L’Insee a reconnu le 26 juin 2026 une cyberattaque ayant exposé les données de 12 800 agents via son annuaire interne, après les fuites Tchap, ANTS et Jeveuxaider.gouv.fr.
Un vendredi soir. 26 juin 2026, fin d’après-midi. L’Institut national de la statistique et des études économiques publie un communiqué : l’annuaire interne a été compromis. 12 800 personnes concernées, agents en poste, anciens agents, membres des corps statutaires rattachés. Identité, coordonnées professionnelles. Pas de mots de passe, pas de données bancaires, pas de numéros de sécurité sociale. Les bases statistiques du recensement et des enquêtes économiques nationales restent intactes. Mais l’intrusion a eu lieu, et les noms sont sortis.
L’incident pris isolément ressemble à une brèche RH classique. Rapporté à la chronologie française de 2026, il confirme autre chose. L’Agence nationale des titres sécurisés (ANTS), la plateforme Jeveuxaider.gouv.fr, la messagerie Tchap, l’Agence du service civique ont toutes subi des compromissions en quelques mois. Depuis 2023, les dix plus grosses violations de données recensées en France ont exposé au moins 145 millions d’enregistrements. L’Insee s’ajoute à une série déjà longue.
Ce que l’on sait de la fuite de l’annuaire interne
L’intrusion a été détectée le 19 juin 2026. Sept jours avant le communiqué public. Cet écart correspond au délai nécessaire pour qualifier l’ampleur réelle, écarter une compromission des bases sensibles et notifier la CNIL et le parquet. Le RGPD impose une notification à l’autorité de contrôle sous 72 heures après la découverte d’une violation, mais ne fixe pas de date butoir pour l’information publique. La Commission nationale de l’informatique et des libertés d’abord, les personnes ensuite, si le risque pour leurs droits est élevé. Cette distinction autorise une notification discrète le jour même, puis une communication publique décalée.
Les données exposées couvrent l’identité et les coordonnées professionnelles. Nom, prénom, adresse email, numéro de téléphone, fonction. Environ 12 800 personnes au total. L’Insee a pris soin de dresser la liste de ce qui n’a pas fuité : aucun mot de passe, aucune coordonnée bancaire, aucun numéro de sécurité sociale, aucune donnée de santé. Les bases statistiques de l’institut, qui alimentent les publications officielles, n’ont pas été touchées. L’incident reste circonscrit à un annuaire RH, une base de contacts internes.
Ce périmètre limite l’ampleur, mais n’efface pas le risque. L’Insee l’a identifié dans son communiqué : hameçonnage ciblé et usurpation d’identité. Une base de contacts professionnels donne à un attaquant tout ce qu’il faut pour rédiger un email crédible, se faire passer pour un collègue ou un service RH, et pousser une victime à cliquer. L’institut a publié une mise en garde : il ne demande jamais de paiement pour une inscription au répertoire Sirene, ni de coordonnées bancaires ou de mots de passe par téléphone ou par email.
Un mois de juin chargé pour l’administration française
Air Austral ouvre Koh Samui et huit destinations d’Asie depuis La Réunion
Quelques semaines avant l’Insee, la messagerie Tchap a été compromise. Début juin 2026, un pirate se faisant appeler « misere » a détourné un compte pour parcourir des centaines de salons publics. Il revendiquait l’accès à plus de 643 000 messages. Bilan : 73 467 comptes exposés[4]. Tchap est la messagerie chiffrée déployée par la DINUM pour les agents de l’État, présentée comme une alternative souveraine aux outils américains. L’incident a touché noms, adresses email, contenus de messagerie.
En avril 2026, l’Agence nationale des titres sécurisés a été frappée à son tour. L’attaque a exposé 11,7 millions de comptes, l’une des plus vastes de l’année en France. Avant cela, la fuite France Travail de mars 2024 reste le point de référence : jusqu’à 43 millions de personnes concernées. Le volume Tchap ou Insee paraît modeste en comparaison, mais la répétition dessine un motif difficile à ignorer. La plateforme Jeveuxaider.gouv.fr et l’Agence du service civique ont également subi des compromissions ces derniers mois, avec des détails publics limités.
Le point commun à ces dossiers : des systèmes back-office, RH ou de gestion documentaire, moins surveillés que les infrastructures réseau de première ligne. Des bases internes, parfois anciennes, parfois mal cloisonnées, qui contiennent des noms, des adresses, des hiérarchies. Le type de données qu’un attaquant peut monétiser, revendre ou utiliser pour des campagnes d’ingénierie sociale à grande échelle.
| Organisme | Date de révélation | Nombre de comptes exposés | Nature des données |
|---|---|---|---|
| ANTS | Avril 2026 | 11,7 millions | Données d’identité |
| Tchap | Juin 2026 | 73 467 | Comptes, messages, emails |
| Insee | 26 juin 2026 | 12 800 | Annuaire agents (identité, coordonnées pro) |
| Jeveuxaider.gouv.fr | 2026 (date non précisée) | Non communiqué | Non précisé |
| Agence du service civique | 2026 (date non précisée) | Non communiqué | Non précisé |
Source : Tech Insider
Pourquoi l'administration française multiplie les fuites
145 millions d’enregistrements exposés depuis 2023
Sur le premier semestre 2026, 43,4 millions de comptes ont été compromis en France[5]. Ce chiffre s’ajoute aux fuites massives enregistrées depuis 2023. Les dix plus grosses violations de données recensées depuis cette date ont exposé au moins 145 millions d’enregistrements. France Travail en mars 2024, l’ANTS en avril 2026, les fuites successives de bases clients ou de fichiers RH chez des opérateurs privés. Le rythme s’accélère, les volumes augmentent, les acteurs se diversifient.
ShinyHunters a revendiqué plusieurs de ces attaques. En avril 2026, le groupe affirmait avoir dérobé environ 350 Go de données à la Commission européenne, avec accès aux noms, adresses email et contenus de messagerie d’agents européens. Le CERT-UE a confirmé l’intrusion dans l’infrastructure cloud de la Commission. En juillet 2026, ShinyHunters a également revendiqué 297 Go de données volées au Conseil de l’Europe, l’organisation intergouvernementale de 46 États basée à Strasbourg. Ces deux incidents touchent des institutions européennes, mais la méthode reste la même : cibler des systèmes de gestion interne, RH ou documentaire, moins protégés que les infrastructures critiques.
La multiplication de ces brèches complique la tarification des polices d’assurance cyber pour le secteur public. Longtemps considéré comme à part du marché commercial classique, ce segment devient plus risqué pour les assureurs. Les sommes en jeu restent difficiles à chiffrer, mais les compromissions répétées de dizaines de milliers d’employés dans des organisations internationales changent la donne.
Une réponse européenne encore en construction
Le 7 juillet 2026, la Commission européenne a publié son plan d’action sur la cybersécurité et l’intelligence artificielle, référencé COM(2026) 577 final. Le texte tombe alors que le dernier rapport ENISA Threat Landscape recense 4 875 incidents sur la période récente. Le Cybersecurity Act 2 prévoit une hausse de 75 % des moyens de l’ENISA, l’agence européenne de cybersécurité. C’est un signal que les institutions cherchent à muscler leur propre capacité de réponse plutôt que de se reposer uniquement sur des obligations imposées aux entreprises via NIS2 ou le Cyber Resilience Act.
NIS2, transposée en France depuis le 17 mars 2026 via le Référentiel Cyber France (ReCyF) de l’ANSSI, impose des obligations de sécurité à entre 10 000 et 18 000 entités françaises. Le texte couvre les opérateurs de services essentiels et les fournisseurs de services numériques, mais ne dispense pas les administrations de sécuriser leurs propres systèmes. L’Insee, l’ANTS, Tchap : autant de rappels que le secteur public reste une cible de choix.
Pour les agents dont les données ont fuité, le risque immédiat reste le même depuis des années : hameçonnage ciblé, usurpation d’identité, campagnes de phishing personnalisées. Un email qui semble venir d’un collègue, une fausse demande RH, un lien qui mène à un site cloné. La base Insee donne un annuaire complet, avec fonction et coordonnées. Exactement ce qu’il faut pour construire un email crédible.
Cyberattaque Insee 2026 : les chiffres à retenir
- L'Insee a confirmé le 26 juin 2026 une cyberattaque ayant exposé 12 800 agents via l'annuaire interne
- L'intrusion a été détectée le 19 juin 2026, sept jours avant la communication publique
- Aucun mot de passe, donnée bancaire ou numéro de sécurité sociale n'a été compromis
- Les bases statistiques de l'Insee n'ont pas été touchées, seul l'annuaire RH a fuité
- Depuis 2023, les dix plus grosses violations de données en France ont exposé au moins 145 millions d'enregistrements
- Tchap, ANTS, Jeveuxaider.gouv.fr et l'Agence du service civique ont tous subi des attaques en 2026
Sources
2 sources · 2 faits vérifiés
