UECC 2026 : bilan d’un été cyber « horrible » pour la France
Le secteur cyber français est sous le choc après un été qualifié d’horrible par l’ANSSI. L’écosystème français réuni par Hexatrust pour ses Universités d’Été (UECC) doit se remobiliser après les attaques. En espérant que le projet de loi Résilience passe enfin à l’Assemblée.
L’édition 2026 des universités d’été Hexatrust s’est tenue début septembre dans une ambiance très particulière. Les fuites de données massives de l’été qui ont frappé l’État français ont laissé l’écosystème sous le choc. Après l’ANTS en avril, la chute de la DGFiP sonne comme un rappel à l’ordre.
Certes, avec 234 startups, 43 scaleups et 2 licornes selon le radar Wavestone Bpifrance, l’écosystème cyber français n’a jamais compté autant d’entreprises innovantes. Avec 15,6 milliards € levés en 2025, jamais le secteur n’a disposé d’autant de financements. Et pourtant, l’État, les collectivités locales, les entreprises, en particulier les PME, restent extrêmement exposés.
L’attaque contre la DGFiP sera-t-elle le point de rupture qui fera bouger l’État ? Une attaque où (comme l’a rappelé le député Philippe Latombe) le RSSI de la DGFiP n’était que le N-4 de la DG !
Une débauche d’initiatives depuis l’attaque sur l’ANTS
Pour Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, la réponse est oui. Il s’agit bien d’un tournant : « Sans m’attarder sur le mode opératoire de cette attaque ni sur le fait que certains ont tenté d’en minimiser la gravité, j’estime au contraire que cette cyberattaque est particulièrement grave, en ce qu’elle met en péril la crédibilité de l’État quant à sa capacité à protéger les données des citoyens, des entreprises et des collectivités locales. »
« L’État a une obligation morale. Nos concitoyens n’ont pas le choix de lui confier leurs données. Il doit tout faire pour les protéger. Cette obligation n’a pas été satisfaite à plusieurs reprises. »
Vincent StrubelDirecteur général de l’ANSSI
Le rappel est d’autant plus bienvenu que la cybersécurité n’est pas qu’une affaire de techniciens ou que l’on délègue aux DSI. « C’est un enjeu de gouvernance, au même titre que la stratégie financière, la gestion des ressources humaines ou la mise en conformité réglementaire », insiste Anne Le Hénanff.
Vincent Strubel, directeur général de l’ANSSI, acquiesce. « C’est grave pour la confiance en général et en particulier quand cela touche l’État. L’État a une obligation morale particulière. Nos concitoyens n’ont pas le choix de lui confier leurs données ou pas. L’État doit donc tout faire pour les protéger. [Or] c’est une obligation qui n’a pas été satisfaite à plusieurs reprises ces mois passés. »
Autre annonce majeure, la transformation de la Dinum en une autorité référente pour l’IA et le numérique de l’État. Celle-ci dispose d’un mandat renforcé pour définir, imposer et contrôler les règles d’architecture, spécifications et bonnes pratiques pour l’ensemble de l’État.
Dorénavant, les ministères ont un objectif clair de dépense dans la cybersécurité : 5 % du budget numérique dédié à la cybersécurité dès 2027 pour atteindre 10 % en 2030.
La ministre a aussi rappelé le déblocage d’une enveloppe de 200 M€ dans le cadre de France 2030, la création d’un laboratoire IA & Cyber au sein de l’ANSSI et d’une capacité renforcée de réaction, d’intervention et d’assistance au service de l’État, baptisée REACTIV, également au sein de l’ANSSI.
Ce dispositif permet de mobiliser immédiatement les compétences et les moyens nécessaires aux côtés des ministères en cas de compromission des comptes utilisateurs, par exemple. Ce renforcement doit permettre de mieux circonscrire les attaques et lutter plus efficacement contre les exfiltrations de données.
Toujours pas de visibilité sur NIS 2
Reste que la multiplication de ces mesures d’urgence contraste avec le retard du gouvernement dans la transposition de NIS 2. Un retard de 2 ans désormais !
Et pourtant, Anne Le Hénanff n’a pas su dire quand le gouvernement allait inscrire le projet de loi Résilience à l’agenda de l’Assemblée nationale pour son premier examen.
Résultat, Vincent Strubel, directeur général de l’ANSSI, en est réduit à demander aux entreprises et aux collectivités de mener leurs travaux de mise en conformité… alors que le texte n’est pas voté. Quant à imposer le MFA sur toutes les applications de l’État, le chantier reste ouvert.
« On a vécu un été horrible. On, c’est l’ANSSI, évidemment, toutes les équipes cyber opérationnelles des ministères, mais aussi dans les entreprises, beaucoup d’équipes numériques dans les ministères, l’éducation nationale, etc. », renchérit Vincent Strubel. Un patron de l’ANSSI qui insiste sur la frustration de ses équipes qui devaient intervenir alors que le mal était déjà fait et que, au mieux, elle ne pouvait que limiter la casse et, au pire, dans bien des cas, faire simplement un post-mortem.
Une nouvelle menace « protéiforme » et difficile à analyser
Sur les raisons de cet été en enfer, son diagnostic est que l’on a affaire à l’émergence d’un nouveau type de menace. « Depuis des années nous sommes confrontés à des menaces cyber avec des États qui nous espionnent depuis toujours et qui font des choses de plus en plus inquiétantes », analyse Vincent Strubel. « Depuis 6 ou 7 ans, nous sommes confrontés à des groupes du crime organisé qui sont très structurés. On a aussi des groupes d’hacktivistes qui défendent des causes diverses et variées et qui sont parfois des proxys d’États. Mais ce que nous avons vu apparaître depuis fin 2025, c’est une criminalité non organisée d’une part et endogène d’autre part. »
« Cette menace est peu documentée : on ne dispose pas des sources d’information habituelles, pas de CTI, pas de grands éditeurs qui font un suivi régulier sur elle, etc. »
Vincent StrubelDirecteur général de l’ANSSI
Il évoque par exemple de jeunes Français ou francophones, qui communiquent entre eux, qui partagent des secrets, des méthodes d’attaque, mais qui ne font pas partie d’une organisation et qui n’obéissent pas à un chef.
Face à cette nouvelle menace, la parade reste à trouver. « On ne l’a pas vu venir, comme c’est souvent le cas quand il y a de grandes évolutions », admet sans détour le patron de l’ANSSI. « Cette menace est peu documentée : on ne dispose pas des sources d’information habituelles, pas de CTI, pas de grands éditeurs qui font un suivi régulier sur elle, etc. »
Cette menace « protéiforme » se prête donc assez mal à une cartographie en l’absence de toute infrastructure et de notion de groupe. « Elle nous prend au dépourvu aussi par sa finalité : ce sont des gens motivés par le réputationnel, ils font cela pour se mettre en valeur, briller et avoir un moment de lumière et décrédibiliser leur victime, notamment l’État ».
Pour ne rien arranger, ces nouveaux attaquants ne semblent pas s’inquiéter qu’on les arrête. « De ceux qui s’en sont pris à des cibles françaises, beaucoup se sont fait interpeller. Mais cela ne semble pas les dissuader. »
Le directeur général pointe les caractéristiques clés du modus operandi de ces nouveaux attaquants : leurs attaques ne sont ni sophistiquées ni furtives. Il n’y a pas de recherche de latéralisation, pas d’escalade. L’attaquant ne cherche pas à prendre le contrôle d’un système pour s’y implanter dans la durée et faire de l’exfiltration ou pour le chiffrer comme les groupes de rançongiciels. L’attaquant va essentiellement réutiliser des identifiants captés par un infostealer ou lors d’attaques précédentes.
Vincent Strubel ajoute que si ces attaquants ne cherchent pas à être discrets et attrapent toutes les données qu’ils peuvent, ils agissent surtout très rapidement, ce qui rend leur interception compliquée avec les approches de cybersécurité classiques.
« Ce qui est nouveau aussi, c’est qu’ils s’en prennent à des systèmes qui étaient jusqu’ici peu attaqués », complète-t-il. Car comme le remarque Vincent Strubel, les services de l’État ne sont pas devenus soudainement vulnérables au cours de ces derniers mois. Les vulnérabilités qui sont exploitées aujourd’hui existent depuis toujours.
