Piratage ministère de l’Intérieur : une fuite de données « sans précédent » pèse sur la France, pourquoi on a des doutes

C’est une attaque décrite comme « sans précédent ». Le ministère de l’Intérieur a détecté une intrusion dans les serveurs de messagerie de la place Beauvau du 11 août au 12 septembre 2025. Le ministre Laurent Núñez explique au micro de RTL qu’un « assaillant a pu pénétrer sur un certain nombre de fichiers », mais rassure en indiquant qu’aucune trace de « compromission grave » n’a été identifiée.

Sauf que le lendemain, la situation a changé puisqu’un message qui revendique le piratage est apparu sur BreachForums, un marché noir de la cybercriminalité que l’on pensait hors ligne depuis des arrestations en juin dernier. Bref, la série noire se poursuit pour la France après les nombreux piratages de France Travail.

Des pirates revendiquent l’attaque du ministère de l’Intérieur

Le communiqué sur BreachForums est signé d’un certain Indra, qui est authentifié par une signature cryptographique PGP. « Maintenant vous allez payer pour ce que vous avez fait à nos amis », menacent les auteurs. Une phrase qui fait référence aux interpellations qui ont eu lieu en France entre février et juin 2025 avec l’arrestation de 5 administrateurs présumés de cette plateforme.

Parmi eux, 4 Français membres du collectif ShinyHunters. Le Britannique Kai West, qui opère sous le pseudonyme IntelBroker, a été interpellé en février dernier. Les 4 autres, connus sous les pseudonymes ShinyHunters, Hollow, Noct et Depressed, ont été arrêtés à la fin du mois de juin par la brigade de lutte contre la cybercriminalité dans les Hauts-de-Seine, en Seine-Maritime et à La Réunion.

Sauf que les espoirs des autorités françaises se sont évaporés. Pas de fermeture de BreachForums, selon le message d’Indra, qui décrit comment les systèmes du ministère de l’Intérieur ont été infiltrés. L’attaque aurait duré plusieurs semaines et les comptes e-mail de nombreux enquêteurs de la police nationale et de la gendarmerie ont été compromis. Les données ont été extraites discrètement avant que l’intrusion ne soit repérée sur l’intranet.

Dramatique… on s'apprête à avoir un sans précédent en France.
Espérons que cela n'arrive point…

— SaxX ¯\_(ツ)_/¯ (@_SaxX_) December 15, 2025

Les cybercriminels expliquent qu’ils ont les données personnelles de plus de 16,4 millions de Français et un accès au fichier de traitement des antécédents judiciaires, qui recense les personnes mises en cause et les victimes d’infractions. Mais les pirates auraient aussi récupéré le fichier des personnes recherchées et les bases de la Direction générale des finances publiques et de la Caisse nationale d’assurance vieillesse.

La pression s’est intensifiée ce lundi puisque les pirates exigent une prise de contact, sans quoi le butin sera revendu à d’autres groupes criminels ou à des États intéressés. Deuxième option pour les cybercriminels, orchestrer ce qu’ils qualifient de « fuite publique complète d’une ampleur inégalée dans l’histoire du pays ». Les cybercriminels déclarent qu’ils ont aussi examiné les boîtes e-mails d’enquêteurs et affirment que « la vérité que nous pourrions révéler sur l’ampleur de cette fuite, qui touche à la fois les criminels et les victimes, choquerait la France et compromettrait gravement de nombreuses personnes ».

À noter que l’adresse e-mail de contact appartient soi-disant au ministère de l’Intérieur. Mais en réalité, les pirates ont usurpé l’adresse via une plateforme d’Amazon. Il s’agit de spoofing. De quoi semer un peu le doute sur la véracité de ce piratage, mais nous reviendrons à ce sujet plus bas.

Le ministère de l’Intérieur reste mesuré. La place Beauvau confirme qu’il y a eu une intrusion, mais les affirmations à propos de l’accès au traitement des antécédents judiciaires et aux fichiers des personnes recherchées n’ont pas été confirmées. Près de 280 000 fonctionnaires ont reçu comme consigne d’être vigilants et l’authentification à deux facteurs a été déployée en urgence pour tout le monde. Quant aux accès aux systèmes d’information, ils ont été verrouillés. Une enquête judiciaire a été confiée à l’Office anti-cybercriminalité avec signalement auprès de la procureure de Paris et de la CNIL.

Mais des questions se posent sur la crédibilité des auteurs

Si l’attaque se confirme, les conséquences seraient énormes. Le fichier du traitement des antécédents judiciaires contient les informations personnelles de personnes mises en cause dans des procédures pénales, mais aussi des victimes et témoins. On parle de données gardées jusqu’à 40 ans pour certaines infractions. Le fichier des personnes recherchées regroupe les personnes sous surveillance pour terrorisme, les mineurs fugueurs, les évadés, les débiteurs du Trésor public ou encore les personnes qui n’ont pas le droit d’entrer en France. La fuite massive exposerait donc aussi bien des criminels fichés que des victimes sous protection, des témoins ou de simples citoyens qui étaient dans des procédures.

Clément Domingo, connu sous le pseudo SaxX, estime que « si cette fuite d’informations ou vente de données se confirmait, elle mettrait la sécurité nationale en péril ». Toutefois, il faut prendre cette information avec prudence.

Un groupe de hackers lié à ShinyHunters ou BreachForums a revendiqué avoir piraté le ministère de l’Intérieur.

Laurent Nuñez (Ministre de l'Intérieur) a confirmé une attaque, mais on ne connaît pas son ampleur.

Les hackers revendiquent plus de 16 millions de données d’individus… pic.twitter.com/oBGz34o97f

— Aurea (@AureaLibe) December 15, 2025

L’analyste Aurea souligne qu’aucune preuve de ce piratage n’a été diffusée. L’absence d’échantillons pour crédibiliser les revendications est un signal d’alerte. Et il faut aussi préciser que le groupe ShinyHunters s’est désolidarisé de cette attaque, selon l’analyse de Clément Domingo. L’identité des auteurs du message est donc incertaine, malgré ces menaces de représailles.

L’échéance posée par les pirates approche et, si ces menaces sont mises à exécution, des questions se posent. L’État va-t-il négocier avec des cybercriminels ou parier sur l’absence de preuves, au risque d’une diffusion massive ? L’ultimatum est fixé au samedi 20 décembre et Clément Domingo résume :« On s’apprête à vivre un moment sans précédent en France. Espérons que cela n’arrive point. »