Cyberattaques : la communication de crise, chapitre absent du plan de sécurité de l’État

Cyberattaques contre la DGFiP et l’Éducation nationale : le plan de sécurité de l’État compte dix chapitres, et pas une ligne sur ce qu’il faudra dire en communication de crise cyber.

Fin juin 2026, un attaquant entre dans le système d’information de la Direction générale des Finances publiques avec les identifiants usurpés d’un agent. Le 14 août, sept semaines plus tard, et deux jours après que le pirate a lui-même mis son butin en vitrine, la DGFiP confirme des « accès illégitimes » : 678 000 particuliers et professionnels concernés. Le 17 août, le même groupe revendique 43 Go de données de l’Éducation nationale. Quelques mois plus tôt, l’État avait pourtant publié sa feuille de route de sécurité numérique 2026-2027 : dix chapitres, une quarantaine d’actions, des échéances au jour près. Et rien sur ce qu’il faudra dire, à qui, quand et comment, le jour où une attaque réussit.

Ce chapitre manquant porte un nom : la communication de crise cyber. Son absence explique en grande partie pourquoi, à l’été 2026, l’État a parlé après les pirates, après les médias, et parfois après les escrocs qui exploitaient déjà la fuite. Analyse d’un angle mort, et proposition du onzième chapitre.

DGFiP, Éducation nationale : l’été 2026 où l’État a parlé après les pirates

La DGFiP : sept semaines de silence, puis trois annonces en cinq jours

La chronologie, reconstituée à partir du communiqué du ministère chargé des Comptes publics et de la presse spécialisée, est un cas d’école. Les intrusions ont lieu en juin et juillet 2026, la première le 26 juin selon le récit des attaquants eux-mêmes. Le pirate n’a pas forcé les comptes impots.gouv.fr des usagers : il a utilisé les accès d’un agent et d’un tiers habilité, et les données sont sorties par le canal applicatif normal, celui que les agents utilisent toute la journée.

La DGFiP a bloqué les comptes dès la détection de connexions suspectes, mais les premiers contrôles n’ont pas repéré le vol de données. Celui-ci n’a été confirmé qu’après des investigations plus poussées — c’est-à-dire après que l’acteur se présentant sous le pseudonyme « ZeroBytes » a revendiqué, les 12 et 13 août, 678 438 lignes extraites d’un outil interne.

Le 14 août, le communiqué officiel tombe : environ 678 000 particuliers et professionnels — près de 350 000 particuliers et 285 000 entreprises. Nom, prénom, revenu fiscal de référence, quotient familial, taux de prélèvement à la source pour les uns ; raison sociale, numéro SIREN et adresses pour les autres ; données cadastrales pour beaucoup. Dans les jours suivants, une deuxième intrusion est reconnue sur le serveur cadastral, puis une troisième, sur un portail public, annoncée en conférence de presse le 18 août. Le 19, le ministre présente un plan de riposte incluant un programme de bug bounty, rappelle que la DGFiP a essuyé 6 972 cyberattaques en 2025 et évoque une « dette technique » accumulée depuis des décennies.

Lu avec les lunettes du communicant de crise, ce déroulé cumule quatre erreurs classiques :

• L’attaquant a fixé le calendrier. Une confirmation qui arrive deux jours après la revendication n’est plus une information, c’est un aveu : l’administration a parlé parce qu’elle y était contrainte.
• Le chiffre a bougé. 678 000 dans le communiqué, « des millions » dans la revendication, plus de deux millions de propriétaires évoqués pour le cadastre par des sites spécialisés. Un chiffre qui bouge est un chiffre perdu.
• Trois annonces en cinq jours. Chaque intrusion reconnue a rouvert l’histoire. C’est l’effet feuilleton : le sujet ne meurt jamais, et chaque rebond efface ce qui avait été bien dit la veille.
• Les bons messages sont arrivés trop tard. Rappeler que les courriels officiels proviennent du domaine @dgfip.finances.gouv.fr et que les sites de l’administration se terminent en .gouv.fr, c’était exactement ce qu’il fallait dire. En heure une, pas en semaine sept.

L’Éducation nationale : une cellule de crise en quelques heures, une revendication trois semaines plus tard

Le ministère de l’Éducation nationale a fait mieux sur le plan des réflexes. D’après son communiqué, l’accès frauduleux a eu lieu dans la nuit du 25 juillet 2026, par usurpation d’un compte professionnel, et visait le système d’information dédié à la formation des personnels. Dès le 26 juillet, le centre opérationnel de sécurité est alerté ; dans les heures qui suivent, l’accès externe est suspendu et une cellule de crise activée. Le 31 juillet, six jours après l’intrusion, le ministère rend l’incident public : sont potentiellement concernés les agents ayant exercé en académie depuis 2001 — identité, informations professionnelles et, pour certains, adresse, téléphone et numéro de sécurité sociale.

Puis, le 17 août, ZeroBytes revendique la publication en ligne de 43 Go de fichiers couvrant plus de vingt ans — environ 1,22 million d’élèves, 4,35 millions d’identifiants de personnels et 602 000 comptes académiques, selon ses propres chiffres. Le ministère indique poursuivre ses expertises et promet d’informer individuellement les représentants légaux des élèves si la présence de mineurs est confirmée.

C’est la troisième fuite que le ministère doit expliquer en 2026, après une intrusion détectée quatre jours après les faits en mars (environ 243 000 agents, adresse personnelle comprise) et une fuite de données d’élèves via un service annexe à ÉduConnect, rendue publique en avril. Trois incidents, trois communiqués sur le même squelette, et la même formule : le nombre de personnes concernées est « en cours d’évaluation ».

Les réflexes techniques sont là. Mais la communication politique a rejoué le scénario de Bercy : une revendication trois semaines après l’annonce officielle, avec des ordres de grandeur que le ministère ne pouvait ni confirmer ni démentir, a tout rouvert. « Nous poursuivons nos expertises » est une phrase vraie. Ce n’est pas un message. Et le ministre, Édouard Geffray, tiendra sa conférence de presse de rentrée le 25 août avec cette affaire en première question.

Le dénominateur commun : le vide d’information est toujours rempli

Dans les deux cas, l’ordre de prise de parole a été le même : le pirate, les sites spécialisés, les médias, puis l’administration. Et derrière eux, les fraudeurs : chaque fuite publique déclenche dans les heures qui suivent des campagnes d’hameçonnage calées sur l’actualité — « votre dossier fiscal a été compromis, cliquez ici ». La victime devient la cible d’une seconde attaque, et le seul acteur capable de lui donner une consigne fiable, l’État, parle en dernier.

Ce n’est pas une question de compétence individuelle : les équipes ont fait, dans l’urgence, ce que personne ne leur avait demandé de préparer. C’est une question de doctrine. Et il n’y en a pas.

Dix chapitres, quarante actions, zéro ligne : anatomie d’un angle mort

Ce que contient la feuille de route cyber de l’État 2026-2027

Le document que l’on appelle, par commodité, le plan de sécurité de l’État s’intitule officiellement « Feuille de route des efforts prioritaires en matière de sécurité numérique de l’État 2026-2027 ». Prévu par l’instruction générale interministérielle n° 1337, validé par le Comité stratégique de la sécurité numérique (COSINUS) et publié au printemps 2026, le document a le mérite de la lucidité : son préambule reconnaît que les fuites de 2025 ont révélé des vulnérabilités graves et que le budget a manqué pour la feuille de route précédente.

Ses dix chapitres :

1. Renforcer la gouvernance ;
2. Homologuer les systèmes d’information, en priorité les SI « à enjeux » ;
3. Maîtriser l’écosystème des prestataires et la chaîne d’approvisionnement ;
4. Assurer le maintien en condition de sécurité et réduire l’obsolescence ;
5. Sécuriser les services exposés sur Internet, DNS et messagerie ;
6. Renforcer l’authentification et la gestion des accès (multifacteur, ProConnect) ;
7. Renforcer la sécurité de l’administration des systèmes d’information ;
8. Améliorer la supervision et la réponse à incidents (EDR/XDR, CSIRT ministériels, CERT-FR) ;
9. Intégrer la cybersécurité dans les plans de reprise d’activité ;
10. Préparer la transition vers la cryptographie post-quantique.

Chaque chapitre décline des actions datées, du 30 juin 2026 à l’horizon 2030. C’est un bon document technique, sans doute le plus précis que l’État ait produit.

Là où la communication aurait dû se trouver

Le chapitre 8 est celui qui s’en approche le plus : détection, remontée d’information entre CSIRT, obligation de suivre les recommandations de l’ANSSI en cas d’incident important, puis point de suivi à six mois adressé à l’ANSSI, au corps d’inspection et au Premier ministre.

Mais nulle part on ne trouve un porte-parole désigné, un délai cible de première prise de parole, une doctrine de notification des personnes concernées, une articulation entre le ministère, le Service d’information du Gouvernement, l’ANSSI et la CNIL, des messages préparés, des canaux de secours ou un exercice de pression médiatique. Dans la version publiée, le mot « communication » n’apparaît que dans l’expression juridique « système d’information et de communication de l’État ». La parole publique, elle, n’existe pas.

Le plan d’action annoncé par le Premier ministre le 30 avril 2026 reproduit l’angle mort. Trois axes : gouvernance (fusion de la DINUM et de la DITP en une autorité numérique de l’État), budget (200 millions d’euros, puis 5 % du budget numérique de chaque ministère dès 2027), doctrine (exercices d’auto-attaque, authentification multifacteur, ProConnect). Le Premier ministre chiffrait alors la menace à trois vols de données par jour. À ce rythme, la question n’est pas de savoir si une attaque réussira, mais ce que l’on dira quand elle réussira. Le plan n’y répond pas.

L’ironie : l’État possède déjà la doctrine qu’il ne s’applique pas

En juin 2026, l’ANSSI a publié une nouvelle version de son guide « Anticiper et gérer sa communication de crise cyber » : dix fiches pratiques et une checklist, destinées explicitement aux communicants des administrations comme des entreprises. Il recommande un dialogue à froid entre équipes cyber et communication, des scénarios réalistes, une boîte à outils dédiée, des modes de communication dégradés et des porte-parole entraînés sous pression médiatique simulée.

Dix chapitres d’un côté, dix fiches de l’autre, et aucune passerelle. L’État dispose de la doctrine ; il ne l’a simplement pas rendue obligatoire pour lui-même.

Pourquoi cet angle mort de communication dans la gestion de crise

Trois raisons, au moins. La plume : la feuille de route est écrite par la chaîne de sécurité des systèmes d’information, pour laquelle la communication est un autre métier, convoqué quand tout est fini. Le pouvoir : dans un ministère, la parole publique appartient au cabinet, donc au politique, qui n’aime pas les scripts. Une croyance, enfin : parler, ce serait avouer. Elle est fausse — c’est se taire qui, aujourd’hui, vaut aveu — mais elle structure encore les réflexes.

Résultat : chaque ministère improvise, chaque ministre décide seul, et le tempo appartient à l’attaquant.

Pourquoi la communication de crise cyber n’est pas un supplément d’âme

Une crise cyber est d’abord une crise de confiance

Une fuite à l’administration fiscale n’est pas un incident informatique. C’est une rupture du pacte fiscal : le citoyen livre, sous contrainte, les informations les plus sensibles sur sa vie matérielle, contre une promesse de protection. Un parent qui renseigne l’identité de son enfant sur ÉduConnect fait le même pari. Quand la promesse est rompue, ce ne sont pas les correctifs qui réparent la confiance, c’est la parole : sa rapidité, sa sincérité, son utilité.

Le silence est une décision, et elle est lue comme telle

Sept semaines sans un mot sont lues comme une dissimulation, même lorsqu’il s’agit d’une enquête. En communication de crise, l’absence de message est un message, toujours plus défavorable que la réalité, parce que chacun le remplit avec sa propre hypothèse : incompétence, négligence, volonté de cacher.

Le cadre légal rend la parole obligatoire — et chronométrée

Le RGPD impose de notifier une violation de données à la CNIL dans les 72 heures suivant sa découverte (article 33) et d’informer les personnes concernées dans les meilleurs délais lorsque le risque pour leurs droits est élevé (article 34). La directive NIS 2, qui couvre les administrations publiques, ajoute une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois. Sa transposition française était toujours en attente à l’été 2026, mais l’horloge de l’opinion tourne déjà à cette vitesse.

Le précédent du Service national universel l’avait montré dès 2023 : une base de plus de 60 000 mineurs mise en vente le 22 novembre, un signalement au ministère le 24, des volontaires informés à partir du 6 décembre. Deux semaines, puis une question écrite d’un député. Une communication de crise ratée ne produit pas seulement de mauvais titres : elle devient un contentieux politique.

Le coût du silence se mesure en victimes secondaires

Un revenu fiscal de référence, une adresse, un SIREN, un numéro de sécurité sociale : ce sont les briques d’une usurpation d’identité, d’une fraude au virement, d’un faux courrier de l’administration. Chaque jour sans consigne claire — quel domaine est officiel, quel courriel ne contient jamais de lien, où signaler — produit des victimes supplémentaires. La communication de crise n’est pas l’habillage de la réponse technique : elle en est une composante de sécurité à part entière.

Ce que devrait contenir le chapitre 11 : « Communiquer en crise cyber »

Pour rester dans la logique du document, voici ce chapitre rédigé comme les dix autres : un objectif, des actions, des échéances.

11.1 Gouvernance de la parole : qui parle, quand, au nom de qui

• [Action 11.a] Désigner dans chaque ministère, d’ici au 31 décembre 2026, un porte-parole cyber et un suppléant, formés, habilités à prendre la parole dans l’heure suivant la qualification d’un incident sans attendre l’arbitrage du cabinet.
• [Action 11.b] Formaliser une chaîne de parole écrite — direction concernée, ministère, Service d’information du Gouvernement, Premier ministre — avec des seuils de déclenchement objectifs : nombre de personnes, sensibilité des données, impact interministériel.
• [Action 11.c] Établir une matrice de rôles avec l’ANSSI (technique), la CNIL (données personnelles), l’autorité judiciaire (enquête) et Cybermalveillance.gouv.fr (victimes), pour que chacun sache ce qu’il dit et ce qu’il ne dit pas.
• [Action 11.d] Coordonner les messages entre ministères lorsque plusieurs administrations sont touchées par le même acteur. ZeroBytes a frappé Bercy et la rue de Grenelle en moins de quinze jours ; les consignes anti-hameçonnage auraient dû être dites une fois, par l’État, pas deux en ordre dispersé.

11.2 Doctrine du dire : cinq principes

1. Vite. Une première prise de parole — la déclaration d’attente, ou holding statement — dans les heures qui suivent la qualification, même sans chiffres : nous avons détecté, nous avons coupé, nous enquêtons, voici ce que vous pouvez faire dès maintenant. C’est la « golden hour », la fenêtre pendant laquelle l’organisation peut encore devenir la source de référence sur sa propre crise.
2. Vrai. Ne jamais donner un chiffre que l’on devra relever : des fourchettes, ce que l’on ignore encore, et quand on le saura. Ne jamais rassurer sur ce que l’on n’a pas vérifié : « aucun mot de passe n’a fuité » ne se prononce qu’après la preuve.
3. Utile. Chaque prise de parole contient une consigne opérationnelle pour le citoyen : domaines officiels, absence de lien dans les courriels de notification, conduite à tenir, où signaler.
4. Régulier. Annoncer le rythme des points de situation et s’y tenir. Un rendez-vous fixe tue le feuilleton : la presse sait quand viendra la prochaine information.
5. Humain. Un visage, une reconnaissance du préjudice, des mots simples. « Des données vous concernant ont été volées » vaut mieux que « accès illégitimes au système d’information ».

11.3 Une banque de messages pré-rédigés, validés à froid

• [Action 11.e] Constituer, pour chaque ministère, des kits de messages par scénario : fuite de données, rançongiciel paralysant un service critique, défiguration, déni de service, compromission d’un compte agent. Chaque kit comprend la déclaration d’attente à T+1 h, le communiqué à T+24 h, la FAQ usagers, le modèle de notification individuelle, les éléments de langage pour les agents et le questions-réponses presse.
• [Action 11.f] Préparer les réponses aux dix questions qui reviennent toujours : comment, depuis quand, qui, combien de personnes, quelles données, suis-je concerné, que dois-je faire, pourquoi si tard, qu’avez-vous fait, cela peut-il se reproduire.
• [Action 11.g] Faire valider ces kits par la direction juridique, le délégué à la protection des données et le cabinet, afin qu’en crise il ne reste qu’à remplir les chiffres.

Le calendrier compte aussi : une panne d’impots.gouv.fr en période déclarative ou une attaque contre Parcoursup la semaine des résultats ne se communiquent pas comme une fuite en août. Les scénarios doivent intégrer les pics du calendrier public.

11.4 Les canaux : atteindre 678 000 personnes sans nourrir le hameçonnage

• Une page permanente « Suis-je concerné ? » sur le domaine officiel, référencée par service-public.fr, qui centralise faits vérifiés et consignes — une source unique, la meilleure arme contre la rumeur.
• Une notification individuelle à l’épreuve du phishing : annoncée à l’avance dans les médias, envoyée depuis un domaine connu, signée, sans aucun lien cliquable. L’usager reconnaît le vrai courriel parce qu’on lui a dit à quoi il ressemblerait.
• Un site de secours hébergé hors de l’infrastructure compromise et des modes dégradés testés, comme le recommande l’ANSSI : comment parle-t-on sans messagerie ni intranet ?
• Les réseaux sociaux officiels, avec publication épinglée et veille des faux comptes qui naissent dans l’heure.
• La communication interne avant l’externe. L’Éducation nationale compte plus d’un million d’agents, à la fois victimes et premiers répondants face aux familles. Leur donner les messages avant la presse, c’est transformer un risque en relais.
• Un renvoi systématique vers Cybermalveillance.gouv.fr et le dispositif 17Cyber.

11.5 Articuler la parole, l’enquête et la remédiation

Le secret de l’enquête et la prudence technique sont légitimes. Ils ne sont pas un alibi. La règle : dire ce que l’on ne peut pas dire, et pourquoi — « l’enquête nous interdit de détailler le mode opératoire ; nous communiquerons le périmètre exact des données au plus tard le… ». Et trois interdits : ne jamais démentir une revendication que l’on ne peut pas réfuter, ne jamais confirmer ce que l’on n’a pas vérifié, ne jamais laisser une question sans date de réponse.

11.6 S’entraîner : la communication dans chaque exercice de crise

• [Action 11.h] Inclure dans tout exercice de crise cyber ministériel, dès 2027, un volet de communication publique avec pression médiatique simulée, et entraîner ministres et directeurs généraux à la prise de parole.
• [Action 11.i] Rapporter chaque année au COSINUS quatre indicateurs : délai entre qualification de l’incident et première prise de parole (cible : moins de 24 heures), délai de notification des personnes concernées (cible : moins de 72 heures), part des prises de parole contenant une consigne, évolution des signalements d’hameçonnage dans les semaines suivantes.

11.7 L’après-crise : un retour d’expérience public

La feuille de route impose déjà un point de suivi à six mois, adressé à l’ANSSI, au corps d’inspection et au Premier ministre. Il manque sa version publique. Dire aux citoyens ce qui a été compris, changé, et ce qui reste fragile est la seule manière de reconstruire durablement la confiance : la réputation ne se restaure pas par le silence retrouvé, mais par la preuve que l’on a appris.

Ce que les entreprises et les collectivités doivent en retenir

L’angle mort de l’État est celui de la plupart des organisations : les plans de continuité et de reprise d’activité décrivent les sauvegardes, rarement les phrases. Une entreprise frappée par un rançongiciel ou une collectivité au site défiguré se retrouve dans la situation de Bercy — un attaquant qui parle, des clients inquiets, des salariés sans réponse, et une direction qui découvre que personne n’a écrit la première phrase. Un chapitre « communication de crise cyber » tient pourtant en six engagements :

1. Un porte-parole désigné, formé, et un suppléant.
2. Un scénario par menace, avec des messages pré-rédigés et validés à froid.
3. Un kit RGPD prêt : registre des violations, modèle de notification à la CNIL, modèle de courrier aux personnes concernées.
4. Un canal hors du système d’information : numéros imprimés, messagerie de secours, page statique hébergée ailleurs.
5. Un exercice par an avec pression médiatique simulée.
6. Une règle d’or : parler avant l’attaquant quand c’est possible, et dans tous les cas dans les 24 heures suivant la qualification de l’incident.

Le guide de l’ANSSI fournit la trame ; il reste à l’appliquer avant la crise, et non pendant.

FAQ : communication de crise et cyberattaques

Qu’est-ce que la communication de crise cyber ? L’ensemble des décisions, messages et canaux qu’une organisation victime d’une cyberattaque mobilise pour informer ses publics — usagers, salariés, partenaires, médias, autorités — vite, juste et utilement. Elle se prépare à froid et se pilote à chaud, avec la réponse technique, juridique et judiciaire.

Quand une administration doit-elle informer les personnes concernées par une fuite de données ? Le RGPD impose de notifier la CNIL sous 72 heures et d’informer les personnes concernées dans les meilleurs délais dès que le risque pour leurs droits est élevé — ce qui est le cas pour des données fiscales, de santé ou d’identité. NIS 2 ajoute des délais de 24 heures, 72 heures et un mois pour les incidents importants.

Que contient la feuille de route cyber de l’État 2026-2027 ? Dix chapitres techniques, de la gouvernance à la cryptographie post-quantique, en passant par l’homologation, les prestataires, le DNS, l’authentification, la supervision et les plans de reprise. Aucun ne traite de la communication de crise.

Pourquoi la DGFiP a-t-elle mis sept semaines à communiquer ? Selon l’administration, les connexions suspectes ont été bloquées dès leur détection, mais le vol de données n’a été confirmé qu’après des investigations plus poussées. La revendication du 12 août a précédé le communiqué du 14 : quelle qu’en soit la cause, l’administration a parlé après l’attaquant.

Que faire si je suis concerné par la fuite de données de la DGFiP ou de l’Éducation nationale ? Ne cliquer sur aucun lien dans un courriel ou un SMS évoquant la fuite ; vérifier que les courriels officiels proviennent d’un domaine en .gouv.fr ; ne jamais communiquer de code par téléphone ; surveiller ses comptes et courriers administratifs ; signaler toute tentative sur Cybermalveillance.gouv.fr ou via le 17Cyber.

Que doit contenir un plan de communication de crise cyber ? Une gouvernance de la parole (porte-parole, chaîne de validation, rôles des autorités), une doctrine avec des délais cibles, des messages pré-rédigés par scénario, des canaux de secours, une notification à l’épreuve du hameçonnage, des exercices annuels avec pression médiatique et un retour d’expérience public.

Le chapitre le moins cher des onze

La feuille de route de l’État chiffre des licences, des équipements, des migrations, des homologations. Le chapitre 11 ne coûterait ni serveur, ni logiciel, ni marché public. Il coûte une décision : admettre que la réponse à une cyberattaque ne s’arrête pas à la porte de la salle de crise, et que ce que l’on dit fait partie de ce que l’on fait.

À trois vols de données par jour, la prochaine attaque réussie n’est pas une hypothèse : c’est une échéance. La seule question encore ouverte est de savoir qui, ce jour-là, prendra la parole en premier. Pour l’instant, la réponse est connue, et ce n’est pas l’État.