, croisés entre les fuites France Travail, DGFIP, Viamedis, Free ou l'ANTS, ils deviennent la matière première d'une industrie de la falsification. Un acteur malveillant disposant de suffisamment de jeux de données peut aujourd'hui reconstituer une identité complète, cohérente, vérifiable en apparence. De quoi ouvrir un crédit, usurper un compte administratif, ou nourrir un profil synthétique taillé pour une opération d'ingénierie sociale ciblée. La menace est devenue statistique, industrielle, cumulative, chaque nouvelle fuite enrichissant un graphe de données déjà colossal, où recouper trois sources compromises suffit à profiler, cibler et manipuler des millions de citoyens dans des stratégies d'influence ou de fraude à grande échelle. On ne parle plus d'exposer la vie privée d'un particulier, c'est la crédibilité de tout un système d'identification numérique national qui s'effondre, fuite après fuite, sanction après sanction, communiqué de crise après communiqué de crise.
Une chronique qui ne devrait plus surprendre personne
Il faut le dire avec la froideur des chiffres, parce que l'indignation seule ne suffit plus. En 2024, la CNIL a enregistré 5 629 notifications de violations de données, en hausse de 20 % sur un an. En 2025, le compteur explose encore : 6 167 violations notifiées, soit 9,5 % de plus, avec près de 80 incidents ayant touché plus d'un million de Français sur les deux derniers exercices — un doublement en un an du nombre d'attaques massives. La France est devenue, sur le premier semestre 2025, le pays européen le plus touché et le second au monde derrière les États-Unis, avec 1,8 million de comptes compromis entre janvier et juin.
Le catalogue des sinistres publics est proprement sidérant. France Travail, en mars 2024, expose jusqu'à 43 millions de demandeurs d'emploi, la CNIL retenant finalement 36,8 millions de dossiers compromis — sanctionnés d'une amende de 5 millions d'euros en janvier 2026 pour un système d'information défaillant, le même opérateur ayant déjà été touché en 2023. Viamedis et Almerys, opérateurs du tiers payant santé, livrent en janvier-février 2024 les données de plus de 33 millions d'assurés sociaux — état civil, numéro de sécurité sociale, garanties de contrat. Free et Free Mobile, en octobre 2024, laissent filer les contrats de près de 19 à 24 millions d'abonnés dont 5,11 millions d'IBAN, valant à l'opérateur une amende record de 42 millions d'euros en janvier 2026. L'Agence nationale des titres sécurisés (ANTS), portail régalien s'il en est, voit près de 12 millions de comptes affectés en avril 2025. Fin 2025, ce sont 16 millions de jeunes suivis par les missions locales et 15 millions de dossiers médicaux via Cegedim qui s'ajoutent à la pile. Au total, plus de 145 millions d'enregistrements ont fuité depuis 2023 dans les seuls services publics, la santé, les télécoms et le commerce — soit plusieurs violations par résident français. L'INSEE elle-même, gardienne statistique de la nation, a vu 12 800 agents exposés. Même le Muséum national d'histoire naturelle a été paralysé par une cyberattaque en 2025. Selon l'ANSSI, les ministères et collectivités territoriales concentrent à eux seuls 24 % des incidents de sécurité traités en 2025, aux côtés de l'éducation et de la santé.
Une dette technique sciemment ignorée
Pas de malchance ici. C'est le résultat mécanique d'une dette technique accumulée, documentée, connue et jamais soldée. Les rapports d'éditeurs de sécurité applicative sont sans appel : dans les administrations publiques françaises, des vulnérabilités identifiées et parfois corrigées par l'éditeur depuis des années traînent encore sur les serveurs des collectivités, ministères et institutions, avec des retards de correctifs pouvant atteindre cinq, sept, dix ans. On ne parle pas ici d'obsolescence technologique inévitable, mais de choix budgétaires et politiques répétés consistant à sacrifier la sécurisation des systèmes d'information au profit de la mise en production rapide de services numériques vitrine.
La CNIL elle-même note que 55 % des violations notifiées en 2024 résultent directement du piratage, une hausse de 21 % en un an, très majoritairement consécutive à des défauts de sécurisation des infrastructures : identifiants compromis, absence de segmentation, prestataires tiers mal audités.
Ce sont exactement les symptômes d'une dette technique non traitée, du security by design jamais appliqué, des correctifs jamais budgétés, des audits jamais suivis d'effets.
L'incurie ministérielle érigée en système
Face à cette hémorragie, l'État aurait dû opposer une doctrine stable, un pilotage continu, une autorité politique identifiée. Il a offert l'inverse : une valse de titulaires au numérique digne d'un ministère de seconde zone. Depuis 2017, se sont succédé Mounir Mahjoubi, Cédric O, Jean-Noël Barrot, Marina Ferrari, Clara Chappaz, puis, en octobre 2025, Naïma Moutchou, dont le mandat aura duré moins de vingt-quatre heures (la ministre du Numérique la plus éphémère de la Ve République) avant qu'Anne Le Hénanff ne reprenne le portefeuille.
Sept titulaires en huit ans, aucune continuité doctrinale, un poste régulièrement rétrogradé de ministère de plein exercice à simple secrétariat d'État noyé dans un grand ministère de l'Économie, malgré une tribune signée par quatre-vingts personnalités du numérique réclamant un vrai ministère doté de moyens et d'une voix au Conseil des ministres. Comment exiger une stratégie de cybersécurité de long terme, des arbitrages budgétaires courageux sur la remédiation de dette technique, une doctrine de souveraineté numérique cohérente, quand le sommet de l'appareil d'État change de visage tous les douze à dix-huit mois, parfois en quelques heures ?
De la fuite ponctuelle à l'effondrement de la confiance
Le vrai basculement est qualitatif. Quand la CNIL constate que le nombre de violations touchant plus d'un million de personnes a doublé en un an, passant d'une vingtaine à une quarantaine, c'est un changement d'échelle de la menace. Une identité synthétique construite à partir de fragments authentiques (état civil réel, numéro de sécurité sociale réel, historique administratif réel) est infiniment plus difficile à détecter qu'une fraude grossière. Elle permet l'usurpation méthodique, le ciblage de profils vulnérables, la fabrication de campagnes d'influence crédibles s'appuyant sur des données publiques vérifiables. Chaque fuite supplémentaire n'ajoute pas seulement des victimes : elle enrichit un référentiel d'attaque cumulatif et permanent, exploitable par n'importe quel acteur, étatique ou crapuleux. Et quand les amendes record infligées par la CNIL (55,2 millions d'euros en 2024, 42 millions pour Free à elle seule en 2026) sont versées au Trésor public et non aux victimes, le message envoyé aux citoyens est sans équivoque : l'État sanctionne, mais ne répare pas, et surtout ne corrige pas structurellement les causes.
Cette accumulation de négligences techniques, de portefeuilles ministériels jetables et de correctifs sans cesse repoussés ne peut plus être seulement considérée comme un accident de parcours. C'est une dette contractée sciemment, portée par une succession de responsables politiques dont la compétence numérique a rarement dépassé le niveau de la communication de crise. La facture, elle, ne sera pas payée par les ministres qui se succèdent, mais par chaque citoyen dont l'identité numérique est désormais disséminée, recombinable, et durablement compromise.
