Le 12 novembre 2026, le CERT-FR a publié le deuxième point de situation de l’opération REACTIV, consacrée aux violations de données qui touchent les services de l’État. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité. Le rapport décrit les modes opératoires de façon synthétique : nous nous en tenons à ce qui est documenté et signalons ce qui relève de notre lecture.
Pour une lecture orientée dirigeant, voir notre décryptage « Fuites de données dans l’État : des pirates qui entrent avec les bonnes clés ».
Contexte
- Source : CERT-FR, CERTFR-2026-CTI-010, « Point de situation de l’opération REACTIV – octobre 2026 ». REACTIV est la capacité renforcée de réaction confiée à l’ANSSI par le Premier ministre le 1er septembre 2026, avec la possibilité d’imposer des mesures d’urgence aux ministères.
- Volume : 64 nouvelles violations de données portées à la connaissance de l’ANSSI depuis le 30 septembre, dont 5 concernent des ministères ou organismes sous tutelle. L’ANSSI relève une baisse importante des violations détectées ou revendiquées sur le périmètre des ministères, et des progrès significatifs sur le MFA.
- Faiblesses récurrentes listées : absence de MFA ou authentification faible ; sous-traitance et chaîne d’approvisionnement ; comptes compromis par des infostealers ; vulnérabilités de type IDOR (y compris traversée de répertoire) ; défauts de développement et de configuration. Aucune nouvelle classe de faiblesse n’est apparue depuis le point de septembre.
- Impacts : exfiltration de données d’identité et d’authentification (annuaires, condensats de mots de passe, comptes de service), de données de mineurs, de données sociales et financières, de données RH, et de boîtes aux lettres complètes pour les comptes compromis.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Vol d’identifiants en amont | Identifiants de comptes de partenaires issus d’infostealers (Vacaf) ; comptes techniques volés sur un serveur compromis (portail des bibliothèques du ministère de l’Europe et des Affaires étrangères) | T1555 Credentials from Password Stores ; T1552 Unsecured Credentials |
| Accès initial | Comptes valides sans MFA (Vacaf) ; compte d’agent compromis « avec validation du second facteur (SMS) » (France Travail) ; compte usurpé et exploitation d’une vulnérabilité (portail DEFI de l’ASP) | T1078 Valid Accounts ; T1111 Multi-Factor Authentication Interception (hypothèse, mécanisme non précisé) ; T1190 |
| Exploitation applicative | Adresse web exposant les identifiants de dossiers (Vacaf) ; IDOR sur l’API de paiement d’un portail public (permis de chasser, OFB) | T1190 Exploit Public-Facing Application |
| Élévation de privilèges | Tentatives bloquées (portail des bibliothèques) ; dans le cas de l’Éducation nationale (été 2026), exploitation de comptes à privilèges et latéralisation | T1078.003 / T1068 (non précisé) ; T1021 (latéralisation, non détaillée) |
| Collecte | Extraction automatisée du 8 au 10 octobre (Vacaf) ; annuaires, bases applicatives et boîtes aux lettres (Éducation nationale) | T1119 Automated Collection ; T1213 Data from Information Repositories ; T1114 Email Collection |
| Exfiltration et monétisation | Mise en vente sur un forum (Vacaf, France Travail), publication le jour même (OFB), revendication (ASP) | T1567 Exfiltration Over Web Service (canal non précisé) ; monétisation hors ATT&CK |
Faits techniques connus, cas par cas
- Vacaf (Caf) : combinaison de comptes de partenaires sans MFA et d’un IDOR ; près de 1,2 million de dossiers (noms, matricules, quotient familial, identités de mineurs, aides, réservations) ; pas de données bancaires ni de mots de passe ; remise en ligne conditionnée à un test d’intrusion et à la mise en place du MFA.
- France Travail : plus de 60 000 agents et professionnels ; exfiltration le 26 septembre, vente revendiquée le 8 octobre ; compte révoqué et adresses IP bloquées.
- Office français de la biodiversité : IDOR sur l’API de paiement du portail d’inscription à l’examen du permis de chasser, le 4 octobre ; plus de 1 000 personnes, dont des mineurs ; application coupée le soir même, usagers informés.
- Ministère de l’Europe et des Affaires étrangères : intrusion détectée le 20 octobre dans les environnements de production du portail des bibliothèques ; une centaine d’utilisateurs ; investigations avec le prestataire. Selon Cyberattaque.org, ce portail avait été audité et homologué avant sa mise en production en mars 2026 ; rien n’indique que l’audit soit en cause, la compromission initiale portant sur des comptes techniques volés ailleurs.
- ASP, portail DEFI : compromission le 30 septembre via un compte usurpé et une vulnérabilité ; 30 500 usagers notifiés.
- Ministère de l’Agriculture (contre-exemple) : certificats VPN compromis identifiés grâce au partage de marqueurs ; le MFA a empêché la connexion.
Ce qu’on ne sait pas
- Le mécanisme de validation du second facteur par SMS chez France Travail (relais d’hameçonnage en temps réel, détournement de ligne, fatigue de l’utilisateur ou autre).
- L’origine du serveur compromis qui a fourni les comptes techniques utilisés contre le portail des bibliothèques.
- Le détail des 59 autres violations signalées hors ministères.
Détection : trop souvent par la revendication
Dans plusieurs cas, la victime apprend la fuite par l’extérieur : mise en vente sur un forum (Vacaf, France Travail), revendication (ASP), publication (OFB). L’extraction de Vacaf a duré environ trois jours, ce qui interroge la surveillance des volumes de consultation pour des comptes légitimes. À l’inverse, l’intrusion sur le portail des bibliothèques a été détectée en production et l’élévation de privilèges bloquée, et le partage de marqueurs a permis d’identifier des certificats VPN compromis avant tout accès. L’ANSSI fixe l’ordre des priorités : renouveler les secrets compromis ou suspects, généraliser une authentification forte, contrôler strictement les comptes à privilèges et durcir le filtrage pour empêcher l’exfiltration. Elle renvoie à son retour d’expérience sur les violations de données applicatives du 20 octobre.
Questions d’audit ISO 27001:2022
- A.5.17 Informations d’authentification, A.8.5 Authentification sécurisée et A.5.19 Sécurité dans les relations avec les fournisseurs : les comptes de partenaires, prestataires et comptes techniques qui accèdent aux applications exposées sont-ils soumis à une authentification forte ? Pour les accès donnant accès à de gros volumes de données, le MFA par SMS a-t-il été remplacé par un facteur résistant à l’hameçonnage ?
- A.8.26 Exigences de sécurité des applications, A.8.28 Codage sécurisé et A.8.29 Tests de sécurité : les recettes et tests d’intrusion vérifient-ils le contrôle d’autorisation objet par objet sur les API et portails publics (absence d’IDOR) ? Le périmètre des audits avant homologation couvre-t-il les comptes techniques et les serveurs associés ?
- A.8.15 Journalisation et A.8.16 Activités de surveillance : une extraction massive par un compte légitime déclenche-t-elle une alerte ? Des seuils de consultation et des limitations de débit existent-ils sur les applications exposées ?
- A.5.17, A.8.2 Droits d’accès privilégiés et A.8.24 Utilisation de la cryptographie : les secrets des comptes techniques sont-ils inventoriés, stockés hors des serveurs applicatifs et renouvelés après un incident chez un prestataire ?
Piste complémentaire, A.5.7 Renseignement sur les menaces : l’organisme exploite-t-il les marqueurs partagés par les CERT et les signalements de fuites d’identifiants de ses utilisateurs et de ses partenaires ?
Pistes de sensibilisation
- Pour tous les utilisateurs : « mon mot de passe a peut-être déjà été volé ». Atelier de 15 minutes sur les infostealers (logiciels piratés, extensions douteuses, mots de passe enregistrés dans le navigateur) et sur l’intérêt d’une application d’authentification plutôt que du SMS. Support : la fiche « Piratage de compte » de Cybermalveillance.gouv.fr.
- Pour les chefs de projet et développeurs de portails : le test du « numéro suivant ». Démonstration sur un environnement de test de ce qui se passe quand on modifie l’identifiant d’un dossier dans une requête, puis inscription de ce contrôle dans la check-list de recette.
À lire aussi : notre décryptage pour les dirigeants et notre bulletin de veille du 13 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.