Les récentes cyberattaques contre des organismes publics français (dont le fisc) révèlent selon Vincent Strubel, directeur général de l’ANSSI, « un nouveau pan de la menace » cyber. Ces piratages impliquent des jeunes Français peu organisés qui privilégient des opérations rapides et massives plutôt que les méthodes sophistiquées des groupes criminels ou étatiques.
Une menace différente des hackers habituels
Vincent Strubel a décrit cette évolution lors des universités d’été d’Hexatrust, l’association qui rassemble des entreprises françaises de cybersécurité. Selon lui, la France fait face depuis environ un an à l’émergence massive d’une « criminalité non organisée » et « endogène », composée notamment de jeunes Français qui ne forment pas de véritables organisations structurées.
Ces nouveaux pirates disposent de moyens beaucoup plus limités que les groupes de cybercriminalité organisés ou les acteurs liés à des États. « Ils n’ont pas des infrastructures très développées, ils n’ont pas de groupes très développés, donc c’est très protéiforme », explique Vincent Strubel. L’ANSSI observe également que leurs attaques ne cherchent généralement pas à rester furtives ou à conserver durablement un accès aux systèmes compromis.
Les attaques contre la Direction générale des finances publiques (DGFiP) confirment cette nouvelle tendance. Après plusieurs opérations menées pendant l’été, environ 700 000 personnes ont vu leurs données volées et deux personnes ont été arrêtées, avec des soupçons concernant le groupe ZeroBytes qui avait revendiqué l’une des attaques.
L’ANSSI cherche encore à comprendre leurs motivations
Vincent Strubel souligne que l’ANSSI dispose encore de peu de recul sur ce phénomène. « On commence à peine à en voir un certain nombre de caractéristiques », explique-t-il, tout en précisant que les motivations de ces attaquants restent difficiles à déterminer.
Dans un message publié après son intervention, le directeur de l’ANSSI a précisé que ces hackers exploitent notamment des bases de comptes compromises par des infostealers ou par d’anciennes intrusions. Il décrit un mode opératoire de type « hit & run », avec des attaques rapides, sans recherche systématique de privilèges élevés ni volonté réelle de dissimuler leurs traces.
Cette évolution s’ajoute aux menaces déjà suivies par l’ANSSI. Son bilan de 2025 souligne notamment que la frontière entre les acteurs étatiques et les cybercriminels devient progressivement plus difficile à établir, tandis que les attaquants partagent davantage leurs outils et leurs méthodes.
L’agence estime que la réponse passe notamment par un renforcement massif de la sécurité des services numériques publics. Cette priorité prend une importance particulière alors que l’ANSSI doit simultanément surveiller des campagnes beaucoup plus sophistiquées, comme celles attribuées au groupe russe Turla contre des entités françaises stratégiques.
