Cyberattaques 2026 : la rétrospective du secteur public en France
Ce contenu fait partie d'un dossier en six volets sur les cyberattaques 2026 en France et en Europe.
Vous lisez le volet 1/6 La rétrospective du secteur public.
Volets suivants : 2/6 Secteur privé et volet européen ; 3/6 Impacts : fraude, ingénierie sociale et budgets ; 4/6 Cadre légal européen : RGPD, DORA, NIS2, CRA ; 5/6 LPM 2024-2030 et responsabilité du dirigeant ; 6/6 ROI cyber : 8 leviers chiffrés pour le Comex.
Note de transparence : cet article distingue les faits confirmés par une source officielle des éléments simplement revendiqués par des tiers (attaquants, forums spécialisés) et non encore vérifiés de manière indépendante ; ces derniers sont signalés et soulignés dans le texte.
FICOBA, DGFiP, ANTS, Éducation nationale : depuis janvier 2026, les administrations françaises enchaînent les cyberattaques qui exploitent des failles de sécurité. Ce n'est pas un hasard : les acteurs publics concentrent une donnée d'une qualité rare, sur des systèmes d'information souvent anciens. Ce premier volet du dossier en dresse la rétrospective, à l'usage des Comex, DSI et RSSI qui doivent en tirer les conséquences opérationnelles.
Une trajectoire, pas un pic isolé
Depuis janvier 2026, le rythme des incidents est soutenu. Lors d'un déplacement à l'Agence nationale des titres sécurisés, le Premier ministre Sébastien Lecornu a évoqué environ trois vols de données par jour en France depuis le début de l'année, qualifiant la situation de « casse du siècle » qui se répète presque chaque mois[1].
Ce constat n'est pas propre à 2026 : dès janvier 2024, la cyberattaque ayant touché les opérateurs de tiers payant Viamedis et Almerys avait exposé les données de plus de 33 millions d'assurés[2], et France Travail a été sanctionné 5 millions d'euros par la CNIL le 22 janvier 2026 pour un manquement lié à sa fuite de mars 2024. L'été 2026 confirme donc, à une autre échelle, une trajectoire engagée depuis plusieurs années plutôt qu'un accident isolé.
Des victimes de choix : qualité de la donnée et dette technologique
Loin d'être des victimes prises au hasard, les acteurs publics constituent des cibles de choix pour les attaquants : ils concentrent des données d'une qualité et d'une exhaustivité rares (identité, fiscalité, santé, armement), tout en portant souvent un patrimoine applicatif ancien et coûteux à moderniser. Cette dette technologique, conjuguée à la valeur de la donnée détenue, pourrait expliquer la récurrence des incidents plutôt qu'un simple effet de calendrier.
Les chiffres de l'ANSSI le confirment sur la durée : en 2024, l'agence a traité 218 incidents affectant les collectivités territoriales, soit 14 % de l'ensemble de ses incidents[3]. En 2025, les ministères et collectivités territoriales ont représenté 24 % des 1 366 incidents traités par l'agence[4]. La Cour des comptes, dans son rapport du 16 juin 2025, chiffre des coûts directs de 960 000 € pour la métropole Aix-Marseille-Provence (mars 2020) et de plus de 1,5 million d'euros pour la ville de Bondy (novembre 2020), auxquels s'ajoutent des coûts indirects difficiles à chiffrer.
FICOBA, DGFiP, ANTS, Éducation nationale : la chronologie 2026
FICOBA (DGFiP), février 2026. Entre fin janvier et le 13 février 2026, un acteur malveillant ayant usurpé les identifiants d'un fonctionnaire a extrait des données du fichier national des comptes bancaires. Environ 1,2 million de comptes sont concernés : identité, adresse, coordonnées bancaires et, dans certains cas, identifiant fiscal[5].
DGFiP, juin-août 2026 : trois failles distinctes. Indépendamment de FICOBA, la DGFiP a reconnu, le 14 août 2026, une première intrusion fin juin (données fiscales de 350 000 particuliers et 250 000 entreprises), puis une seconde fin juillet visant les fichiers cadastraux. Un attaquant « ZeroBytes » a revendiqué, les 12 et 13 août 2026, la revente de 678 438 lignes ; les notifications ont débuté le 17 août. Une troisième intrusion a été annoncée le 18 août, occasion pour le gouvernement de présenter ses excuses et d'annoncer un programme de bug bounty[6].
ANTS / France Titres, avril 2026. Le 15 avril 2026, l'ANTS a détecté une intrusion exploitant une faille IDOR (Insecure Direct Object Reference), permettant d'accéder aux dossiers de n'importe quel usager en modifiant un identifiant dans une requête. Le ministère de l'Intérieur a confirmé, le 21 avril, que 11,7 millions de comptes étaient concernés. Certaines sources spécialisées ont évoqué une base élargie de 18 à 19 millions d'enregistrements, un chiffre non confirmé par les autorités. Cette affaire a conduit le gouvernement à débloquer 200 millions d'euros en urgence pour la cybersécurité de l'État[7].
Éducation nationale, trois incidents en 2026. En mars, le portail RH « Compas » a exposé les données de 243 000 agents ; en avril, une intrusion a visé ÉduConnect ; dans la nuit du 25 au 26 juillet, l'usurpation d'un compte professionnel a exposé des données d'agents ayant exercé en académie depuis 2001[8]. Le 17 août, un groupe a publié une partie des données en ligne : selon ses propres déclarations, non confirmées par le ministère, le volume atteindrait 43 Go et 2 500 fichiers.
Fédérations, associations : une fuite peut devenir un risque physique
La séquence ne s'arrête pas à l'administration centrale : les fédérations délégataires d'une mission de service public ont, elles aussi, été frappées en série.
FFTir
Date : 18-19 oct. 2025
Incident : Vol de données adhérents
Volume : 250 000 actuels + 750 000 anciens
Statut : Confirmé — lié à ~20 cambriolages
FNC (chasseurs)
Date : 20 janv. 2026
Incident : Intrusion espace adhérents
Volume : 1 à 1,4 M personnes (est.)
Statut : Confirmé
SIA (armes)
Date : 24-25 mars 2026
Incident : Fuite détenteurs d'armes
Volumes : ~62 500 armes
Statut : Revendiqué
FFVoile
Date : 26 mars 2026
Incident : Fuite données membres
Volume : 447 445 membres
Statut : Confirmé
Cette accumulation illustre la façon dont une fuite de données peut se prolonger en risque de sécurité physique pour des particuliers en règle, un argument pour la convergence sûreté/cybersécurité développée dans le dernier volet de ce dossier[9].
Cette rétrospective du secteur public trouve son pendant dans le volet suivant du dossier, consacré au secteur privé (SFR, Dipeeo) et au contexte européen — la même trajectoire s'y retrouve, à une autre échelle.
Ce qu'il faut retenir
Quelles administrations françaises ont été touchées en 2026 ?
FICOBA (février), l'ANTS (avril), l'Éducation nationale (mars, avril puis juillet-août) et la DGFiP, touchée une seconde fois entre juin et août par trois intrusions distinctes de celle de FICOBA. S'y ajoutent des fédérations délégataires d'une mission de service public : FFTir, FNC, SIA et FFVoile.
Les hôpitaux, éternelles cibles
Le secteur de la santé reste, lui aussi, sous tension constante. Selon le rapport 2025 du CERT Santé, 764 incidents ont été recensés, contre 749 en 2024 : un volume en apparence stable. Mais cette photographie globale masque une évolution de fond : les rançongiciels, longtemps première menace du secteur, reculent de 30 %, tandis que les compromissions de comptes, les fuites de données et les escroqueries progressent. Ce basculement traduit des modes opératoires plus discrets et plus sophistiqués, susceptibles de dépasser la maturité cyber d'une partie de nos établissements de santé.
Sources
• ANSSI / CERT-FR, Panorama de la cybermenace 2025 et synthèse Collectivités territoriales (2025)
• Cour des comptes, La réponse de l'État aux cybermenaces sur les systèmes d'information civils, 16 juin 2025
• Ministère de l'Économie, Banque de France, Assemblée nationale (FICOBA, DGFiP) ; ministère de l'Intérieur, info.gouv.fr (ANTS)
• Ministère de l'Éducation nationale (communiqués officiels) ; parquet de Paris / franceinfo (FFTir)
[1] Premier ministre, déplacement du 30 avril 2026, info.gouv.fr
[2] CNIL, communiqué du 7 février 2024
[3] CERT-FR, synthèse Collectivités territoriales, 2025
[4] ANSSI, Panorama de la cybermenace 2025
[5] Ministère de l'Économie, Banque de France, question écrite n° 13230 à l'Assemblée nationale
[6] DGFiP, communiqués des 14 et 18 août 2026
[7] Ministère de l'Intérieur, info.gouv.fr, 30 avril 2026
[8] Ministère de l'Éducation nationale, communiqués des 14 avril et 3 août 2026
[9] Parquet de Paris, FranceInfo, janvier 2026
