Fuite de données massive sur Service-public.gouv.fr : Vos données administratives dans la nature ?
Date 17-01-2026 11:06:00 | Sujet : Cyber-Sécurité
| C’est le genre de mail qu’on espère ne jamais recevoir un matin en ouvrant sa boîte de réception. Entre le 4 et le 9 janvier 2026, une faille de sécurité majeure a touché l’un des prestataires de la plateforme Service-public.gouv.fr, le passage obligé pour des millions de Français. Si le portail géré par la DILA semble avoir tenu bon, l’un de ses partenaires de confiance a mordu la poussière, laissant s’échapper des informations sensibles. Noms, prénoms, mais aussi et surtout des pièces justificatives envoyées lors de vos démarches administratives pourraient désormais circuler dans des sphères peu recommandables. Voici un tour d’horizon de ce qui s’est passé et des réflexes à adopter pour limiter la casse.
Un maillon faible qui coûte cher
Le scénario est devenu un grand classique de la cybercriminalité moderne, mais il n’en reste pas moins rageur. Cette fois, ce n’est pas le cœur même du réacteur de l’État qui a été forcé, mais une porte dérobée. En s’attaquant à un sous-traitant, les pirates ont réussi à mettre la main sur une partie du gâteau sans avoir à affronter les défenses principales de l’administration. Ce prestataire, dont l’identité reste pour le moment bien gardée sous silence par les autorités, a subi une intrusion qui a duré presque une semaine complète. Pendant ces quelques jours de janvier, celui-ci a laissé filer des paquets de données qui ne lui appartenaient pas, illustrant parfaitement la fragilité de nos chaînes de services numériques. On a beau blinder sa porte d’entrée, si le gars qui a les doubles des clés ferme mal son propre appartement, le risque finit toujours par nous retomber dessus.
Des documents d’identité dans la nature
Le vrai problème ici ne s’arrête pas à une simple liste de noms ou d’adresses mail. Ce qui inquiète vraiment, c’est la mention des pièces justificatives. Quand on fait une demande de passeport, une inscription sur les listes électorales ou qu’on règle un dossier d’urbanisme, on télécharge souvent des scans de cartes d’identité, des passeports ou des factures d’électricité. C’est précisément ce contenu qui a pu être siphonné. On imagine sans peine le régal pour des faussaires ou des spécialistes de l’usurpation d’identité qui récupèrent des documents officiels, récents et parfaitement valides. Ce genre de butin a une valeur d’or sur le dark web parce qu’il permet d’ouvrir des comptes bancaires en ligne ou de souscrire à des crédits à la consommation au nom de quelqu’un d’autre sans éveiller le moindre soupçon pendant des mois.
Une communication officielle feutrée
Pour l’instant, le gouvernement joue la carte de la discrétion habituelle. Dans la communication officielle envoyée aux victimes, on se contente d’évoquer « un des sous-traitants » sans plus de précision. Pas de nom d’entreprise, pas de domaine technique particulier, rien qui ne permette de pointer du doigt le responsable technique de cette bévue. Cette opacité agace souvent, mais elle répond à une logique de crise : éviter d’exposer davantage de failles tant que tout n’est pas totalement colmaté. La DILA affirme cependant que son partenaire a déjà pris les mesures nécessaires pour renforcer ses accès, notamment en revoyant la façon dont les agents administratifs se connectent aux services. C’est un peu comme changer les serrures après le cambriolage, c’est indispensable mais le mal est déjà fait pour ceux dont les dossiers sont déjà partis dans la nature.
Un des sous-traitants de Service-public.gouv.fr a rencontré un incident de sécurité entre le 4 et le 9 janvier. Cet incident de sécurité a occasionné la divulgation d’une partie de vos données personnelles renseignées lors d’une démarche en ligne que vous avez réalisée sur notre site. Il peut s’agir de vos données d’identification et le cas échéant de pièces justificatives produites à l’appui de votre demande.
Notre sous-traitant a pris les mesures nécessaires pour renforcer les mesures techniques de sécurité et notamment les modalités d’authentification des services instructeurs des administrations.
L’équipe Service Public
La CNIL une nouvelle fois en première ligne
Dès que l’alerte a été donnée, la procédure réglementaire s’est mise en marche avec la notification auprès de la Commission nationale de l’informatique et des libertés. C’est une obligation légale, mais c’est aussi ce qui permet aujourd’hui d’avoir une trace officielle de l’incident. En informant les usagers, l’État tente de limiter les dégâts collatéraux en jouant la transparence après coup. C’est d’ailleurs pour cette raison que certains d’entre vous ont reçu ce fameux courriel d’avertissement. Le message est clair : la sécurité absolue n’existe pas, même quand on s’appelle Service-public. La suite va maintenant se jouer sur le terrain juridique et technique pour comprendre comment une telle fuite a pu rester ouverte pendant cinq jours sans être détectée plus tôt.
Une menace qui va durer dans le temps
Maintenant que les données sont dehors, elles ne vont pas disparaître par magie. Le risque d’hameçonnage, ou phishing pour les intimes, va grimper en flèche dans les prochaines semaines. Imaginez recevoir un appel d’un prétendu conseiller administratif qui connaît déjà votre nom, votre date de naissance et le type de démarche que vous avez faite récemment. Il devient alors extrêmement facile de tomber dans le panneau et de donner des informations encore plus sensibles, comme ses coordonnées bancaires. Les pirates sont patients et vont sans doute attendre que l’affaire se tasse un peu pour ressortir ces fichiers et lancer des campagnes d’arnaques ultra-personnalisées. Il va falloir apprendre à douter de chaque message, même s’il semble venir d’une source officielle.
Les bons réflexes pour ne pas se faire avoir
Face à cette situation, il n’y a pas trente-six solutions, il faut rester en permanence sur ses gardes. La première règle, c’est la méfiance absolue vis-à-vis des demandes urgentes. Si on vous demande de valider à nouveau vos pièces d’identité par mail ou de cliquer sur un lien pour « sécuriser votre compte », ne faites rien. Les administrations ne demandent jamais de mots de passe ou de numéros de carte bleue par SMS ou par courriel. Il vaut mieux perdre deux minutes à se connecter manuellement sur le site officiel plutôt que de cliquer sur un lien douteux. En cas de doute sérieux sur une possible usurpation de votre identité, n’hésitez pas à jeter un œil régulier à vos comptes bancaires et à signaler tout mouvement bizarre. C’est pénible, c’est chronophage, mais c’est le prix à payer pour ne pas se retrouver avec une dette contractée par un inconnu à l’autre bout de la France.
2026 démarre sur les mêmes bases que l’année précédente
On le répète encore une fois, on espérait vraiment une petite accalmie pour entamer cette nouvelle année, mais force est de constater que 2026 démarre exactement là où 2025 s’était arrêtée : sous le signe des intrusions à répétition et des failles qui s’enchaînent. Cette fuite chez un prestataire de l’État n’est finalement que le dernier épisode d’une série noire qui n’en finit plus, prouvant une fois de plus que nos infos personnelles sont devenues une véritable monnaie d’échange sur le dark web.
C’est un rappel assez brutal qu’il faut rester sur ses gardes dès qu’on remplit le moindre formulaire, même sur un site officiel qui inspire la confiance. Aujourd’hui, la cybersécurité n’est plus seulement une affaire de techniciens, c’est devenu une vigilance quotidienne pour chacun d’entre nous. Face à des malfrats qui ont souvent un coup d’avance, autant ne pas leur faciliter la tâche en baissant la garde, car entre nous, il vaut mieux partir du principe qu’il n’y a plus grand-chose de privé nous concernant qui ne circule pas quelque part sur le réseau.
Mise à jour du 16 janvier : incident de sécurité sur HubEE confirmé
La DINUM a officiellement confirmé l’incident de sécurité sur la plateforme HubEE, qui sert d’infrastructure d’échange de documents pour plusieurs administrations et alimente notamment certaines démarches en ligne sur service-public.gouv.fr. Une intrusion a été détectée le 9 janvier 2026 (après un accès initial possible dès le 4 janvier), permettant aux attaquants d’exfiltrer environ 160 000 documents répartis dans 70 000 dossiers d’usagers. Ces documents contiennent pour certains des données personnelles sensibles (pièces d’identité, justificatifs de revenus, etc.).
La brèche a été rapidement colmatée : la plateforme a été temporairement mise hors ligne puis remise en service le 12 janvier, avec réinitialisation obligatoire des mots de passe et activation forcée de l’authentification à double facteur (via application mobile) pour les comptes administrateurs.
La direction interministérielle du numérique (DINUM) a détecté le 9/01/26 une intrusion sur HubEE, plateforme d’échange de documents qu’elle opère au bénéfice de plusieurs administrations pour leurs démarches en ligne, notamment certaines proposées sur service-public.gouv.fr.
Les administrations les plus impactées sont la DILA (qui gère service-public.gouv.fr), la DGCS, la DGS et la CNAF. À ce jour, les données exfiltrées n’ont pas été publiées sur le dark web ou ailleurs, et la DINUM maintient une veille active en lien avec l’ANSSI, la police judiciaire (plainte déposée le 12 janvier) et la CNIL. Des notifications individuelles ont été envoyées aux usagers concernés. Cet incident souligne une nouvelle fois les risques liés aux plateformes mutualisées de l’État, même si la réaction rapide a limité l’impact immédiat.
|
|