Fuites de l’été : l’attaquant ne force plus, il se connecte

Entre le 7 juin et le 18 août 2026, la liste s’est allongée presque chaque semaine : Tchap, JeVeuxAider, l’Insee, Le Compte Asso, l’Éducation nationale, France VAE, Bloctel, Santé publique France, la DGFiP. Neuf services numériques publics, des dizaines de communiqués, des millions de personnes concernées.

La tentation est grande de ranger tout cela dans la case « problème de l’État ». Ce serait une erreur de lecture. Cet été n’a pas révélé une faiblesse propre à l’administration : il a offert une démonstration grandeur nature de la façon dont on entre aujourd’hui dans un système d’information. Et cette façon-là fonctionne exactement pareil chez un artisan, une association ou un cabinet de trois personnes.

Voici ce qu’il faut en retenir quand on dirige une petite structure — ou quand on accompagne des publics qui vont recevoir, dans les semaines qui viennent, des appels et des messages remarquablement bien renseignés.

1. Neuf fuites en dix semaines : ce qui a été annoncé

Le décompte mérite d’être posé à plat, parce que sa lecture séquentielle donne une impression de déluge alors que le mécanisme, lui, est répétitif.

Deux précisions honnêtes avant d’aller plus loin. D’abord, ces chiffres ne s’additionnent pas : les populations se recoupent, et plusieurs périmètres sont encore en cours d’analyse. Ensuite, tous ces incidents ne se ressemblent pas — une vulnérabilité applicative n’est pas un mot de passe volé. Mais dans la majorité des cas documentés, le point d’entrée est le même.

2. Le fil rouge : personne n’a forcé la porte

Tchap : un compte utilisateur usurpé. L’Éducation nationale : un compte professionnel usurpé. Bloctel : un compte professionnel autorisé à interroger la base — la base elle-même n’a pas été compromise, précise la DGCCRF. La DGFiP : les identifiants d’un agent et ceux d’un tiers habilité.

Aucune de ces intrusions ne repose sur une prouesse technique. L’attaquant s’est connecté avec des droits valides, et il a fait ce que ces droits l’autorisaient à faire — en beaucoup plus grand.

Le communiqué de Bercy du 14 août contient d’ailleurs l’aveu le plus instructif de tout l’été. La DGFiP avait bien détecté les intrusions et coupé les comptes concernés ; mais « les contrôles d’accès réalisés à cette occasion n’ont pas permis de détecter que ces intrusions avaient conduit à des vols de données ». Autrement dit : on a vu quelqu’un entrer, on ne l’a pas vu repartir avec les cartons.

Un second fil rouge, moins commenté, parle encore plus directement aux petites structures : dans plusieurs de ces incidents, le maillon faible n’appartenait pas à l’organisation victime. Le compte compromis chez Bloctel était celui d’un professionnel extérieur autorisé à interroger la base. La plateforme touchée à Santé publique France était hébergée chez un prestataire, distincte des systèmes principaux de l’agence. Et la DGFiP mentionne explicitement, à côté de l’agent, « un tiers habilité ». On peut externaliser un service ; on n’externalise jamais le risque. Une TPE qui confie sa paie, sa comptabilité, son site web et sa facturation à quatre prestataires différents a, de fait, quatre portes qu’elle ne surveille pas elle-même.

C’est exactement le raisonnement que Bercy a retenu dans le plan annoncé le 19 août : généralisation de la double authentification à tous les agents de la DGFiP d’ici fin 2026, mais aussi quotas de consultation sur les fichiers sensibles et détection des comportements inhabituels. Un agent qui ouvre trente dossiers par jour et en demande soudain deux cent mille à trois heures du matin doit déclencher autre chose qu’une ligne de journal.

3. Votre entreprise est déjà dans la même situation

Ce n’est pas une extrapolation : c’est ce que mesurent les chiffres français depuis un an. Dans son rapport d’activité 2025, Cybermalveillance.gouv.fr classe désormais le piratage de compte en tête des menaces visant les entreprises et associations.

La dernière ligne est la plus parlante, et Cybermalveillance en donne elle-même l’explication : la hausse des piratages informatiques « est liée aux hameçonnages réussis et aux violations de données », parce que « les comptes fuités ou hameçonnés constituent un accès initial dans les systèmes d’information ». La boucle est bouclée. Une fuite quelque part fabrique l’intrusion suivante ailleurs.

4. L’angle mort : nous sommes équipés contre la menace d’hier

Le baromètre national de la maturité cyber des TPE-PME, réalisé par OpinionWay pour Cybermalveillance.gouv.fr auprès de 588 entreprises de moins de 250 salariés, met le doigt sur un décalage saisissant. Le trio d’équipement reste stable : 84 % d’antivirus, 78 % de sauvegardes, 69 % de pare-feu.

Et la double authentification ? 26 %. En progression de six points, certes. Mais un quart des entreprises seulement dispose de la seule mesure qui protège réellement contre la première menace qui les vise.

Le même baromètre ajoute deux données qui expliquent l’immobilisme mieux que n’importe quel discours : 58 % des dirigeants estiment ne pas savoir évaluer les conséquences d’une cyberattaque, et les trois quarts des TPE-PME consacrent moins de 2 000 € par an à leur sécurité informatique. On ne budgète pas un risque qu’on ne sait pas chiffrer. Or activer la double authentification ne coûte rien : c’est une case à cocher et vingt minutes de prise en main.

Il faut d’ailleurs redire ce que cette mesure protège exactement. Elle ne rend pas votre mot de passe incassable — elle rend le mot de passe volé insuffisant. C’est précisément le scénario de cet été : quelqu’un dispose du bon identifiant et du bon mot de passe, obtenus par hameçonnage ou récupérés dans une fuite antérieure, et se connecte tranquillement. Avec un second facteur, cette connexion échoue et vous en êtes averti. Sans lui, elle réussit et rien ne se passe — c’est bien le problème.

Une précision d’honnêteté, tirée du même dossier : la double authentification n’est pas infaillible. Bercy reconnaît que plusieurs comptes de la DGFiP déjà protégés par ce dispositif ont pu être compromis, et l’un des accès de juillet 2026 s’est fait en contournant le second facteur. Les campagnes d’hameçonnage modernes savent voler une session déjà ouverte ou intercepter un code à usage unique. Cela ne change rien à la priorité — passer de 26 % à 100 % d’entreprises équipées reste, et de loin, le geste le plus rentable de la liste. Mais cela justifie deux réflexes : préférer une clé physique ou une application dédiée à un code reçu par SMS, et ne pas s’arrêter à la porte d’entrée.

5. La recombinaison : pourquoi les vieux réflexes ne suffisent plus

Prise isolément, chacune de ces fuites paraît supportable. Un numéro de téléphone chez Bloctel. Un annuaire professionnel chez Tchap. Une adresse et une date de naissance chez JeVeuxAider. Un revenu fiscal de référence et une surface cadastrale à la DGFiP.

Le problème, c’est que ces bases ne s’additionnent pas : elles se recollent. Un escroc qui croise deux ou trois de ces jeux de données n’a plus besoin d’écrire « Cher client ». Il connaît votre nom, votre fonction, votre commune, la surface de votre bien, votre taux de prélèvement à la source. Il peut raconter une histoire vraie.

Il faut donc retirer de nos réflexes — et de nos ateliers — la vieille liste des signaux d’alerte. Les fautes d’orthographe, la formule impersonnelle, l’adresse d’expéditeur bancale : tout cela a cessé d’être fiable. Un message bien écrit et bien renseigné n’est pas un message légitime.

Ce qui reste vrai, en revanche, tient en deux points. L’urgence est un outil de manipulation : personne d’honnête n’a besoin que vous décidiez dans les trois minutes. Et surtout, on ne vérifie jamais dans le canal d’arrivée : on raccroche, et on rappelle soi-même au numéro officiel qu’on est allé chercher ailleurs. Cette règle-là fonctionne même quand l’interlocuteur sait tout de vous.

Pour celles et ceux qui animent des ateliers, le changement est loin d’être cosmétique. Demander à un groupe de « repérer les fautes d’orthographe » revient aujourd’hui à entraîner des gens sur un exercice périmé — et pire, à leur donner une fausse assurance : un message impeccable leur paraîtra fiable. L’exercice utile consiste désormais à travailler la vérification du canal, geste par geste, avec le téléphone dans la main : trouver le numéro officiel de sa banque au dos de sa carte, celui de son centre des finances publiques sur son avis d’imposition, et rappeler. C’est moins spectaculaire qu’une capture d’écran d’arnaque, mais c’est le seul réflexe qui résiste à un escroc bien renseigné.

6. Cinq gestes, et ce que vous devez faire si la fuite vient de chez vous

Aucun des gestes ci-dessous ne demande de budget. Ils demandent une décision et une matinée.

1. Activer la double authentification sur la messagerie professionnelle d’abord, puis sur la banque en ligne, le site web, les réseaux sociaux de l’entreprise et les plateformes comptables. Une application dédiée ou une clé physique valent mieux qu’un code par SMS.
2. Un mot de passe différent par service, avec un gestionnaire de mots de passe. Le vrai danger d’une fuite, c’est le mot de passe réutilisé ailleurs.
3. Dresser l’inventaire des comptes tiers. Qui accède à vos données depuis l’extérieur — cabinet comptable, prestataire informatique, agence web, plateforme de facturation, ancien stagiaire ? La rentrée est le bon moment : l’obligation de recevoir des factures électroniques, effective au 1^er septembre 2026, ajoute à cette liste un compte de plateforme de plus.
4. Révoquer ce qui ne sert plus. Comptes d’anciens salariés, accès de prestataires terminés, applications connectées oubliées. Un accès qui n’existe plus ne peut pas être volé.
5. Écrire la procédure « changement de RIB ». Toute modification de coordonnées bancaires se vérifie par un second canal, en rappelant un numéro connu. Une seule phrase affichée près du poste de comptabilité suffit.

Un mot enfin sur les contrôles. La CNIL a retenu pour 2026 trois thématiques prioritaires — le recrutement, le répertoire électoral unique et les fédérations sportives — mais ces contrôles thématiques ne représentent qu’environ 20 % de son activité. Le reste part de plaintes et de violations signalées. Autrement dit : ne pas figurer dans les priorités affichées ne protège de rien.

L’été 2026 n’a pas montré des attaquants plus brillants. Il a montré des organisations — publiques comme privées — qui ont passé vingt ans à fortifier l’entrée sans jamais regarder ce qui sortait. Pour une TPE, la bonne nouvelle est que le rattrapage ne coûte presque rien : une case à cocher sur la messagerie, une liste d’accès à jour, et une règle écrite pour les changements de RIB font, à elles trois, l’essentiel du chemin.

Num Compagny accompagne les TPE, PME et associations dans la sécurisation concrète de leurs accès : inventaire des comptes et des prestataires, mise en place de la double authentification, procédures de vérification et sensibilisation des équipes. Nos formations, en présentiel ou à distance, sont détaillées sur la page Formation professionnelle.