Le tonneau percé de la cybersécurité
Les Danaïdes, condamnées aux Enfers, devaient remplir pour l'éternité un tonneau percé. Ce mythe a près de trois mille ans. Il n'a jamais aussi bien raconté la France de 2026.
L'asymétrie qui condamne les défenseurs à verser sans fin
Les Grecs avaient inventé un supplice d'une modernité troublante.
Les Danaïdes, condamnées aux Enfers, devaient remplir pour l'éternité un tonneau percé. Elles puisaient, versaient, recommençaient. Et le niveau ne montait jamais. L'eau s'échappait plus vite qu'elles ne pouvaient la verser.
Ce mythe a près de trois mille ans. Il n'a jamais aussi bien raconté la France de 2026.
Une année à fuir
Faisons simplement le compte.
En février, ce sont nos comptes bancaires. Entre fin janvier et le 13 février, un acteur malveillant a usurpé les identifiants d'un fonctionnaire extérieur à la DGFiP, qui disposait d'accès au titre des échanges entre ministères, pour se servir dans FICOBA, le fichier national des comptes bancaires. Au moins 1,2 million de comptes sont concernés, avec RIB, IBAN et identité des titulaires.
En avril, c'est l'ANTS. Le ministère de l'Intérieur annonce que 11,7 millions de comptes seraient touchés. Le parquet de Paris confirme avoir reçu le 16 avril un signalement faisant état d'une mise en vente de ces données sur le darkweb. Le plus troublant, c'est que l'alerte n'était pas neuve. Un an plus tôt, l'ANSSI avait contesté l'authenticité d'une base similaire mise en vente en mars 2025, sans lien identifié avec l'agence selon elle. On avait entendu le signal. On l'avait classé.
En août, la DGFiP encore. Après avoir usurpé les identifiants d'un agent et d'un tiers habilité, un attaquant a circulé dans son système d'information en juin et juillet ; les intrusions avaient été détectées, mais le vol de données n'a été constaté qu'après la revendication du pirate en août. Bilan : près de 678 000 particuliers et professionnels, avec leur revenu fiscal de référence, leur quotient familial ou leur taux de prélèvement à la source. L'administration a appris l'exfiltration presque au même moment par une alerte de l'ANSSI et par la revendication de l'attaquant. Et pour faire bonne mesure, le même acteur affirme avoir touché le serveur des données cadastrales, avec plus de 2 millions de propriétaires concernés.
Dans le même temps, l'Éducation nationale reconnaissait une intrusion dans l'un de ses systèmes, remontant à la nuit du 25 juillet.
Relisez ces lignes lentement. Comptes bancaires, état civil, revenus, patrimoine. En quelques mois, une partie de nos vies s'est retrouvée dans la nature. Pas chez un obscur site de e-commerce. Chez l'État.
La règle que personne n'aime rappeler
Il serait facile d'accuser l'incompétence. Ce serait faux, et surtout inutile.
Car ces fuites obéissent à une loi aussi brutale qu'implacable, que les spécialistes appellent l'asymétrie du défenseur. Elle tient en une phrase : le défenseur doit avoir raison partout, tout le temps. L'attaquant n'a besoin d'avoir raison qu'une seule fois.
Le défenseur doit protéger chaque serveur, chaque poste, chaque compte, chaque prestataire. Mille portes à verrouiller, chaque jour, sans exception. L'attaquant cherche une fenêtre. Une seule. Il peut échouer cent fois sans conséquence. Au cent unième essai, il entre.
Regardez bien les affaires de cette année. Aucun pirate n'a défoncé de mur. Aucun n'a déployé d'arme digne d'un film d'espionnage. Ils ont emprunté des clés. L'identifiant d'un fonctionnaire. Celui d'un partenaire. Celui d'un agent. Sur les deux premières intrusions à la DGFiP, le schéma est toujours le même : un accès légitime, détourné.
Pourquoi briser une porte blindée quand on peut sonner avec le bon badge ?
Des outils, toujours plus d'outils
Face à cela, notre réflexe est connu. Une menace apparaît ? On achète une solution.
Un antivirus, puis un EDR. Un pare-feu, puis un pare-feu nouvelle génération. Un SIEM, un SOC, un CASB, un IAM, un PAM, une sonde, un outil de gestion des vulnérabilités, un autre pour les identités, un troisième pour surveiller les deux premiers. Les DSI connaissent la chanson : chaque incident engendre un nouveau contrat, chaque contrat un nouveau tableau de bord.
Le problème, c'est que chaque outil est lui aussi une porte. Il faut le configurer, le mettre à jour, lui donner des droits, souvent très élevés. Il faut des équipes pour l'exploiter, quand on manque déjà de bras. Et il faut surtout que quelqu'un regarde ses alertes. La DGFiP avait détecté les connexions suspectes. Personne n'en avait tiré la bonne conclusion à temps.
On empile les cruches. Le tonneau, lui, reste percé.
Des normes, toujours plus de normes
À la multiplication des outils répond celle des textes.
RGPD. ISO 27001. HDS pour la santé. SecNumCloud pour le cloud. DORA pour la finance. PSSIE pour l'État. Guides d'hygiène, référentiels sectoriels, politiques ministérielles. Et désormais, un Référentiel Cyber France publié par l'ANSSI le 17 mars 2026, pour préparer la conformité avant même que la loi existe.
Chaque texte part d'une intention louable. Mais leur accumulation produit un effet pervers : la sécurité devient une affaire de cases à cocher. On passe ses semaines à prouver qu'on est conforme plutôt qu'à vérifier qu'on est protégé. Les RSSI se transforment en juristes, leurs équipes en producteurs de tableaux Excel.
Et l'on finit par confondre l'attestation avec la réalité. Une organisation peut cocher toutes les cases et rester une passoire.
Les règles que l'État ne s'applique pas
Il y a plus dérangeant encore. Avant d'exiger des autres, l'État s'est donné ses propres règles.
Le décret n° 2022-513 du 8 avril 2022 fixe la gouvernance de la sécurité numérique dans les administrations et leurs établissements publics, et impose une homologation de sécurité de leurs infrastructures et services. Il fait reposer la responsabilité de la sécurité des établissements publics sur leurs dirigeants exécutifs. Analyse des risques, homologation formelle, responsable désigné, comitologie : tout est écrit noir sur blanc depuis plus de quatre ans.
Sur le terrain, l'application reste inégale. Trop de systèmes tournent sans homologation à jour, trop de dirigeants ignorent qu'ils portent personnellement cette responsabilité, trop de prestataires disposent d'accès que personne ne revoit. Les fuites de 2026 en sont la preuve la plus cruelle : des identifiants de partenaires toujours actifs, des droits jamais réexaminés. Exactement ce qu’une homologation sérieuse aurait dû débusquer.
D'ailleurs, que promet la DGFiP depuis ? Généraliser la double authentification à tous ses agents d'ici fin 2026 et revoir les droits accordés aux partenaires externes. Des mesures de bon sens. Qui arrivent après la fuite.
NIS 2, ou l'art d'attendre
Et pendant ce temps, la grande réforme européenne patiente dans un tiroir.
La directive NIS 2 devait changer d'échelle. Elle doit s'appliquer en France à plus de 15 000 entités dans 18 secteurs, contre environ 300 opérateurs sous NIS 1, ainsi qu'à près d'un millier d'intercommunalités et 300 communes de plus de 30 000 habitants. Une révolution, sur le papier.
Sauf que la date limite de transposition était fixée au 17 octobre 2024. La dissolution est passée par là, puis un blocage politique au Sénat. Au 1er janvier 2026, 20 États membres sur 27 avaient déjà transposé, laissant la France en retrait. Bruxelles a fini par perdre patience : le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France pour défaut de transposition.
Le texte arrive enfin. Le projet de loi Résilience est inscrit à l'Assemblée nationale à partir du 7 octobre 2026, soit deux ans après l'engagement de la procédure accélérée. Deux ans de procédure dite "accélérée". Pendant lesquels les attaquants, eux, n'ont pas attendu le Journal officiel.
Le mensonge du tableau de bord
Voilà donc le paysage. Des outils qui se multiplient. Des normes qui s'empilent. Des décrets que l'on n'applique qu'à moitié. Une directive européenne qui patiente. Et au milieu, des équipes épuisées, sincères, qui versent et versent encore.
Le plus dangereux, c'est que tout semble aller bien. Les audits sont conformes. Les indicateurs brillent en comité de direction. On mesure les efforts. Personne ne mesure les fuites.
Jusqu'au matin où un pirate publie un échantillon sur un forum. Et l'on découvre que les données ne sont pas sorties par une brèche béante, mais par des dizaines de petites fissures que personne ne regardait.
Arrêter de verser, regarder le tonneau
Alors, que faire ? Une cruche de plus ? Une norme de plus ? Un outil de plus ?
C'est exactement ce que font les Danaïdes. Et c'est exactement pour cela qu'elles sont condamnées.
Il faut d'abord boucher les trous avant d'acheter des cruches. Revoir les droits, fermer les comptes orphelins, couper les accès des partenaires qui n'en ont plus besoin, généraliser l'authentification forte. Rien de spectaculaire. Tout ce qui a manqué cette année.
Il faut ensuite appliquer les règles qui existent avant d'en écrire de nouvelles. Le décret de 2022 suffirait à éviter bien des drames s'il était respecté partout. Une homologation réelle vaut mieux que trois référentiels supplémentaires.
Il faut enfin penser en flux plutôt qu'en murs. Savoir où circulent les données, qui y touche, et pourquoi. Et accepter que l'intrusion arrivera, pour se demander combien de temps l'intrus restera invisible. Cette année, il a eu des semaines.
La question qui dérange
Une organisation accepte volontiers de dépenser pour se protéger. Elle accepte les audits, les contraintes, les budgets qui gonflent. Ce qu'elle accepte beaucoup plus mal, c'est de découvrir qu'après tous ces efforts, ses données continuent de fuir.
Il faut pourtant oser poser la question :
Nos données fuient-elles parce que nous ne les protégeons pas assez… ou parce que nous avons bâti un monde où l'information circule plus vite que notre capacité à la contrôler, et des règles que nous écrivons plus vite que nous ne les appliquons ?
Tant que nous refuserons d'y répondre, nous resterons des Danaïdes. Épuisées, méritantes. Et condamnées.
Le jour où nous la regarderons en face, nous cesserons enfin de reprocher aux défenseurs de ne pas verser assez vite.
Nous regarderons le tonneau.