L'emballement autour des leaks supposés du jeu de Rockstar est venu accompagné d'un flot de fichiers torrents potentiellement piégés.

Red by SFR a averti ses clients d'un accès non autorisé à leurs données personnelles, détecté début juillet 2026 sur un outil interne.

Qui pourra stopper l’hémorragie ? À quelques semaines de la rentrée scolaire, l’Éducation nationale annonce avoir elle aussi été victime d’un piratage, a priori attribué au même groupe de pirates que la Direction générale des finances publiques (DGFiP) en fin de semaine dernière. Une crise de confiance pour les usagers (particuliers et professionnels), doublée d’un défi sécuritaire pour les institutions qui gèrent les données sensibles de millions de citoyen·nes. L’attaque souligne une vérité brutale : malgré les investissements, la « dette technique » des systèmes hérités de l’administration publique reste un terrain de jeu propice à la cybercriminalité.

ZeroBytes expose les secrets de l’Éducation nationale et des impôts

Le groupe de pirates identifié sous le pseudonyme ZeroBytes a revendiqué un coup d’éclat majeur. En plus de l’attaque contre les impôts, les pirates affirment avoir volé des informations personnelles concernant plusieurs millions d’élèves et des dizaines de milliers d’enseignants. Le Monde rapporte que les pirates auraient « absorbé 346 millions de lignes » de données lors d’une intrusion qui se serait déroulée il y a quelques semaines. L’échantillon publié contient des coordonnées postales, électroniques et téléphoniques de parents et d’élèves, ainsi que des appréciations des enseignants, touchant particulièrement les académies de Créteil et de Versailles.

Cette offensive révèle une stratégie de « test et massification ». Selon Amélie Verdier, directrice générale des Finances publiques, l’attaquant a « d’abord fait des tests manuels qu’il a ensuite massifiés, en restant sous les seuils de détection ». L’idée sous-jacente est de contourner les systèmes de surveillance en imitant des comportements légitimes avant de procéder à l’exfiltration des données jugées d’intérêt. Pour les acteurs de l’État, c’est un signal d’alarme : les mesures de sécurité classiques sont désormais insuffisantes face à des pirates capables de rester, pour citer ZeroBytes, « infiltrés sous vos yeux ».

Pour les victimes potentielles, il faudra faire preuve d’une vigilance accrue à l’usurpation d’identité et au phishing ciblé. Pour les enseignants, la publication de leurs adresses professionnelles et personnelles représente une menace sécuritaire concrète.

Un État en pleine mutation face à l’obsolescence technique

Face à cette crise, la réaction du gouvernement est immédiate, mais souligne des lacunes structurelles. Le ministre de l’Action et des Comptes publics, David Amiel, a annoncé que l’authentification forte devrait être généralisée à l’ensemble des agents de Bercy « d’ici la fin de l’année ». La stratégie repose désormais sur une défense active : « J’ai demandé à ce qu’on se teste nous-mêmes avec des IA pour nous auto-attaquer et déceler les défaillances », précise le ministre.

Le diagnostic, confié à l’ANSSI et attendu pour septembre, devra établir un nouveau plan de route. Cependant, le défi reste l’ancienneté des systèmes. Bercy admet que le « taux de conformité a doublé depuis 2020 », passant de 25 % à un peu plus de 50 %, ce qui prouve que la moitié des systèmes administratifs sont encore en retard sur les standards de sécurité modernes. Côté Éducation nationale, les syndicats dénoncent un manque de transparence et des « défaillances d’accompagnement » après chaque nouvelle fuite de données.

D’après la dernière enquête du fournisseur de VPN Surfshark, la France est le deuxième pays le plus vulnérable aux cyberattaques dans le monde. Une fragilité qui place une cible dans le dos du pays : pour les pirates, il n’y a qu’à se pencher pour ramasser des données à revendre sur le marché noir.

Le système d’information de la DGFiP a été la cible d’une intrusion sophistiquée, revendiquée par le groupe de pirates « ZeroBytes » le 12 août dernier. Cet événement ne constitue pas une simple faille technique isolée, mais une crise de confiance majeure pour l’État, quelques jours après le piratage de Bloctel. En exposant les données fiscales sensibles – revenus de référence, situations familiales, détails de patrimoine immobilier – de centaines de milliers de particuliers et de professionnels, ce piratage place le gouvernement face à une réalité déjà bien documentée : la France est le deuxième pays le plus touché par les cyberattaques au monde.

Une faille de sécurité sous haute tension

Le volume de données compromises est vertigineux : 678 437 comptes ont été touchés. Le piratage, qui aurait débuté dès juin, a été rendu possible par l’usurpation d’identifiants d’un agent de la DGFiP, permettant une extraction automatisée et discrète des informations. Bien que les mots de passe des usagers et usagères ne soient pas compromis, la précision des données volées est impressionnante. Parmi les victimes figurent des profils à hauts revenus, avec 386 individus dont le revenu fiscal dépasse un million d’euros et huit personnes dépassant les 10 millions d’euros.

Sur le plan stratégique, cette attaque met en lumière les « dettes techniques » accumulées par l’administration publique durant des décennies. Le gouvernement réagit en urgence : le Premier ministre Sébastien Lecornu a convoqué une cellule interministérielle de crise ce lundi pour structurer la riposte, rapporte Le Monde. Une enquête pour « extraction frauduleuse de données » a été ouverte par le parquet de Paris, tandis que le ministre David Amiel a ordonné un audit immédiat des systèmes de la DGFiP, dont les résultats devraient être présentés dès septembre.

Pour les citoyens, la conséquence immédiate est une vigilance accrue. Dès ce lundi 17 août, la DGFiP a commencé à contacter individuellement les victimes par courriel ou courrier postal pour les avertir des risques de phishing. Les experts craignent une recrudescence de campagnes d’hameçonnage ultraciblées, où les cybercriminels pourraient utiliser ces détails précis pour tromper les contribuables ou cibler physiquement les profils les plus aisés.

Les enjeux d’une reconstruction

Au-delà de la gestion de crise immédiate, ce piratage déclenche un débat plus large sur la résilience numérique de l’État français. Le gouvernement a déjà débloqué 200 millions d’euros pour la cybersécurité et l’intelligence artificielle, mais les délais de réaction actuels suscitent des critiques acerbes. Comme le souligne Le Monde, cette attaque est dénoncée par l’opposition comme « la plus grave de l’histoire de notre pays », soulignant un retard de réaction qui « fragilise la confiance dans le service public et le consentement à l’impôt ».

La pression politique s’intensifie, avec des appels à une commission d’enquête au Sénat pour déterminer si ces incidents révèlent des vulnérabilités structurelles. Cette crise s’inscrit dans un contexte de guerre cyber permanente où, comme l’a rappelé David Amiel, « la menace cyber, alors que des acteurs hostiles sont nombreux et que l’IA décuple les moyens des attaquants, ira croissant ». La question n’est plus seulement de réparer une brèche, mais de repenser intégralement l’architecture de protection des données publiques face à des piratages de plus en plus sophistiqués.

En décembre dernier, le ministère de l’Intérieur avait, lui aussi, été victime d’un piratage de grande ampleur. Un épisode qui invitait déjà la CNIL, le « gendarme des données », à faire son introspection – sans grand succès manifeste.

Dans la série "la religion c'est que des problèmes", voici un épisode que je n'avais pas vu venir. Click to Pray, l'application de prière officielle du Pape, a servi gratos les noms, les adresses mail et les dates de naissance de ses 719 517 inscrits à qui voulait bien les demander.

C'est le chercheur BobDaHacker qui a signalé le trou début janvier et si vous savez compter, oui oui, il a bien fallu 6 mois pour que quelqu'un daigne le boucher. Que voulez-vous, les voies du Seigneur sont impénétrables et visiblement sa boîte mail aussi.

L'appli avait été lancée par le pape François en 2019 depuis le balcon de la place Saint-Pierre, tablette brandie devant la foule. Elle appartient au Réseau Mondial de Prière du Pape, une fondation du Vatican, et tourne sur iOS, Android et en version web en 7 langues.

La faille se situait au niveau de l'adresse api.clicktopray.org/user/users/{id} qui renvoyait la fiche complète de n'importe quel compte, prénom, nom, pays, adresse mail, date de naissance et rôle. Aucune authentification demandée, il suffisait de taper l'adresse dans un navigateur.

Source : BobDaHacker

Les identifiants étant séquentiels et le débit n'étant pas limité, une simple boucle sur les 719 517 numéros suffisait à aspirer le fichier entier. Une requête par fidèle, comme pour l' ANTS ^^. Vous le savez maintenant, ça s'appelle un IDOR, pour Insecure Direct Object Reference et c'est quand le serveur vérifie que vous êtes bien connecté, mais jamais que les données réclamées vous appartiennent. Eh bien ici, il ne vérifiait même pas la première moitié.

BobDaHacker explique pourquoi la boulette revient sans arrêt : "la plupart des frameworks gèrent l'authentification pour vous, mais pas l'autorisation. Ils vérifient "est-ce que cette personne est connectée ?", mais pas "est-ce qu'elle a le droit de voir cette ressource précise ?"". Pourtant c'est la base, mais bon, bref...

Ce type de contrôle d'accès défaillant trône en tête de l'OWASP Top 10 depuis 2021, et l'IDOR en est probablement la variante la plus répandue. Pour apprendre à les repérer, je vous avais même montré WebGoat .

Ce qui est marrant, c'est que dans la base, le champ date de naissance s'appelle borned_date, ce qui n'est de l'anglais dans aucune langue. Et le rôle attribué au fidèle lambda, c'est "PRAYER". Votre fonction de péon sur l'application de prière du Pape, c'est donc prière. Ahaha !

Le vrai risque maintenant n'est pas vraiment la fuite en elle-même, mais plutôt ce qu'un escroc va pouvoir faire avec 700 000 adresses de ces gens inscrits pour prier, avec une institution de confiance à usurper. Un mail annonçant que le Saint-Père sollicite votre attention urgente, avec un lien qui imite celui du Saint-Siège, ça fonctionnera très bien je pense...

Dark Reading, qui a confirmé la faille de son côté, a noté que les identifiants les plus bas sont ceux des employés. Les premiers exposés étaient donc ceux qui auraient dû corriger. Mais le bouquet les amis, c'est l'authentification des mails. Ceux de l'appli ratent les contrôles de domaine, SPF, DKIM ou DMARC étant mal réglés, au point que la boîte du chercheur les a marqués comme suspects.

L'application officielle du Vatican envoyant donc déjà des mails qui ressemblent à du hameçonnage, un escroc qui n'aurait pas peur d'aller en enfer, n'a même pas besoin de soigner son imitation.

Arrive la partie qui pique de cette remontée de vuln... Le 3 janvier, BobDaHacker écrit à 9 personnes, l'adresse info générale, 6 membres du staff de clicktopray.org + 2 contacts du Réseau Mondial de Prière.

Puis il attend mais aucune réponse ne vient.

Alors rien ne bouge durant 6 mois. Puis en juillet il passe le dossier à Nate Nelson, de Dark Reading, qui contacte le service de presse. Silence là aussi. Alors l'article sort le 24 juillet, et Ô miracle (ça arrive parfois, oui oui) la faille est bouchée dans la foulée, sans un mot. Le chercheur l'a appris dans les commentaires Reddit qui parlaient de sa découverte.

Mais je vous garde le meilleur pour la fin, attendez... Ce que vous ne savez pas c'est que le Vatican s'est doté de son propre règlement de protection des données personnelles en avril 2024. Ça s'appelle le décret n° DCLVII et il réclame des "mesures de sécurité appropriées" et désigne nommément ceux qui doivent les appliquer. Ce décret a bien été promulgué, puis visiblement rangé dans un tiroir.

Ah et visiblement, l'URL qui leake continue toujours de répondre sans authentification mais ne renvoie plus que l'identifiant, le prénom et le nom. L'adresse mail a disparu, comme la date de naissance et le pays. Donc c'est un genre de demi-correctif puisque les noms restent énumérables un par un sans le moindre compte. Le chercheur juge ça acceptable sur une plateforme où l'on prie "ensemble". Moué, pourquoi pas.

Voilà, donc si vous avez un compte là-bas, partez du principe que votre adresse mail a circulé et que vous risquez d'avoir des appels du Pape, voire de Dieu lui-même qui vous demandera sûrement un virement en urgence. Je vais prier pour vous afin que ça n'arrive pas, mais sachez que ce scénario de la lose, je vous en parlais déjà à propos de la divulgation coordonnée de vulnérabilités , et il ne change jamais. Le chercheur alerte, l'éditeur ignore, et c'est la presse qui finit par débloquer....

Et BobDaHacker, lui, attend toujours son merci. Snif...

Source