Cet été 2026 restera comme celui d’une crise de confiance numérique sans précédent pour l’administration française. Fin juin, une première intrusion massive touche la Direction générale des Finances publiques. Mi-août, une fuite sur les données cadastrales suit. Puis, le 17 août, une nouvelle faille critique frappe le portail des successions vacantes. Les attaquants revendiquent jusqu’à 2 millions de comptes compromis sur les seules données cadastrales ; l’administration confirme de son côté 433 485 particuliers et environ 1 000 professionnels concernés.
Ce n’est pas un incident isolé. Sur la même période, Bercy confirme le vol de données de 678 000 usagers, et le nombre de victimes de ransomware en France dépasse déjà, mi-année, le total de toute l’année 2025. Deux nouveaux groupes, DYSPHOR1A et SovCali, viennent grossir les rangs des acteurs malveillants actifs sur le territoire.
Pourquoi ces attaques concernent aussi les PME et ETI
Il serait facile de considérer ces événements comme un problème strictement étatique. C’est une erreur de lecture.
Les mêmes techniques d’attaque visent les entreprises privées. Les groupes de ransomware qui frappent l’administration ciblent tout autant les PME, souvent avec des moyens de défense bien plus limités. Le rythme observé cette année, plus de 180 victimes recensées en France à ce stade, touche industriels, prestataires cloud, plateformes SaaS et cabinets de services aussi bien que les institutions publiques.
Les données volées circulent et se recoupent. Une fuite chez un prestataire IT, un fournisseur cloud ou un partenaire commercial peut exposer indirectement les données de vos clients, même si votre propre système n’a jamais été compromis. La chaîne de sous-traitance est devenue l’un des points d’entrée favoris des attaquants.
La pression réglementaire s’accélère. Face à cette vague, le gouvernement annonce vouloir revoir en profondeur la stratégie cyber de l’État. Les obligations issues de NIS2 continuent leur déploiement pour les secteurs concernés, avec des exigences de conformité, de gouvernance et de documentation qui ne laissent plus de place à l’approximation.
Trois réflexes à adopter dès maintenant
Vérifier la réalité de sa surface d’exposition. Beaucoup d’entreprises pensent connaître leurs vulnérabilités alors que leur cartographie technique date de plusieurs années. Un audit de sécurité actualisé, incluant l’analyse des accès, des configurations cloud et des applications exposées, reste la première étape incontournable avant toute décision d’investissement.
Tester la résistance réelle, pas supposée. Un test d’intrusion permet de mesurer concrètement ce qu’un attaquant pourrait exploiter, plutôt que de se fier à des hypothèses. C’est particulièrement vrai pour les environnements hybrides, où cloud, applications métier et infrastructures historiques cohabitent souvent sans segmentation claire, que vous soyez basé à Paris ou dans la région lyonnaise.
Mettre à jour sa conformité RGPD, pas seulement sur le papier. Un registre de traitement à jour et une politique de confidentialité conforme ne suffisent plus. Les autorités et les partenaires commerciaux attendent désormais des preuves opérationnelles : sécurisation technique des données, gestion des accès, plan de réponse en cas d’incident. Un audit RGPD permet de faire ce point de manière structurée plutôt que de naviguer à vue.
Ce que cette actualité révèle vraiment
Le point commun entre les cas de la DGFiP, de Bercy et de nombreuses entreprises victimes cette année n’est pas une faiblesse technique isolée. C’est un déficit chronique de contrôle continu. Les audits ponctuels et les correctifs réactifs ne suffisent plus face à des groupes qui exploitent des failles connues avant même qu’elles soient corrigées.
Pour une entreprise, la vraie question n’est plus de savoir si elle sera un jour ciblée, mais si elle sera capable de détecter l’intrusion à temps et d’y répondre sans subir des semaines de paralysie. Cette capacité se construit avant l’incident, pas pendant.
Nos équipes accompagnent les entreprises à Paris et à Lyon sur l’ensemble de ces enjeux, de l’audit initial à la mise en conformité.
