Ministère de l’Intérieur : une messagerie a ouvert la voie

Une intrusion confirmée, mais un bilan encore incomplet

Le fait central est confirmé par le ministère : une boîte mail d’agent a été compromise et des accès non autorisés ont conduit à la consultation de fichiers de police. Laurent Nuñez a alors indiqué que quelques dizaines de fiches au moins avaient été extraites, tout en précisant que les investigations se poursuivaient. Les fichiers concernés comprennent le Traitement d’antécédents judiciaires, ou TAJ, et le Fichier des personnes recherchées, ou FPR.

Ce point impose de distinguer deux choses. L’intrusion et l’accès à des données sensibles sont établis. En revanche, il n’existe pas de total public définitif des personnes concernées ni de liste publique complète des informations effectivement copiées. Les affirmations de pirates sur des millions de données n’ont pas été retenues par le ministre, qui les a alors contestées tout en restant prudent sur l’ampleur finale de la compromission.

Une chaîne qui aurait commencé hors de Beauvau

D’après l’enquête publiée par Next, le point de départ se situerait le 19 septembre 2025 sur l’ordinateur personnel d’un fonctionnaire du ministère de l’Agriculture. L’agent aurait consulté sa messagerie professionnelle depuis son domicile. Cet appareil aurait été infecté par Rhadamanthys, un logiciel voleur d’informations, après la visite d’un faux site de téléchargement de logiciel musical.

Cette précision ne transforme pas l’article de presse en conclusion judiciaire. Elle donne toutefois un mécanisme concret : un logiciel malveillant peut récupérer des identifiants de session ou des mots de passe sur une machine personnelle, puis ces accès peuvent être utilisés ou revendus. L’enquête ne permet pas encore d’établir publiquement qui a exploité ces identifiants ni toute la succession exacte des accès.

Des identifiants échangés en clair ont aggravé le risque

Les éléments communiqués en décembre ont mis en lumière un second maillon. Le ministre a reconnu que des mots de passe qui n’auraient pas dû circuler en clair dans les messageries avaient été exploités. La Tribune rapporte que le ministère a ensuite annoncé la révocation des accès compromis, des changements de mots de passe et le renforcement de l’authentification à double facteur.

L’enseignement n’est pas qu’une messagerie serait intrinsèquement dangereuse. C’est l’assemblage qui compte : un compte compromis, des secrets conservés dans des messages, puis une procédure de secours ou un accès interne insuffisamment protégé. Une authentification forte limite l’usage d’un mot de passe volé, mais elle doit couvrir les accès réellement utilisés, y compris les voies de secours.

Pourquoi les données de police sont particulièrement sensibles

Le TAJ est utilisé dans les enquêtes judiciaires et administratives. Il peut contenir des informations sur des personnes mises en cause comme sur des victimes. Le FPR sert aux services autorisés à rechercher, surveiller ou contrôler certaines personnes. Ces fichiers ne sont pas une base de contacts ordinaire : leur consultation ou leur extraction peut exposer des personnes à des risques spécifiques, selon la nature des informations concernées.

Il serait pourtant imprudent d’affirmer que toutes les personnes inscrites dans ces fichiers ont été touchées. Les sources ouvertes confirment des accès et l’extraction de fiches, mais pas une copie intégrale des bases. Le chiffre publié par Next, 96 fichiers policiers exfiltrés selon son récit de l’enquête, ne se confond pas avec un nombre de personnes ni avec le bilan officiel définitif.

Ce que peuvent faire les personnes qui s’interrogent

Aucune liste publique de personnes concernées n’est disponible. Si vous recevez un appel, un courriel ou un SMS évoquant cette affaire, le fait que l’interlocuteur connaisse des informations personnelles ne prouve pas son identité. Ne donnez pas de code reçu par SMS, ne répondez pas à une demande urgente et retrouvez vous-même le numéro ou le site officiel de l’organisme prétendument contacté.

Pour les agents et les organisations, le rappel est plus direct : un mot de passe ou un code d’accès ne doit pas circuler dans une boîte mail ou une messagerie. L’accès à un outil professionnel depuis un équipement personnel doit aussi être traité comme une exposition supplémentaire. En cas de doute sur un compte, il faut passer par le canal interne de sécurité plutôt que réutiliser le compte ou les mêmes secrets.

Ce que nous ne pouvons pas vérifier

Les sources consultées ne permettent pas de vérifier l’intégralité du parcours technique, l’identité des auteurs, le nombre définitif de personnes concernées ni le détail des données extraites. Le récit de Next s’appuie sur une enquête de l’Office anti-cybercriminalité rapportée par la presse, mais le dossier judiciaire n’est pas public.

Nous ne pouvons pas non plus confirmer que l’infection de l’ordinateur personnel, les identifiants ensuite utilisés et chaque accès décrit relèvent d’un seul et même auteur. Les chiffres rapportés à différents moments, quelques dizaines de fiches, quatorze fichiers visités ou 96 fichiers exfiltrés, ne portent pas nécessairement sur le même périmètre. Ils ne doivent pas être additionnés ni présentés comme un bilan unique.

Sources : Next ↗ · La Tribune ↗ · Le Monde ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.