La norme de sécurité .gouv.fr qui n'existe pas : ni limitation de débit, ni détection d'intrusion, ni MFA, et une échéance post-quantique désormais obligatoire

Aucune agence française n’a publié de norme de sécurité intitulée « ni limitation de débit, ni détection d’intrusion, ni MFA ». La formule décrit ce que la série de fuites de données du secteur public français en 2026 a réellement révélé comme socle de fonctionnement, pas un document existant, et prendre la plaisanterie pour une citation ferait manquer ce qui a changé cette année : la migration post-quantique est passée d’une recommandation à une échéance datée et obligatoire, et l’IA a creusé l’écart entre le faible coût d’entrée d’une intrusion et le coût, bien plus élevé, de la défense.

• Cinq incidents survenus en 2026 (une fuite de données de santé que le ministère de la Santé a dû confirmer, le portail d’identité de l’ANTS, la messagerie gouvernementale Tchap, la DGFiP et le ministère de la Transition écologique) renvoient chacun à un contrôle manquant différent, pas à une cause unique.
• Une échéance ANSSI datée (2027 pour la qualification de produits, 2030 pour les achats) transforme la cryptographie post-quantique en décision d’achat à court terme plutôt qu’en abstraction des années 2030.
• Les temps de propagation mesurés par CrowdStrike sont passés de 84 minutes en 2022 à 29 minutes en 2025, le chiffre public le plus concret sur l’avance prise par les attaquants assistés par IA.
• Le seul levier qui revient constamment dans les recommandations de l’ANSSI, un déploiement de correctifs plus rapide et plus fréquent, reste sobre, mesurable et moins coûteux que la plupart de ce qui se vend sous l’étiquette « sécurité par l’IA ».

1. Ce que la vague de fuites de 2026 révèle vraiment

Cinq incidents distincts survenus en 2026 donnent une image plus précise qu’un chiffre unique, car chacun expose une défaillance différente plutôt que de confirmer deux fois la même histoire.

• Fuite de données de santé, confirmée par le ministère de la Santé le 27 février 2026 : l’origine se trouve dans le logiciel MonLogicielMedical de Cegedim, utilisé par des cabinets médicaux, pas sur un site .gouv.fr lui-même. Cegedim a indiqué n’avoir détecté un « comportement anormal des requêtes applicatives » qu’à la fin de 2025, alors qu’une base de données contenant entre trois et quinze ans d’historique selon la date d’installation de chaque cabinet avait déjà accumulé des données administratives sur jusqu’à 15 millions de patients [1].
• ANTS / France Titres, révélé mi-avril 2026 : le portail d’identité qui gère cartes d’identité, passeports et permis de conduire a été compromis via une référence directe non sécurisée à un objet, une faille que l’attaquant revendiquant le piratage, sous le pseudonyme « breach3d », a qualifiée d’« élémentaire » [2]. Jusqu’à 19 millions d’enregistrements ont été exposés ; les autorités françaises ont ensuite interpellé un suspect de 15 ans [3].
• Tchap, la messagerie gouvernementale pilotée par la DINUM : un pirate sous le pseudonyme « misere » a détourné un unique compte du ministère de l’Éducation nationale le 7 juin 2026, puis extrait 643 459 messages, environ 13,5 gigaoctets, depuis 876 salons publics. La DINUM a confirmé que 73 467 comptes de fonctionnaires étaient concernés ; les salons chiffrés de bout en bout, privés, sont restés protégés [4].
• DGFiP, l’administration fiscale, confirmé du 12 au 14 août 2026 : un attaquant sous le pseudonyme « ZeroBytes » a obtenu les identifiants d’un agent de la DGFiP et d’un tiers autorisé, s’en est servi pour rejoindre le VPN de l’administration, puis a fait tourner un outil interne pour rechercher et extraire des dossiers de contribuables [5]. La DGFiP avait coupé cet accès fin juin, mais n’a établi que des données avaient bien été exfiltrées qu’à la mi-août, six semaines plus tard, quand l’attaquant les a mises en vente. L’administration a confirmé environ 678 000 particuliers et professionnels concernés, un chiffre qu’elle décrit comme encore en cours d’investigation, couvrant le revenu fiscal de référence, le taux de prélèvement à la source et, pour les professionnels, la raison sociale et des données cadastrales ; les identifiants et mots de passe des espaces « Finances publiques » en ligne n’ont pas été compromis [6].
• Ministère de la Transition écologique, 2 septembre 2026 : plusieurs sites ministériels sont devenus inaccessibles ; un pirate a revendiqué le vol d’une base de données couvrant 8 166 utilisateurs, avec courriels, numéros de téléphone et identifiants de connexion [7].

Le Premier ministre Sébastien Lecornu a chiffré ce constat fin avril 2026, reconnaissant une moyenne de trois vols de données par jour en France et pointant des systèmes administratifs, dont certains datent des années 1990, jamais conçus pour le niveau de menace actuel [8].

2. Pourquoi « les fondamentaux » continuent de manquer

Chaque incident ci-dessus renvoie à un manque distinct, et les traiter comme un seul « manque de sécurité » indifférencié masque quel contrôle aurait réellement aidé.

• Un défaut de contrôle d’accès transforme un petit bug en exfiltration de masse. La faille de l’ANTS a permis l’entrée de l’attaquant ; c’est l’absence de tout mécanisme pour ralentir ou signaler des dizaines de millions de requêtes séquentielles qui a permis à l’extraction d’atteindre 19 millions d’enregistrements plutôt qu’une poignée. La limitation de débit et la surveillance des schémas de requêtes ne corrigent pas une référence directe non sécurisée à un objet, mais elles changent jusqu’où un attaquant peut aller avant d’être repéré.
• Un retard de détection transforme un incident contenu en exposition de plusieurs années. L’alerte « comportement anormal des requêtes » de Cegedim s’est déclenchée fin 2025, sur une base qui accumulait des dossiers patients depuis des années auparavant. Une capacité de détection ne mérite son nom que si elle capte le schéma pendant qu’il se produit, pas lors d’une revue rétrospective.
• Le détournement de compte cible précisément là où l’authentification est la plus faible. La DGFiP est le cas le mieux documenté : l’attaquant n’a eu besoin d’aucune faille technique, seulement des identifiants usurpés d’un agent et d’un tiers autorisé, pour atteindre un VPN menant directement à un outil de recherche interne sur les dossiers de contribuables [6]. Les communications publiques sur Tchap ne précisent pas comment son compte compromis a été obtenu, ce cas ne peut donc pas être cité comme preuve d’une absence de second facteur, mais il pointe vers le même schéma général : les comptes privilégiés ou à accès massif restent la cible la plus recherchée, et un second facteur qu’une attaque de relais en temps réel peut encore intercepter offre moins de protection qu’il n’y paraît. Notre article compagnon sur les choix cryptographiques 2026 pour le transport, le stockage et les identités traite en détail ce mécanisme, les proxys d’attaque de l’adversaire au milieu contre les codes SMS et TOTP, et ce que la liaison d’origine de WebAuthn garantit réellement.

3. L’échéance post-quantique est désormais datée, pas hypothétique

La FAQ de l’ANSSI sur la cryptographie post-quantique formule la trajectoire en des termes assez précis pour s’y préparer, ce qui tranche avec le « commencez à vous préparer à un moment donné » des dernières années.

• 2027 : « L’ANSSI vise la mise en place d’obligations PQC pour l’entrée en qualification de produits à partir de 2027 » [9], ce qui signifie que les produits de sécurité entrant en qualification ANSSI à partir de 2027 devront démontrer une résistance post-quantique. Cela concerne d’abord les éditeurs qui vendent à l’État français et aux opérateurs d’importance vitale, pas chaque organisation directement.
• 2030 : la même FAQ indique qu’« il ne sera pas raisonnable d’acheter des produits qui n’intègrent pas de la PQC après 2030 » [9], une orientation d’achat plutôt qu’une échéance légale générale pour toutes les organisations.
• L’ANSSI a réaffirmé publiquement cette trajectoire lors de la conférence France Quantum 2026, le 16 juin 2026, clôturant une phase de recommandation ouverte depuis 2022 [10].
• Les briques techniques sont déjà stables : le NIST a finalisé ML-KEM (FIPS 203), ML-DSA (FIPS 204) et SLH-DSA (FIPS 205) en août 2024, tandis que FN-DSA (FIPS 206, fondé sur Falcon) reste en cours de développement [11].
• Distinguer les dates de l’ANSSI de la feuille de route propre à l’Union européenne, qui vise 2030 pour les cas à haut risque et 2035 pour le reste : les deux calendriers émanent d’institutions différentes et ne doivent pas être fusionnés en une seule échéance [12].

Pour le plan de transition complet, inventaire des algorithmes, tests d’échange de clés hybride sur TLS, IPsec et SSH, et choix de l’emplacement de la gestion des clés, voir l’article compagnon sur la cryptographie 2026, que ce texte ne reprend volontairement pas.

4. L’IA n’a pas seulement accéléré l’entrée des attaquants, elle a changé l’économie du rapport de force

La preuve publique la plus nette que l’IA fait pencher l’asymétrie de coût du côté des attaquants vient d’une mesure que CrowdStrike suit de façon constante sur plusieurs rapports annuels, pas d’une affirmation isolée d’un éditeur sur un incident donné.

• Le temps moyen de propagation « eCrime », l’intervalle entre la compromission initiale et le premier mouvement d’un attaquant vers un autre système, est passé de 84 minutes en 2022 à 62 minutes en 2023, 48 minutes en 2024 et 29 minutes en 2025 [13]. Le temps de propagation le plus rapide enregistré s’est réduit encore plus vite : 2 minutes 7 secondes en 2023, 51 secondes en 2024, 27 secondes en 2025 [13].
• CrowdStrike rapporte des opérations d’adversaires assistées par IA en hausse de 89 % sur un an, et de véritables outils d’IA générative détournés dans plus de 90 organisations par injection de prompt pour voler des identifiants ou de la cryptomonnaie [13].
• La défense ne progresse pas de façon symétrique. Les résultats du Forum économique mondial de mai 2026 montrent que les organisations qui utilisent déjà l’IA de façon étendue dans leurs opérations de sécurité réduisent le coût moyen des fuites jusqu’à 1,9 million de dollars et raccourcissent le cycle de fuite d’environ 80 jours, mais ce gain revient à la part la plus restreinte, 77 % des organisations déclarant un usage opérationnel de l’IA, qui y avait déjà investi délibérément [14].

Pour une organisation de taille moyenne sans équipe de sécurité comparable à celle d’une banque, la lecture pratique est directe : l’outillage des attaquants a gagné en vitesse en grande partie gratuitement, via l’IA grand public, tandis qu’un gain défensif comparable exige encore du personnel dédié, de l’intégration et de la mesure, pas seulement l’achat d’une licence.

5. Ce qui relève vraiment le socle : la discipline de correctifs comme pratique quotidienne, pas comme projet trimestriel

Parmi les mesures accessibles à une organisation sans gros budget de sécurité, celle dont la base de preuves est la plus ancienne et la plus nette reste sobre : appliquer les correctifs de sécurité sans délai, une discipline que le guide d’hygiène informatique en 42 mesures de l’ANSSI place parmi ses recommandations fondatrices [15].

• L’application sans délai des correctifs ne fonctionne que si elle reste peu coûteuse à opérer. Cela suppose des déploiements petits, fréquents et testés plutôt qu’une livraison rare, volumineuse et risquée. Une chaîne de déploiement dimensionnée pour des changements quotidiens transforme un correctif de sécurité en événement de routine plutôt qu’en réunion de comité de changement, ce qui est la version opérationnelle de ce que le point de départ de cet article appelait un « promote quotidien ».
• Une référence internationale comparable pointe dans le même sens, correctement attribuée. Le centre australien de cybersécurité (ACSC) crédite les quatre premiers contrôles de son référentiel Essential Eight, contrôle des applications, application des correctifs, restriction des macros Microsoft Office et durcissement des applications utilisateur, d’avoir permis d’éviter une large part des intrusions qu’il a initialement mesurées [16]. Ce chiffre vient de l’ACSC, pas de l’ANSSI ; les deux agences publient des référentiels distincts, et cet article conserve cette distinction plutôt que de fondre des sources nationales différentes en un chiffre unique.
• Un redémarrage quotidien forcé ne mérite le nom de « contrôle de sécurité » que si quelque chose a réellement changé derrière lui. Un redémarrage sans correctif appliqué, sans secret pivoté et sans image reconstruite relève de l’entretien de disponibilité, pas de l’hygiène, aussi disciplinée que paraisse la fréquence sur un tableau de bord.
• Rien de tout cela ne remplace les deux manques de la section 2. La cadence de correctifs répond à un problème différent et complémentaire : elle raccourcit la fenêtre pendant laquelle une faille connue reste exploitable, une question distincte de celle de savoir si le contrôle d’accès est défaillant ou si un compte privilégié dispose d’une authentification résistante au hameçonnage.

Conclusion

Le titre ironique cesse de faire sourire dès que les cinq incidents de 2026 sont mis côte à côte, car chacun désigne un manque précis et corrigeable plutôt que de confirmer une impression vague d’insécurité de l’administration publique.

• Le défaut de contrôle d’accès, le retard de détection et une hygiène des identifiants trop faible sont des problèmes de code, de surveillance et d’identité, pas des problèmes de budget, et l’ANTS, la fuite Cegedim et la DGFiP montrent chacun ce qui se produit quand l’un d’eux reste sans réponse.
• Les échéances ANSSI de 2027 et 2030 transforment la migration post-quantique en question d’achat à poser dès maintenant aux fournisseurs, pas en projet pour la prochaine décennie.
• La tendance des temps de propagation de CrowdStrike est la preuve la plus concrète disponible que l’IA a raccourci le calendrier des attaquants plus vite que la plupart des organisations n’ont raccourci leurs propres cycles de détection et de correction.
• Une chaîne de déploiement conçue pour des changements petits, fréquents et testés est, sur cette liste, le seul levier qu’une organisation de taille moyenne peut actionner ce trimestre sans attendre une feuille de route fournisseur ou un cycle budgétaire.

Réservez l’audit de maturité IA Junyr : une visio gratuite de 30 minutes, sans engagement, pour situer où votre organisation se trouve réellement sur ces cinq manques.

---

Paul-Antoine TUAL · AI Transformation Leader · Croissance et Transitions, septembre 2026.

Sources

1. Acuité, « Le ministère de la Santé confirme la fuite de données médicales de 15 millions de Français »
2. Bleeping Computer, « French govt agency confirms breach as hacker offers to sell data »
3. Help Net Security, « 15-year-old detained over massive data breach at French government agency »
4. DINUM, « Incident de sécurité sur Tchap »
5. DGFiP / impots.gouv.fr, « Vol de données suite à des accès illégitimes au système d’information de la DGFiP »
6. The Record, « French tax authority DGFiP confirms data breach »
7. Generation-NT, « Panne au ministère de la Transition écologique, plusieurs sites gouvernementaux inaccessibles »
8. ePlaque, « Cyberattaques ANTS, DGFiP et compagnie en 2026 : que faire ? »
9. ANSSI, « FAQ sur la cryptographie post-quantique »
10. IT Social, « À partir de 2027, l’ANSSI ne certifiera plus les produits de sécurité sans cryptographie post-quantique »
11. NIST, « NIST Releases First 3 Finalized Post-Quantum Encryption Standards »
12. Commission européenne, « Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography »
13. CrowdStrike, « 2026 Global Threat Report : AI Accelerates Adversaries and Reshapes the Attack Surface »
14. Forum économique mondial, « New report shows how AI gives cybersecurity a competitive advantage »
15. ANSSI, « Guide d’hygiène informatique »
16. Australian Cyber Security Centre, « Essential Eight »