🏛️ Contexte

Publié le 12 novembre 2026 par le CERT-FR (ANSSI), ce document constitue le deuxième point de situation de l’opération REACTIV (REponse & ACTion Interministérielle face aux Violations de données), lancée le 1er septembre 2026 à la demande du Premier ministre pour faire face à l’intensification des attaques cybercriminelles visant les services de l’État français.

📊 Tendance globale

Depuis le 30 septembre 2026, 64 nouvelles violations de données ont été portées à la connaissance de l’ANSSI. Parmi celles-ci, 5 concernent des ministères ou organismes sous tutelle et sont en cours de traitement. Une baisse importante du nombre de violations détectées ou revendiquées est soulignée sur le périmètre ministériel.

🔓 Vulnérabilités récurrentes identifiées

  • Absence ou faiblesse du MFA (authentification multifacteur)
  • Sous-traitance et chaîne d’approvisionnement
  • Compromission de comptes via infostealers
  • Vulnérabilités de type IDOR (Insecure Direct Object Reference)
  • Défauts de développement et de configuration

💥 Impacts principaux

L’exfiltration de données personnelles constitue l’impact dominant :

  • Données d’identité et d’authentification (annuaires, condensats de mots de passe)
  • Données relatives aux mineurs
  • Données sociales et financières (dossiers allocataires, quotient familial)
  • Données professionnelles et RH
  • Contenus de messagerie

🏫 Incidents par ministère

Ministère de l’Éducation nationale : De juillet à septembre 2026, 25 des 30 académies touchées. Mode opératoire : obtention d’identifiants valides → exploitation de comptes à privilèges → exfiltration (annuaires, bases applicatives, boîtes aux lettres) → latéralisation via le RIE. Remédiation en cours, aucune nouvelle violation depuis septembre.

Ministère de l’Europe et des Affaires étrangères [NOUVEAU] : Intrusion détectée le 20 octobre 2026 sur le portail des bibliothèques du MEAE via comptes techniques volés. Données personnelles d’une centaine d’utilisateurs exposées. Tentatives d’élévation de privilèges bloquées.

Ministères économiques et financiers (DGFIP) : Incidents d’août 2026 ayant entraîné l’exfiltration de données fiscales d’usagers particuliers et professionnels ainsi que de données cadastrales. Investigations closes, rapport dédié publié.

Ministères de la Transition écologique (OFB) [NOUVEAU] : Le 4 octobre 2026, exploitation d’une vulnérabilité IDOR sur l’API de paiement du portail permischasser.ofb.fr. Plus de 1 000 personnes (dont des mineurs) concernées, données publiées en accès libre le jour même.

Ministère du Travail — France Travail [NOUVEAU] : Le 8 octobre 2026, vente revendiquée sur un forum cybercriminel de données de plus de 60 000 agents et professionnels. Compromission d’un compte avec contournement du second facteur SMS le 26 septembre.

Ministère du Travail — CAF (VACAF) [NOUVEAU] : Violation détectée le 9 octobre 2026. Compromission d’identifiants de partenaires via infostealers (sans MFA) + exploitation d’une IDOR. Près de 1,2 million de dossiers concernés (noms, matricules CAF, quotient familial, identités de mineurs, aides financières). Aucune donnée bancaire ni mot de passe exposé.

Ministère de l’Agriculture (ASP) [NOUVEAU] : Plusieurs violations sans lien identifié. Portails PROFIL et PUMA compromis en août. Le 30 septembre, portail DEFI compromis via compte usurpé + exploitation de vulnérabilité. 30 500 usagers notifiés. Revendication le 9 octobre 2026.

🔍 Technique récurrente

Les investigations convergent vers la réutilisation de secrets volés pour accéder de manière légitime à des applications ministérielles et en extraire les données.

📄 Nature du document

Il s’agit d’un rapport d’incident opérationnel publié par l’ANSSI dans le cadre de l’opération REACTIV, destiné à informer les parties prenantes gouvernementales de l’état d’avancement des incidents et des remédiations en cours.

🧠 TTPs et IOCs détectés

TTP

  • T1078 — Valid Accounts (Initial Access)
  • T1078.001 — Valid Accounts: Default Accounts (Initial Access)
  • T1555 — Credentials from Password Stores (Credential Access)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1110 — Brute Force (Credential Access)
  • T1021 — Remote Services (Lateral Movement)
  • T1534 — Internal Spearphishing (Lateral Movement)
  • T1083 — File and Directory Discovery (Discovery)
  • T1530 — Data from Cloud Storage (Collection)
  • T1114 — Email Collection (Collection)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1588.001 — Obtain Capabilities: Malware (Resource Development)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 12 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Infostealer (stealer)

🟢 Indice de vérification factuelle : 66/100 (haute)

  • ✅ cert.cyber.gouv.fr — source reconnue (liste interne) (20pts)
  • ✅ 14798 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 2 IOC(s) (6pts)
  • ⬜ 0/2 IOCs confirmés externellement (0pts)
  • ✅ 13 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://cert.cyber.gouv.fr/cti/CERTFR-2026-CTI-010/