一个出生日期、一个社保号码、一个IBAN、一个地址、一个法国就业署（France Travail）标识符。孤立地看，每一个碎片都显得无关紧要。然而一旦相互关联，与法国就业署、税务总局（DGFIP）、Viamedis、Free或ANTS的数据泄露交叉比对，它们便成为伪造工业的原材料。如今，拥有足够多数据集的恶意行为者可以重建一个完整、连贯、表面可信的身份。足以开通信贷、劫持行政账户，或培育一个为定向社会工程行动量身定制的合成档案。
威胁已变得统计化、工业化、累积化——每一次新的泄露都在充实一个本已庞大的数据图谱，交叉比对三个被攻破的数据源就足以对数百万公民进行画像、锁定和操纵，用于大规模影响力行动或欺诈策略。这已不再关乎某个人的隐私暴露，而是一整套国家数字身份识别系统的公信力在崩塌，一次泄露接一次泄露，一次处罚接一次处罚，一份危机声明接一份危机声明。
一段本不该再令任何人惊讶的编年史
必须用数字的冷酷来说出这一点，因为仅凭愤怒已远远不够。2024年，法国国家信息与自由委员会（CNIL）记录了5,629起数据泄露通报，同比增长20%。2025年，计数器再次爆炸：6,167起通报的违规事件，增长9.5%，过去两个财年中有近80起事件影响超过一百万法国人——大规模攻击数量在一年内翻了一番。2025年上半年，法国成为受影响最严重的欧洲国家、仅次于美国的世界第二，1月至6月间有180万个账户被攻破。
公共灾难的清单令人瞠目结舌。法国就业署于2024年3月泄露了多达4,300万求职者的数据，CNIL最终认定3,680万份档案被攻破——2026年1月因信息系统存在缺陷被处以500万欧元罚款，而同一运营商早在2023年就已遭到攻击。健康第三方支付运营商Viamedis和Almerys在2024年1月至2月泄露了超过3,300万参保人的数据——民事身份、社保号码、合同保障。Free和Free Mobile在2024年10月泄露了近1,900万至2,400万用户的合同，其中包括511万个IBAN，2026年1月该运营商被处以创纪录的4,200万欧元罚款。国家安全证件局（ANTS）——一个名副其实的主权门户——在2025年4月有近1,200万个账户受到影响。2025年底，地方使命机构跟踪的1,600万青年以及通过Cegedim泄露的1,500万份医疗档案又加入了这一堆。自2023年以来，仅公共服务、医疗、电信和商业领域就有超过1.45亿条记录被泄露——相当于每位法国居民遭受多次违规。就连国家统计局（INSEE）这一国家统计的守护者，也有12,800名员工的数据被曝光。甚至国家自然历史博物馆也在2025年因网络攻击而瘫痪。根据法国国家信息系统安全局（ANSSI）的数据，仅各部委和地方行政机构就占了2025年处理的安全事件的24%，教育部门和医疗部门紧随其后。
被刻意忽视的技术债务
这里没有运气不佳可言。这是长期积累、有据可查、人所共知却从未清偿的技术债务的机械结果。应用安全厂商的报告毫不留情：在法国公共行政部门中，厂商多年前就已发现、有时甚至已修复的漏洞，至今仍滞留在地方行政机构、部委和机关的服务器上，补丁延迟可达五年、七年、十年之久。这里谈的不是不可避免的技术过时，而是反复做出的预算和政治选择：牺牲信息系统的安全，换取展示型数字服务的快速上线。
CNIL自己也指出，2024年通报的违规事件中55%直接源于黑客攻击，一年内增长21%，绝大多数源于基础设施的安全缺陷：凭证被攻破、缺乏网络分段、第三方供应商审计不力。
这正是技术债务未得到处理、security by design从未实施、补丁从未列入预算、审计从未得到跟进的确切症状。
被系统化的部委无能
面对这场失血，国家本应以稳定的方针、持续的统筹和明确的政治权威来应对。它给出的恰恰相反：一场所属部门主管的华尔兹，宛如一个二流部委。自2017年以来，穆尼尔·马哈朱比、塞德里克·奥、让-诺埃尔·巴罗、玛丽娜·费拉里、克拉拉·沙帕兹相继上任，随后是2025年10月的纳伊马·穆图舒，其任期不足二十四小时（第五共和国最昙花一现的数字部长），之后安妮·勒埃南夫接过了该职位。
八年七任主管，没有方针上的连续性，这一职位不时从正式部委降格为一个淹没在庞大经济部中的普通国务秘书处，尽管八十位数字领域人士联署发表声明，要求设立一个真正的部委，拥有资源和部长会议中的发言权。当国家机器的顶层每十二到十八个月就换一张面孔、有时甚至在几小时内更换时，又如何能要求制定长期的网络安全战略、在技术债务修复上做出果敢的预算仲裁、推行连贯的数字主权方针？
从孤立泄露到信任崩塌
真正的转折是质变。当CNIL观察到影响超过一百万人的违规事件数量在一年内翻了一番、从二十余起增至四十余起时，这是威胁规模的改变。由真实碎片（真实的民事身份、真实的社保号码、真实的行政记录）构建的合成身份，远比拙劣的欺诈难以察觉。它使系统性冒名顶替成为可能，使针对脆弱群体的定向锁定成为可能，使基于可核实公共数据的可信影响力运动成为可能。每一次新增的泄露不仅增加了受害者：它充实了一个累积的、永久的攻击资源库，可被任何行为者——无论是国家还是罪犯——利用。而当CNIL开出的创纪录罚单（2024年5,520万欧元，仅Free一家2026年即4,200万欧元）上缴国库而非赔付给受害者时，向公民传递的信息是毫不含糊的：国家处罚，但不修复，尤其是并不从结构上纠正原因。
这种技术疏忽、一次性部委职位和不断推迟的补丁的累积，不能再被视为一次意外事故。这是一笔被刻意欠下的债务，由一连串数字能力很少超出危机公关水平的政治负责人所背负。而账单，最终不会由历任部长支付，而将由每一位数字身份已被散布、可重组且长期受损的公民支付。
