Ministère de l’Intérieur piraté : ce que révèle, huit mois après, l’autopsie de l’intrusion

🔍 L’essentiel en une phrase

Une intrusion détectée en décembre 2025 dans les serveurs de messagerie du ministère de l’Intérieur, partie d’une boîte mail professionnelle compromise, a permis à un ou plusieurs attaquants de consulter le fichier TAJ (antécédents judiciaires, 17 millions de personnes) et le FPR (personnes recherchées) — une intrusion revendiquée à hauteur de 16,4 millions de profils par les pirates, mais ramenée par le ministre à « une centaine » de fiches réellement extraites.

📅 Chronologie de l’intrusion

Le ministère de l’Intérieur a détecté des activités suspectes visant ses serveurs de messagerie professionnelle dans la nuit du 11 au 12 décembre 2025. Selon la CNIL, saisie comme la loi l’y oblige, l’accès frauduleux aux fichiers sensibles s’est étalé entre le 11 et le 16 décembre 2025. Ce n’est que le 20 août 2026 qu’une enquête approfondie du Monde reconstitue en détail le déroulé technique de l’attaque, en s’appuyant sur l’enquête administrative demandée par le ministre Laurent Nuñez et la procédure judiciaire ouverte à Paris.

🔓 Comment une boîte mail a suffi à entrer

Le point d’entrée n’est ni une faille logicielle exotique ni un exploit sophistiqué : selon les éléments rapportés, les attaquants ont d’abord pris le contrôle d’une ou plusieurs boîtes mail professionnelles de fonctionnaires du ministère. À partir de ces accès, ils ont pu récupérer des identifiants et codes d’accès internes, puis rebondir vers des systèmes d’information plus sensibles. Laurent Nuñez a lui-même reconnu que l’intrusion était liée à des « imprudences » au sein du ministère — une formulation prudente pour décrire ce qui ressemble, dans les grandes lignes, à une attaque par hameçonnage suivie d’un mouvement latéral classique dans le système d’information.

Ce scénario n’a rien d’inédit dans l’administration française : c’est exactement le type de vulnérabilité que Liberta Press documente régulièrement dans son guide sur les mises à jour de sécurité — sauf qu’ici, la cible n’est pas un particulier mais l’un des systèmes d’information les plus sensibles de l’État.

🗂️ TAJ, FPR : ce qui a vraiment été consulté

Deux fichiers policiers sont au cœur de l’affaire. Le TAJ (Traitement des antécédents judiciaires) recense les personnes mises en cause ou victimes dans des procédures pénales — environ 17 millions de personnes y figurent, avec identité complète, adresse, et nature des faits. Le FPR (Fichier des personnes recherchées) recense pour sa part les individus activement recherchés par les autorités : fugitifs, personnes sous mandat d’arrêt, mineurs en fugue, etc. Selon le bilan dressé par Laurent Nuñez, trois fichiers sensibles au total ont été consultés lors de l’intrusion, sans que le ministère n’ait précisé publiquement le troisième avec la même clarté que les deux premiers.

La nature de ces fichiers explique l’inquiétude des services de sécurité : contrairement à une fuite commerciale classique (IBAN, adresses e-mail), un accès non autorisé au FPR peut, en théorie, renseigner un réseau criminel sur le statut judiciaire de l’un de ses membres ou complices.

📊 16 millions revendiqués contre « une centaine de fiches »

C’est le point de friction principal du dossier. Sur BreachForums, un pseudonyme a revendiqué la compromission totale du réseau du ministère et affirmé détenir des informations concernant 16 444 373 personnes. Une poignée de jours plus tard, Laurent Nuñez a donné une version sensiblement différente : « un certain nombre de fichiers importants pour nous a pu être consulté », mais avec une extraction réelle limitée à « quelques dizaines » puis, dans un bilan plus détaillé, à « une centaine de fiches ».

Cet écart entre la revendication (des millions de profils) et le bilan officiel (quelques dizaines à une centaine de fiches) est fréquent dans ce type d’affaire : les cybercriminels ont un intérêt commercial et réputationnel à gonfler leurs revendications, tandis que l’administration victime a, symétriquement, intérêt à minimiser. Aucune des deux versions n’a été confirmée de façon indépendante à ce stade — voir l’encadré des limites en fin d’article.

👤 L’arrestation d’un suspect près de Limoges

Le parquet de Paris a annoncé l’interpellation d’un suspect de 22 ans, arrêté à proximité de Limoges. Il est visé par une enquête pour « atteinte à un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État », dans un contexte de « bande organisée ». Cette qualification pénale aggravée reflète la sensibilité particulière des fichiers visés, mais elle ne dit pas si ce suspect agissait seul, avec des complices non identifiés, ou pour le compte d’un groupe plus structuré.

L’attaque s’inscrirait, selon plusieurs recoupements journalistiques, dans un mouvement de représailles visant les autorités françaises après une série d’arrestations estivales de membres présumés du groupe cybercriminel ShinyHunters — sans que ce lien ait été formellement confirmé par une source judiciaire à ce stade.

🌐 Une vague plus large de fuites visant l’État

Ce piratage ne survient pas isolément. Depuis le début de l’année 2026, plusieurs administrations et opérateurs liés à l’État français ont subi des intrusions comparables : la DGFiP a vu les données fiscales de 678 000 Français volées en août, après que la fédération de FFHandball a exposé 1,36 million de fiches de licenciés le même mois. Plus tôt dans l’année, c’est le fichier de l’ANTS qui avait exposé 11,7 millions de Français. Ces affaires n’ont pas toutes le même auteur ni le même mode opératoire, mais elles dessinent collectivement un constat difficile à contester : les systèmes d’information français, publics comme privés, restent vulnérables à des attaques qui exploitent d’abord le facteur humain avant la technique.

🛡️ Les mesures prises par le ministère

Face à l’intrusion, le ministère indique avoir agi « immédiatement » : réinitialisation des mots de passe de l’ensemble des messageries jugées à risque, suppression d’environ un millier de comptes inactifs qui constituaient autant de portes d’entrée potentielles non surveillées, saisine de la CNIL conformément à ses obligations légales, et ouverture d’une enquête administrative interne en parallèle de la procédure judiciaire.

✅ Conclusion

Huit mois après les faits, l’affaire du piratage du ministère de l’Intérieur illustre un principe que la cybersécurité répète depuis des années sans toujours être entendue : la porte d’entrée la plus utilisée par les attaquants n’est pas un pare-feu mal configuré, c’est une personne qui clique. Que l’ampleur réelle de la fuite se situe du côté des « quelques dizaines de fiches » avancées par le ministère ou plus près des millions de profils revendiqués par les attaquants, l’épisode confirme que même les fichiers les plus sensibles de l’État — ceux qui recensent les antécédents judiciaires et les personnes recherchées — ne sont pas à l’abri d’une simple boîte mail compromise.

⚠️ Rappel sur les limites de cet article

Le chiffre de 16,4 millions de personnes concernées provient exclusivement de la revendication des attaquants sur BreachForums et n’a été confirmé par aucune source officielle. Le bilan du ministère (« une centaine de fiches ») n’a pas non plus fait l’objet d’un audit indépendant rendu public à la date de publication. Le lien entre cette attaque et les arrestations estivales de membres présumés de ShinyHunters relève, à ce stade, du recoupement journalistique et non d’une confirmation judiciaire officielle. Enfin, l’article du Monde du 20 août 2026 n’a pas pu être consulté dans son intégralité (accès bloqué) ; les éléments rapportés ici s’appuient sur les informations confirmées par plusieurs sources concordantes (franceinfo, Clubic, Le Monde Informatique, Usine Digitale, AEF info).

❓ Questions fréquentes

Quelles données du ministère de l’Intérieur ont été piratées ?
Les fichiers TAJ (antécédents judiciaires) et FPR (personnes recherchées) ont été consultés, ainsi qu’un troisième fichier sensible non précisé publiquement par le ministère.

Combien de personnes sont réellement concernées ?
Les attaquants revendiquent 16,4 millions de profils, mais le ministère évoque une extraction réelle limitée à environ une centaine de fiches — un écart non résolu à ce jour.

Un suspect a-t-il été identifié ?
Oui, un homme de 22 ans a été interpellé près de Limoges et mis en cause pour atteinte à un système de traitement automatisé de données de l’État en bande organisée.

Cette attaque est-elle liée à d’autres fuites de données françaises de 2026 ?
Elle s’inscrit dans un contexte plus large de multiplication des cyberattaques visant des administrations et opérateurs français (ANTS, DGFiP, FFHandball), sans que l’auteur soit nécessairement le même dans chaque cas.

📚 Sources

1. franceinfo — Trois fichiers sensibles consultés, une centaine de fiches extraites : le bilan de Laurent Nuñez
2. franceinfo — Ce que l’on sait de la cyberattaque qui a touché des serveurs du ministère de l’Intérieur
3. Clubic — Piratage du ministère de l’Intérieur : la France sous la menace d’une fuite de données « sans précédent »
4. Le Monde Informatique — Cyberattaque du ministère de l’Intérieur : un suspect arrêté
5. L’Usine Digitale — Cybersécurité : ce que l’on sait du piratage du ministère de l’Intérieur
6. Le Monde — Le ministère de l’Intérieur piraté depuis la boîte mail d’un fonctionnaire : autopsie d’une intrusion