La cybersécurité des citoyens : le grand angle mort

Si le citoyen n'a pas vocation à devenir un expert cyber, il doit être reconnu et préparé pour ce qu'il est déjà de fait : un rempart de première ligne contre les menaces numériques.

Il y a quelques semaines, l'ANTS - l'Agence nationale des titres sécurisés, celle qui gère vos passeports, vos cartes d'identité, vos permis de conduire - a été victime d'une cyberattaque touchant 11,7 millions de comptes. Noms, prénoms, dates de naissance, adresses électroniques, identifiants de connexion : autant de données désormais en circulation sur des forums criminels. Un hacker se faisant appeler "breach3d" a mis en vente une base présentée comme issue des systèmes de l'ANTS, entre 18 et 19 millions d'enregistrements. Ce serait l'une des plus grandes fuites de données administratives jamais enregistrées en France. Loin d'être un cas isolé, cette attaque illustre une tendance de fond que l’actualité très récente ne cesse de confirmer : Pierre & Vacances, SeLoger… autant d'incidents qui rappellent que la question n'est plus de savoir si les données des Français seront compromises, mais quand.

L’idée n’est pas d’être alarmiste mais ces épisodes illustrent, avec une clarté brutale, ce que j'observe depuis des années dans ce métier : nous avons collectivement consacré des ressources considérables à protéger les entreprises, les infrastructures critiques, les administrations Et pendant ce temps, malgré les efforts de nos institutions pour endiguer le problème, notamment à travers le déploiement d’une stratégie nationale cyber 2026-2030, le citoyen, à la fois le plus exposé et le moins armé, demeure le grand oublié de la cybersécurité.

Les chiffres du ministère de l'Intérieur sont sans appel. En 2025, 453 200 atteintes numériques ont été enregistrées en France, soit une progression de 87 % en cinq ans. Parmi elles, 33 % visaient directement des personnes physiques. Ce n'est pas un chiffre abstrait : derrière lui, des centaines de milliers de citoyens escroqués, harcelés, usurpés dans leur identité numérique. Les plateformes de signalement du ministère en témoignent : plus de 116 000 plaintes ont été enregistrées sur Thésée pour des escroqueries en ligne, près de 207 000 signalements de fraudes bancaires sur Perceval. Ces chiffres ne parlent pas d'entreprises du CAC 40. Ils parlent de madame et monsieur tout le monde, confrontés seuls à une menace face à laquelle le grand public est démuni. 

Les institutions ne manquent pas de bonne volonté. Le problème est structurel : pendant deux décennies, la cybersécurité a été pensée comme une affaire de professionnels, pour des professionnels. On a construit des politiques de sécurité, des PSSI, des SOC, des processus de mise à jour et de gestion des vulnérabilités. On a formé des RSSI, légiféré et imposé des référentiels exigeants. Tout cela était nécessaire. Rien de tout cela ne prépare un citoyen à reconnaître un SMS frauduleux.

Car voilà ce que les derniers incidents de sécurité révèlent dans leur dimension la plus concrète : les données dérobées suffisent largement à alimenter des campagnes de phishing. Avec vos nom, prénom et adresse email, des escrocs peuvent envoyer des courriels très crédibles, au nom de la préfecture, des impôts, pour soutirer des coordonnées bancaires ou réclamer un paiement. Le risque n'est pas abstrait. Il est dans la boîte mail de millions de Français.

On pourrait penser que la responsabilité repose sur les institutions et les entreprises, et qu’on ne peut pas demander au citoyen de devenir expert en sécurité informatique. C’est exact. Mais c’est précisément là que se situe l’angle mort. Le citoyen n’a pas vocation à devenir expert cyber de sa propre boîte mail. Il doit en revanche être reconnu pour ce qu’il est déjà devenu : un rempart de première ligne, massivement exposé, mais encore trop peu préparé. 

Attendre que l'État sécurise parfaitement chaque système public, c'est parier sur une perfection technique qui ne peut exister. Ce n'est pas une question de mauvaise volonté : c'est la nature du risque numérique. Le périmètre est trop vaste, les vecteurs d'attaque trop nombreux, les acteurs malveillants trop agiles. De ce que l’on en sait pour le moment, la faille exploitée lors de l'attaque ANTS ne relevait pas d’une prouesse technique : il suffisait de modifier un identifiant dans une requête pour accéder aux données d'un autre utilisateur, sans aucun contrôle. Même les systèmes bien financés, bien conçus, auditables, ont des angles morts. 

Nous devons donc collectivement appliquer au citoyen le même niveau d'exigence que celui que nous imposons aux entreprises depuis dix ans. Non pas pour transférer la responsabilité, mais parce que la résilience collective dépend aussi de la résilience individuelle. Un salarié sensibilisé ne clique pas sur un lien malveillant. Un citoyen informé reconnaît un faux SMS frauduleux. Le principe est le même. L'effort d'éducation, lui, doit être une priorité.

Et pour cela, ce que je défends, c’est un changement profond des mentalités et la nécessité d’une prise de conscience citoyenne. Les plateformes de signalement, aussi utiles soient-elles, ne peuvent pas remplacer l’acquisition massive d’une hygiène numérique de base. La question de savoir si un Français de 65 ans sait changer son mot de passe et activer la double authentification est une question de sécurité nationale, au même titre que la protection des opérateurs d'importance vitale. La demande est là. L'urgence est là. Il ne s’agit pas d’opposer prévention et action publique, mais de reconnaître qu’il faut aller au-delà de la sensibilisation : chaque citoyen doit aussi savoir quoi faire lorsque l’incident survient, vers qui se tourner, quels réflexes adopter et comment être accompagné dans les premières heures, au lieu de rester seul face à une situation qu’il ne maîtrise pas. Car la première ligne de défense reste encore trop souvent une personne seule, face à une menace qu’elle doit apprendre à reconnaître, et à laquelle elle doit pouvoir répondre.