L’Insee a annoncé vendredi une violation de données personnelles. 12 800 personnes concernées — agents en poste, anciens agents, et membres des corps de l’Institut. L’attaque a été détectée le 19 juin. Pas de panique excessive à avoir côté impact technique : aucune donnée bancaire, aucun mot de passe, aucun numéro de sécurité sociale. Seulement l’identité et les coordonnées professionnelles. Ce qui n’empêche pas l’Institut de porter plainte auprès du procureur de la République, et de recommander à ses interlocuteurs « la plus grande prudence » face à tout message se présentant comme émanant d’un de ses agents. Le risque, ici, c’est moins la fuite elle-même que ce qu’elle permet ensuite : usurpation, phishing ciblé, ingénierie sociale construite sur des identités professionnelles crédibles. Une administration de plus dans la liste Et la liste s’allonge vite. Le 16 juin, Jeveuxaider.gouv.fr signalait une fuite touchant environ 550 000 comptes. Une semaine avant ça, le parquet de Paris ouvrait une enquête sur une cyberattaque visant Tchap, la messagerie interne des agents publics. Fin avril, c’était l’ANTS. Quatre incidents en deux mois, tous dans la sphère administrative. Ce n’est plus une série d’événements isolés. C’est un schéma. Les systèmes d’information publics, construits sur des strates technologiques parfois anciennes et des budgets cyber qui peinent à suivre la charge réglementaire, deviennent des cibles répétées. La réaction politique a d’ailleurs déjà eu lieu : c’est dans la foulée de l’attaque contre l’ANTS que le Premier ministre Sébastien Lecornu a annoncé la création d’une nouvelle Autorité du numérique et de l’intelligence artificielle de l’État. Ce que ça change pour les organisations, publiques et privées Une administration qui se fait pirater n’est jamais un problème isolé pour elle seule. Les organisations qui échangent avec l’Insee, qui reçoivent des sollicitations professionnelles en son nom, ou qui traitent avec des administrations comparables, doivent désormais intégrer ce risque d’usurpation dans leur vigilance quotidienne. Vérifier l’origine d’un message avant d’y répondre. Ne jamais transmettre d’informations bancaires sur simple demande, même quand l’expéditeur paraît légitime. Et documenter, en interne, une procédure de remontée en cas de doute. Pour les DPO et RSSI, l’enseignement dépasse le cas Insee. Chaque nouvelle violation dans la sphère publique érode un peu plus la confiance par défaut accordée aux communications institutionnelles — et déplace la charge de vérification vers les destinataires eux-mêmes.
