La cybermenace en France et les nouvelles attaques contre l’État

La cybersécurité est devenue en quelques années un enjeu majeur pour la France. Longtemps considérée comme un problème essentiellement technique relevant des services informatiques, la cybermenace constitue désormais un risque stratégique susceptible d’affecter l’économie, les administrations, les infrastructures essentielles et la sécurité des citoyens.

Le rapport consacré à la cybermenace en France montre que les années 2024 et 2025 ont marqué un véritable tournant. En 2025, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a enregistré 3 586 événements de sécurité, dont 1 366 incidents ayant nécessité son intervention. La diminution de 22 % par rapport à 2024 ne traduit toutefois pas une amélioration durable de la situation, elle s’explique principalement par le caractère exceptionnel des attaques liées aux Jeux olympiques et paralympiques de Paris 2024.

La pression exercée sur les organisations françaises demeure donc très importante.

La menace est d’autant plus préoccupante qu’elle touche désormais l’ensemble de la société. Les administrations, les établissements scolaires et de recherche, les collectivités, les hôpitaux, les entreprises et les infrastructures de communication constituent autant de cibles potentielles. Le secteur de l’éducation et de la recherche représentait ainsi 34 % des incidents traités par l’ANSSI en 2025, devant les ministères et collectivités territoriales avec 24 %, la santé avec 10 % et les télécommunications avec 9 %. Cette diversité des victimes montre que la cyberattaque n’est plus un phénomène marginal, elle concerne directement le fonctionnement quotidien de l’État et de l’économie française.

Une explosion des vols de données personnelles

L’une des évolutions les plus inquiétantes concerne les fuites massives de données personnelles. En 2024, la CNIL a enregistré 5 629 notifications de violations de données, soit une augmentation de 20 % en un an. Certaines attaques ont affecté plusieurs dizaines de millions de personnes. Le rapport cite notamment France Travail, Viamedis et Almerys ainsi que Free et Free Mobile. Ces compromissions ont permis l’exposition d'informations particulièrement sensibles : état civil, coordonnées, numéro de sécurité sociale ou encore coordonnées bancaires.

La gravité de ces vols tient au caractère durable des informations compromises. Contrairement à un mot de passe, un numéro de sécurité sociale ou une identité ne peuvent pas simplement être remplacés. Ces données peuvent être revendues sur des marchés clandestins puis croisées avec d’autres informations afin de rendre les escroqueries beaucoup plus crédibles. Les cybercriminels disposent alors de renseignements leur permettant d’imiter une banque, une administration ou un proche de leur victime.

Cette évolution favorise notamment le phishing, le spoofing et les escroqueries au faux conseiller bancaire. L’ingénierie sociale devient ainsi un élément central de la cybercriminalité. L’attaque ne consiste plus seulement à pénétrer techniquement un réseau : elle cherche aussi à manipuler directement les individus. L’intelligence artificielle renforce encore cette tendance en permettant de produire des messages très crédibles, voire des voix et des vidéos truquées capables d'imiter une personne réelle.

Les rançongiciels évoluent vers l’extorsion

Les rançongiciels restent une menace particulièrement importante pour les entreprises françaises. Les TPE, PME et ETI représentent près de la moitié des victimes recensées en 2025. Leur vulnérabilité s’explique notamment par des moyens humains et financiers souvent plus limités que ceux des grandes entreprises. Les attaquants utilisent des groupes spécialisés et des modèles de plus en plus industrialisés.

Cependant, la logique des rançongiciels évolue. Le chiffrement des fichiers n’est plus nécessairement l’arme principale. Les cybercriminels privilégient de plus en plus l’exfiltration de données suivie d’une menace de publication. Même lorsqu’une entreprise possède des sauvegardes efficaces et peut restaurer son système, elle peut donc rester vulnérable au chantage.

La publication de données médicales, financières ou commerciales peut provoquer d’importants dégâts financiers et réputationnels. L’ANSSI souligne d’ailleurs que toutes les annonces de fuite de données revendiquées par les cybercriminels ne sont pas nécessairement authentiques, parmi 460 événements présentés comme de possibles fuites en 2025, seuls 42 % ont pu être techniquement confirmés.

Une menace également géopolitique

La cybermenace française ne provient cependant pas uniquement de groupes criminels cherchant un profit financier. Elle possède également une dimension géopolitique. Dans un contexte international marqué par la guerre en Ukraine et par la dégradation des relations entre la Russie et les pays occidentaux, la France fait l’objet d’opérations d’espionnage informatique menées par des acteurs liés à des services de renseignement étrangers.

Ces attaques peuvent viser les ministères, les diplomates, la défense, la recherche ou encore les entreprises technologiques. Leur objectif n’est pas nécessairement de provoquer immédiatement une panne. Il peut s’agir de récupérer des informations stratégiques, des documents diplomatiques, de la propriété intellectuelle ou de préparer une future opération de sabotage. Le rapport souligne ainsi le risque de « pré-positionnement » dans les infrastructures critiques, notamment dans les télécommunications et l’énergie.

Cette menace est confirmée par les informations les plus récentes de l’ANSSI. Le 13 juillet 2026, le CERT-FR a publié un rapport consacré au groupe Turla, attribué au 16e Centre du FSB russe. Les autorités françaises ont observé des compromissions visant notamment des ministères ainsi que des entités diplomatiques, de défense, de justice et du secteur technologique. La France et l’Union européenne ont officiellement attribué ces activités à la Russie.

Cette affaire illustre parfaitement la transformation de la cybermenace, une attaque informatique peut désormais constituer un véritable instrument de politique étrangère et de renseignement. Les frontières entre cybercriminalité, espionnage et déstabilisation deviennent également plus difficiles à identifier. L’ANSSI souligne d’ailleurs que les acteurs étatiques et criminels utilisent parfois des outils similaires, ce qui complique l’attribution des attaques.

Les attaques récentes contre l’État français

La situation de l’État français est particulièrement préoccupante. En avril 2026, le SGDSN rappelait que l’année 2025 avait été marquée par de nombreux incidents et fuites de données touchant les systèmes d’information des ministères et des établissements placés sous leur tutelle. Face à cette situation, une feuille de route spécifique pour la sécurité numérique de l’État a été publiée pour 2026-2027 afin de renforcer la protection des administrations.

En 2026, les attaques ne se limitent d’ailleurs pas aux infrastructures informatiques classiques. Le CERT-FR a signalé en mars une recrudescence de campagnes visant les comptes de messageries instantanées, avec une attention particulière portée aux personnalités politiques, aux cadres de l’administration et aux personnes exerçant des fonctions sensibles.

Plus récemment encore, l’été 2026 a été marqué par plusieurs attaques et incidents touchant des infrastructures publiques françaises. Des informations publiées en août ont notamment fait état du piratage du site des impôts, événement particulièrement symbolique compte tenu du caractère régalien de la Direction générale des finances publiques. Les débats suscités par cette affaire soulignent les conséquences d'une attaque contre un service public essentiel : au-delà de la perte éventuelle de données, c’est la confiance des citoyens dans la capacité de l’État à protéger leurs informations qui est en jeu.

La menace ne se limite pas non plus aux cyberattaques classiques. L’État français doit désormais faire face à des opérations d’ingérence numérique et de manipulation de l’information. Le service VIGINUM a ainsi détecté quatre opérations d’ingérences numériques étrangères pendant les élections municipales de mars 2026. Son rôle est précisément d’identifier et de caractériser les opérations étrangères visant à perturber le débat public français.

Ces attaques montrent que la sécurité nationale doit désormais être pensée de manière globale. Une puissance étrangère peut chercher à voler des informations, perturber un service public, compromettre une infrastructure, influencer l’opinion ou combiner plusieurs de ces actions. La cyberattaque devient alors un élément d’une stratégie hybride plus large.

La chaîne d’approvisionnement et l’intelligence artificielle : de nouvelles vulnérabilités

Les attaquants cherchent également à contourner les protections des grandes organisations en passant par leurs fournisseurs. Une entreprise ou une administration peut être bien protégée tout en étant exposée par un sous-traitant moins sécurisé. Cette stratégie, appelée attaque de la chaîne d’approvisionnement, permet aux cybercriminels de compromettre un prestataire puis de se propager vers plusieurs clients.

L’intelligence artificielle constitue parallèlement un nouveau facteur d’accélération. Elle permet aux attaquants de produire rapidement des campagnes d’hameçonnage sophistiquées et de créer des contenus audio ou vidéo truqués. Mais elle représente également une nouvelle surface d’attaque pour les organisations qui utilisent des modèles d’IA. Le rapport évoque notamment les risques liés à l’injection de requêtes malveillantes, à l’empoisonnement des données et à l’utilisation incontrôlée d’outils d’IA par les salariés.

Un coût économique et humain considérable

Les conséquences des cyberattaques dépassent largement le coût technique de la remise en état d’un système informatique. Le rapport estime à environ deux milliards d’euros par an le coût global des cyberattaques réussies pour les organisations publiques et privées françaises. Pour les petites entreprises, le coût moyen d’une attaque est estimé à environ 466 000 euros, tandis qu’il peut atteindre plusieurs millions pour les ETI et jusqu’à 135 millions d’euros pour les grandes entreprises.

À ces coûts directs s’ajoutent des pertes plus difficiles à mesurer : atteinte à l’image, perte de confiance des clients, vol de propriété intellectuelle, interruption de production et épuisement des équipes mobilisées pendant la crise. Pour certaines PME, une attaque suffisamment grave peut même menacer la survie de l’entreprise lorsque celle-ci ne dispose pas d’un plan de continuité ou de reprise d’activité.

Vers une politique nationale de résilience

Face à cette situation, la France renforce progressivement son dispositif de défense. La directive européenne NIS 2 élargit considérablement le nombre d’organisations soumises à des obligations de cybersécurité. Le Référentiel Cyber France développé par l’ANSSI structure ces obligations autour de quatre grands axes : gouvernance, protection, défense et résilience.

La prévention repose notamment sur des mesures simples mais essentielles,

authentification multifacteur, mises à jour régulières, sauvegardes isolées, contrôle des prestataires et surveillance des systèmes. Le principe de sauvegarde « 3-2-1 » permet notamment de disposer de plusieurs copies des données, dont une copie déconnectée ou immuable afin d’éviter qu’un rançongiciel ne puisse détruire l’ensemble des sauvegardes.

La résilience implique également de se préparer à l’échec de la prévention. Les organisations doivent donc disposer de plans de continuité et de reprise d’activité et s’entraîner régulièrement à gérer une crise cyber. L’exercice national REMPAR25, organisé en septembre 2025 avec 5 680 participants issus de 1 263 organisations, a ainsi permis de simuler un scénario de crise numérique majeure et de tester les capacités de réaction des acteurs publics et privés.

Enfin, la France dispose d’un réseau d’assistance comprenant notamment l’ANSSI, le CERT-FR, Cybermalveillance.gouv.fr, 17Cyber et les CSIRT territoriaux. Ce dispositif vise à permettre une réaction rapide lorsqu’une organisation est victime d’une attaque.

Conclusion

La France fait aujourd’hui face à une cybermenace devenue systémique. Les cybercriminels recherchent avant tout le profit à travers l’extorsion et le vol massif de données, tandis que les acteurs étatiques utilisent le cyberespace pour espionner, déstabiliser et préparer éventuellement des opérations de sabotage. Les attaques récentes visant les administrations françaises, les campagnes contre les messageries de responsables publics et l’affaire Turla montrent que cette menace reste particulièrement active en 2026.

Le principal enseignement est donc que la cybersécurité ne peut plus être considérée comme une simple question informatique. Elle relève désormais de la sécurité nationale, de la souveraineté économique et de la confiance des citoyens dans leurs institutions. L’État doit protéger ses infrastructures, mais également les entreprises et les citoyens qui dépendent de ces infrastructures.

La réponse française repose ainsi sur trois piliers : prévenir les attaques grâce à une meilleure hygiène numérique et à des normes plus strictes, détecter rapidement les intrusions et enfin être capable de maintenir ou de rétablir les activités essentielles après une attaque. Dans un contexte international de plus en plus conflictuel, cette capacité de résilience devient indispensable. La France ne pourra probablement pas empêcher toutes les cyberattaques, mais elle peut réduire leur fréquence, limiter leurs conséquences et surtout éviter qu’une attaque informatique ne se transforme en crise nationale.