L’ANSSI a publié le 12 novembre 2026 un nouveau point sur les violations de données qui touchent les administrations. Son constat : dans la plupart des cas, les attaquants ne forcent rien, ils se connectent avec des identifiants volés et téléchargent ce que l’application leur montre. Les mêmes portes existent dans beaucoup de PME.
Ce qui s’est passé
Depuis septembre 2026, l’ANSSI dispose d’une capacité renforcée, baptisée REACTIV, pour aider les ministères touchés par des fuites de données. Son deuxième point de situation recense 64 nouvelles violations de données signalées depuis le 30 septembre, dont 5 dans des ministères ou des organismes sous leur tutelle (CERT-FR, 12 novembre 2026).
Plusieurs cas sont détaillés. Sur Vacaf, la plateforme d’aides aux vacances des Caf, près de 1,2 million de dossiers de familles ont été extraits entre le 8 et le 10 octobre, avec des noms, des identités d’enfants et des montants d’aides, mais sans données bancaires. Chez France Travail, les coordonnées de plus de 60 000 agents et professionnels ont été dérobées via le compte d’un seul agent. Le portail du permis de chasser de l’Office français de la biodiversité a exposé plus de 1 000 personnes, publiées en ligne le jour même. Au ministère des Affaires étrangères, le portail des bibliothèques a été visité par un intrus, avec une centaine d’utilisateurs concernés (Cyberattaque.org, 12 novembre 2026).
Comment l’attaque a fonctionné
L’ANSSI résume la technique en une phrase : réutiliser des secrets volés pour accéder aux applications et en extraire les données « de manière légitime ». Concrètement, trois portes reviennent.
Des mots de passe volés sur les postes. Des logiciels espions, souvent cachés dans des programmes piratés ou des pièces jointes, récupèrent les mots de passe enregistrés. Pour Vacaf, ce sont les comptes de partenaires qui ont été ainsi volés, et ils n’avaient pas de double authentification.
Une double authentification trop faible. Chez France Travail, le compte de l’agent était protégé par un code envoyé par SMS, et ce code a été validé. Le rapport ne dit pas comment ; d’autres attaques montrent qu’un faux site peut le demander en direct à la victime.
Des applications qui montrent le dossier du voisin. Sur Vacaf et sur le portail du permis de chasser, il suffisait de changer un numéro dans une adresse web ou une requête pour consulter les données d’une autre personne. Les spécialistes appellent cela une faille « IDOR ».
À l’inverse, au ministère de l’Agriculture, un attaquant détenait des certificats d’accès à distance volés, mais la double authentification l’a empêché d’entrer.
Ce qu’on ne sait pas encore
Le rapport ne détaille pas les 59 autres violations, hors ministères. On ignore aussi comment le code SMS a été contourné chez France Travail, et quel serveur a fourni les comptes volés utilisés contre le ministère des Affaires étrangères.
Ce que ça change pour une PME
- Activez la double authentification sur tout ce qui est accessible depuis Internet, y compris pour vos partenaires, prestataires et comptes techniques. Préférez une application d’authentification ou une clé physique au code par SMS pour les accès sensibles.
- Testez le « dossier du voisin ». Si vous avez un portail client ou un extranet, demandez à votre prestataire de vérifier qu’un utilisateur connecté ne peut jamais voir les données d’un autre en changeant un numéro.
- Surveillez les volumes. Un compte qui télécharge des milliers de fiches en une nuit doit déclencher une alerte, même s’il a le bon mot de passe.
- Changez les mots de passe dès qu’un doute existe, et interdisez les logiciels piratés sur les postes de travail. La fiche « Piratage de compte » de Cybermalveillance.gouv.fr rappelle les bons gestes.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Nos partenaires et prestataires qui se connectent à nos outils ont-ils tous une double authentification, et laquelle ?
- Avant de mettre en ligne notre portail, avons-nous vérifié qu’un client ne peut pas consulter les données d’un autre client ?
- Serions-nous alertés si un compte téléchargeait soudain beaucoup plus de données que d’habitude ?
- Savons-nous où sont stockés les mots de passe des comptes techniques, et les changeons-nous après un incident chez un prestataire ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Mots de passe et accès volés · Sites web et données clients
Cet article prolonge notre bulletin de veille du 13 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.