Le Premier ministre a demandé à l’Agence Nationale de la Sécurité des Systèmes d’Information de basculer une partie de ses moyens vers une cellule de réaction dédiée aux violations de données touchant les services de l’État. Baptisée REACTIV, cette opération s’accompagne d’un renforcement des pouvoirs de l’Agence sur les ministères.
Une cellule de crise interministérielle pour endiguer les fuites de données
Depuis le 1er septembre, l’ANSSI opère selon un mode renforcé. Le dispositif nommé ” REponse & ACTion Interministérielle face aux Violations de données “, permet à l’Agence de mobiliser ses compétences et ses moyens aux côtés des ministères confrontés à des compromissions de comptes utilisateurs ou à des exfiltrations de données. Plus concrètement, il s’agit d’accélérer le traitement des incidents et de mieux enrayer les attaques en cours.
Un programme qui s’accompagne de prérogatives plus larges pour l’ANSSI. L’Agence peut désormais exiger des ministères, dans des délais contraints, la mise en œuvre de mesures immédiates pour protéger les données des citoyens. Une communication technique de crise, centralisée par l’ANSSI, est également mise en place pour toute attaque relevant de cette menace. REACTIV vient compléter la feuille de route des efforts prioritaires en matière de sécurité numérique, dont le Premier ministre a demandé la mise en place d’urgence pour améliorer le niveau de sécurité des réseaux ministériels.
Une menace qui change de visage et des cibles jusque-là épargnées
Vincent Strubel, le directeur général de l’ANSSI, a détaillé sur LinkedIn l’émergence de profils d’attaquants, déjà connus : ” de jeunes Français, peu coordonnés, qui exploitent massivement des bases de comptes compromis via des infostealers ou des intrusions antérieures “. Le directeur général de l’Agence reconnaît que “nous ne connaissons ni leurs motivations profondes, ni ce qui a déclenché cette montée en puissance massive en quelques mois “. Il pointe le mode opératoire qui dénote des attaques habituellement traitées par l’Agence, un “hit & run rapide, sans chercher des privilèges élevés ni réellement masquer leurs traces “. Une différence qu’il tient à préciser : ces attaques ne sont pas “sophistiquées”, elles sont simplement “différentes”, portées par des assaillants qui semblent surtout en quête d’impact de réputation plutôt que d’un gain financier. Ces attaques ont particulièrement touché, cet été, des académies et des services départementaux d’incendie et de secours, avant l’analyse de l’incident survenu a la DGFiP.
Le précédent de la vague ransomware, un scénario déjà éprouvé
Vincent Strubel établit un parallèle avec la massification brutale des rançongiciels observée il y a six à sept ans.
Même cinématique d’une menace dormante qui devient d’un coup massive, même effet de sidération universel quand les premiers hôpitaux ont été paralysés, même réponse structurée en actions de court terme (“surge” des cyberpompiers) et de long terme (plan CARe pour les hôpitaux)
Extrait d’une réponse de Vincent Strubel, sous son post Linkedin du 8 septembre 2026.
Cette approche n’avait pas produit d’effets immédiats, mais avait permis de ramener la menace sous un contrôle relatif, sans pour autant la faire disparaître.
REACTIV se veut de la même logique : une bascule d’effort temporaire pour limiter les dégâts et améliorer le partage d’informations, le temps que les mesures structurelles de la feuille de route produisent réellement leurs effets.
