Le phénomène touche n’importe qui, même les plus aguerris. Benoît Grünemwald, expert en cybersécurité au sein de l’entreprise Eset, est une victime parmi d’autres d’une fuite de données. Un jour, il est descendu dans le terrier pour le vérifier : sur le "dark Web", là où les hackers se réunissent et fixent le prix de leurs butins. Ce spécialiste des attaques informatiques avait eu vent d’une faille sur un site de réservation de voyages où il avait effectué une transaction. Il y retrouve le numéro de ses billets, le nom des passagers - sa famille -, sa destination, la durée exacte de son séjour, son adresse IP… Et finit par se questionner : y a-t-il beaucoup d’autres informations qui circulent sur son compte, livrées aux plus offrants ?
Sans doute, vu le degré de numérisation de nos vies. A minima des mots de passe, des adresses postales, des numéros de téléphone. Et des éléments plus sensibles encore. Des plateformes comme fuitesinfo.fr ou bonjourlafuite.org recensent quasi quotidiennement les brèches de sociétés privées - Intermarché et SFR rien que cet été - et de services administratifs et gouvernementaux. Une étude de la société de cybersécurité Check Point, datée d’avril 2026, rapporte que ces derniers sont devenus la principale cible, avec pas moins de 2 200 attaques par semaine en moyenne, dans le monde. La France, fortement numérisée, est une victime récurrente. "Nous avons un nouveau service : France Passoire", ironise la sénatrice Nathalie Goulet, dressant la liste des fuites ayant touché l’administration. Ces derniers mois, le fichier bancaire Ficoba, France Titres (l’ANTS) ainsi qu'un prestataire de Santé publique France ont subi des piratages importants avec, à la clé, des millions de données critiques libérées dans la nature… Dernier exemple en date, au retentissement national : un groupe de hackers, surnommé "ZeroBytes", a revendiqué une extraction de données de la Direction générale des finances publiques (DGFiP), concernant 678 000 particuliers et professionnels. Un "hack" des impôts, domaine régalien par excellence. David Amiel, le ministre des Comptes publics, a présenté ses excuses. La situation devient ubuesque : on ne peut refuser de fournir certaines informations à l’État, alors même qu'elles ne sont pas en sécurité.
Arnaques en série
Le gouvernement communique abondamment sur la "sophistication" de l’attaque ayant visé la DGFiP. Voire... Les hackers se seraient connectés au compte d’un agent des finances publiques en récupérant ses identifiants, ainsi que ceux d’un tiers. Un modus operandi courant depuis que l'accès à des fichiers sensibles au sein des entreprises et des administrations s'est élargi sous l’effet du Covid et du télétravail. La CNIL, le gendarme français des données personnelles, estime à ce jour que 80 % des vols de grande ampleur constatés résultent de l'usurpation de comptes protégés par un simple mot de passe. "Techniquement, les systèmes de l'Etat sont plutôt robustes, assure Alain Bouillé, délégué général du club des experts de la sécurité de l’information et du numérique (CESIN). Mais un château fort qui dispose de nombreuses portes, avec des clés disséminées aux quatre vents, s’expose à plus de risques."
Les professionnels de la cybersécurité en sont convaincus : les renseignements sur chacun d'entre nous sont désormais suffisamment nombreux pour établir des profils qui permettent de monter des arnaques élaborées. L’IA pourrait aggraver la situation, en aidant les cybercriminels à croiser les données glanées ici et là. Les détenteurs de cryptomonnaies, visés par des piratages puis des tentatives physiques d’extorsion, en font déjà les frais. Des données subtilisées à la Fédération française de tir ont récemment servi à des cambriolages et des vols d’armes chez ses membres. Cet effondrement généralisé de la confidentialité fait craindre à Nathalie Goulet une épidémie d’usurpations : ouverture d'un compte bancaire à l'insu de son prétendu titulaire, souscription frauduleuse d'un crédit... "Chez les hackers, l'identité devient plus rentable que le rançongiciel, ce chantage au blocage d'un système informatique", indique Karim Hamia, expert chez Check Point Software Technologies.
Biométrie et identité numérique
Au-delà de la protection des données, qui montre chaque jour ses limites, la lutte contre ce fléau se déplace donc sur un autre terrain : si l'écran est partout, comment savoir qui se trouve réellement derrière ? L’authentification multifacteur (MFA) constitue une première solution. Après le mot de passe, un second élément de preuve d'identité est demandé à celui qui se connecte, comme un code à 6 chiffres reçu par courriel ou sur une application. "C'est le b.a.-ba de la cybersécurité, souligne Thiébaut Devergranne, spécialiste du droit des nouvelles technologies passé par l'administration. Cela élimine la plupart des attaques." Jusqu’à 99 %, affirme l’agence fédérale de cybersécurité américaine, la CISA. Les banques et autres mutuelles ont franchi le pas depuis longtemps, pour leurs clients. Il est probable que vous l'utilisiez déjà pour accéder à votre boîte mail personnelle. La rendre obligatoire dans tous les services de l'administration, où subsistent des applications métiers vieillissantes, n'est certes pas aisé. Mais rien n’empêchait de l’anticiper, le MFA étant aussi vieux que le Web lui-même.
Deuxième parade - la meilleure à ce jour : la biométrie, soit le recours aux empreintes digitales ou aux traits du visage. "Sa force, c’est que l’authentifiant nous appartient. Ce n'est pas un aléa que l'on peut deviner ou trouver dans des bases de données, ce qui augmente la sécurité du système", commente Christophe Rosenberger, professeur en sciences informatiques à l’École nationale supérieure d'ingénieurs de Caen. Le procédé se démocratise à vitesse grand V. La plupart des smartphones proposent aujourd’hui un déverrouillage par le doigt ou le visage. "Cet appareil est devenu le nouveau coffre-fort de nos données personnelles", constate "Centho", un cyberjusticier anonyme qui traque les escrocs. Reste un "hic" aux yeux des pros de la cyber : "c'est une donnée qui n’est pas réversible. Si elle est compromise, elle ouvre une multitude de portes", admet Christophe Rosenberger.
L’Anssi, l’agence nationale de la sécurité des systèmes d’information, a malgré tout validé l’usage de certaines clés USB à empreinte digitale dans les services de l'Etat, signe que les lignes bougent. La biométrie est par ailleurs au cœur des identités numériques qui se déploient un peu partout en Europe. C’est le cas de France Identité, qui permet notamment d’utiliser le service FranceConnect sans mot de passe ni identifiant. Un portefeuille numérique personnel, sécurisé et gratuit doit être proposé à chaque citoyen de l'UE d'ici fin 2026. Ces dispositifs pourraient aussi être utilisés pour contrôler l’accès des mineurs aux réseaux sociaux. Ou stocker localement des données, via l'appareil de son choix. "Sur Internet, personne ne sait que vous êtes un chien", s’amusait un dessin du New Yorker il y a 33 ans. A l’ère des fuites massives de données, il devient indispensable de prouver qu'on ne l'est pas.
