Après les cyberattaques de l'été, la rentrée des RSSI se joue dans les événements cyber
La rentrée 2026 ne commence pas seulement avec une nouvelle feuille de route informatique. Elle intervient après plusieurs incidents ayant touché des services publics particulièrement sensibles : France Titres au printemps, le ministère de l'Éducation nationale pendant l'été, puis le système d'information de la Direction générale des Finances publiques.
Ces affaires sont différentes par leur origine, leur ampleur et la nature des informations concernées. Elles dessinent néanmoins un même paysage : des identités professionnelles compromises, des données personnelles concentrées dans des systèmes critiques, des attaques parfois détectées tardivement et des conséquences qui dépassent largement le périmètre technique. Et la rentrée elle-même s'ouvre sur de nouvelles alertes, entre une revendication massive visant la plateforme Zéro Logement Vacant et une attaque contre le ministère de la Transition écologique.
Dans le même temps, la réforme de la facturation électronique est entrée dans sa phase opérationnelle le 1er septembre 2026. La circulation de données économiques à travers des plateformes agréées ouvre une nouvelle discussion sur leur sécurité, leur souveraineté et la continuité de service.
Pour les RSSI, DSI et responsables du risque, les événements cybersécurité référencés sur Agenda Tech ne seront donc pas de simples rendez-vous de veille cette année. Ils doivent permettre de confronter les dispositifs internes à des incidents désormais très concrets.
France Titres : le signal d'alerte du printemps
L'incident subi par France Titres constitue l'un des premiers avertissements importants de 2026.
Détecté le mercredi 15 avril et confirmé publiquement les jours suivants, selon les communiqués du ministère de l'Intérieur, il concernait la base des comptes permettant d'accéder au portail de l'agence, utilisé notamment pour les démarches relatives aux cartes grises, aux permis de conduire, aux cartes nationales d'identité et aux passeports.
Selon le point d'étape du 21 avril, jusqu'à 11,7 millions de comptes pouvaient être concernés. Les informations potentiellement exposées comprenaient notamment l'identifiant de connexion, le nom, le prénom, l'adresse électronique et la date de naissance. Pour certains comptes, une adresse postale, un numéro de téléphone ou un lieu de naissance pouvaient également être présents.
Une distinction est essentielle : les pièces justificatives transmises lors des demandes de titres et les données biométriques des passeports ou cartes d'identité n'étaient pas concernées d'après les informations officielles. L'incident n'aurait pas non plus permis à l'attaquant d'entrer dans les comptes des usagers.
L'exposition d'informations d'identité reste toutefois sérieuse. Une fois recoupées, ces données peuvent alimenter des tentatives d'hameçonnage ciblé, d'usurpation d'identité ou d'ingénierie sociale.
L'enquête a conduit à l'interpellation d'un suspect à la fin du mois d'avril, suivie d'une mise en examen. L'État a également engagé un renforcement accéléré de la sécurisation des systèmes publics, dans le cadre de la feuille de route des efforts prioritaires de sécurité numérique de l'État pour 2026-2027, comprenant notamment des exercices destinés à éprouver les dispositifs existants.
DGFiP : 678 000 personnes et professionnels concernés
La Direction générale des Finances publiques a annoncé le 14 août 2026 un vol de données consécutif à des accès illégitimes à son système d'information, intervenus en juin et juillet. Une actualisation publiée à la fin du mois d'août indique que des incidents se sont également poursuivis en août.
D'après le communiqué initial de la DGFiP, les attaquants ont utilisé les identifiants usurpés d'un agent de l'administration et d'un tiers autorisé à accéder à certains services. Environ 678 000 particuliers et professionnels sont concernés.
Parmi les données consultées ou extraites figuraient :
le revenu fiscal de référence ;
le nombre de parts fiscales ;
le taux de prélèvement à la source ;
la raison sociale et le numéro SIREN de certaines entreprises ;
des informations cadastrales, dont l'adresse et la superficie de biens immobiliers.
Il ne faut donc pas parler indistinctement d'un « piratage du site des impôts ». La DGFiP précise que les espaces personnels et professionnels d'impots.gouv.fr, ainsi que leurs mots de passe, n'ont pas été compromis.
Cette précision ne diminue pas la portée de l'incident. Elle en révèle plutôt l'un des enjeux majeurs : la protection des comptes professionnels et des accès accordés aux agents, prestataires ou partenaires d'une organisation.
Un autre incident a été identifié le 17 août sur le portail des successions vacantes. Selon la mise à jour publiée sur impots.gouv.fr, une vulnérabilité a permis un accès frauduleux et l'extraction de données. L'administration précise cependant que ce portail ne contenait que des informations publiques.
Éducation nationale : une cyberattaque encore visible le jour de la rentrée
Le ministère de l'Éducation nationale a rendu publique le 31 juillet une intrusion détectée le 25 juillet, liée à la compromission d'un compte professionnel. Une extraction de données détenues par le ministère était alors considérée comme possible. Une nouvelle attaque, le 19 août, a ensuite visé plus particulièrement l'académie de Toulouse, selon le rectorat.
À l'approche de la rentrée scolaire, les conséquences n'étaient pas totalement résorbées.
Dans son point de situation publié à l'approche de la rentrée, le ministère indiquait avoir procédé à une réinitialisation générale des accès et que 28 académies sur 30 fonctionnaient normalement.
Des restrictions persistaient néanmoins à Toulouse et à Nantes. Dans l'académie de Toulouse, la messagerie et plusieurs applications professionnelles demeuraient coupées, tandis que l'espace numérique de travail destiné aux familles restait indisponible. À Nantes, une partie de la messagerie avait été rétablie, mais l'accès des familles à l'ENT demeurait suspendu.
Le ministère assure que ni la rentrée des élèves ni le versement des rémunérations ne sont affectés. L'incident montre cependant qu'une attaque informatique peut modifier l'organisation d'un service public jusque dans ses opérations quotidiennes : communication dégradée, outils indisponibles, procédures de secours et, dans certains établissements, retour à la distribution d'emplois du temps sur papier.
La cybersécurité ne se mesure donc plus seulement au volume de données potentiellement volées. Elle se mesure aussi au temps nécessaire pour rétablir le service.
Et la rentrée s'ouvre déjà sur de nouvelles alertes
Le 31 août, la plateforme Zéro Logement Vacant — un service numérique permettant aux collectivités d'identifier les logements vides et leurs propriétaires — a été rendue inaccessible par précaution, après une revendication publiée par ZeroBytes, le même pseudonyme que celui de l'affaire DGFiP. Le groupe affirme avoir extrait près de 149 millions de lignes, dont environ 82 millions liées aux propriétaires et 67 millions issues d'un fichier national rattaché à la DGFiP et à DataFoncier. Les attaquants seraient passés par un outil interne d'analyse de données, avant d'y découvrir un mot de passe laissé visible donnant accès à la base.
Cette revendication n'a pas été confirmée par l'administration à ce stade, et les chiffres appellent la prudence : 149 millions de lignes ne signifient ni 149 millions de comptes compromis, ni 149 millions de personnes concernées. Si le mode opératoire décrit se vérifie, il illustrerait toutefois une nouvelle fois le sujet central de cette rentrée : la protection des accès et des secrets techniques au sein des systèmes publics.
Le 2 septembre, le ministère de la Transition écologique a par ailleurs confirmé avoir subi une « attaque informatique sophistiquée » ciblant des outils de messagerie, survenue la semaine précédente. Plusieurs sites du pôle ministériel ont été rendus inaccessibles le temps de renforcer la sécurité des systèmes, et un signalement au parquet a été effectué.
Trois incidents, quatre enseignements pour les RSSI
Les incidents de France Titres, de la DGFiP et de l'Éducation nationale ne doivent pas être artificiellement présentés comme une campagne unique. Les informations publiques disponibles ne permettent pas d'établir un tel lien.
Ils font néanmoins ressortir quatre priorités communes pour la cybersécurité en entreprise comme dans le secteur public.
1. Un compte professionnel peut devenir le point d'entrée principal
Les accès accordés aux collaborateurs, administrateurs, sous-traitants et partenaires représentent une surface d'attaque considérable. Leur protection ne peut plus se limiter à l'existence d'un mot de passe complexe.
Authentification multifacteur résistante à l'hameçonnage, gestion des comptes privilégiés, limitation des droits, revue régulière des habilitations et détection des comportements anormaux doivent fonctionner comme un ensemble cohérent.
2. La concentration des données augmente mécaniquement l'impact
Un service centralisé simplifie les démarches et les échanges. Mais il peut également réunir des données fiscales, administratives ou économiques suffisamment riches pour faciliter des fraudes ultérieures.
Le RSSI doit savoir quelles informations sont réellement conservées, pendant combien de temps, par qui elles sont accessibles et comment elles peuvent être isolées en cas d'intrusion.
3. Bloquer l'accès ne suffit pas
Dans l'affaire de la DGFiP, les accès suspects ont été bloqués, mais les contrôles en place n'ont pas immédiatement permis d'identifier le vol de données.
Cette situation pose la question de la qualité des journaux techniques, de leur centralisation, de leur durée de conservation et de la capacité des équipes à reconstruire précisément les actions effectuées par un compte compromis.
4. La continuité d'activité devient un indicateur cyber
L'exemple de l'Éducation nationale rappelle qu'une reprise partielle peut durer plusieurs semaines. Un plan de réponse à incident doit donc prévoir le fonctionnement de l'organisation sans messagerie, sans portail métier ou sans accès normal aux services numériques.
L'objectif n'est plus seulement de restaurer une sauvegarde, mais de maintenir une activité acceptable pendant l'investigation et la reconstruction.
Facturation électronique : la sécurité s'invite au cœur de la réforme
C'est dans ce contexte que la réforme de la facturation électronique a franchi une étape décisive le 1er septembre 2026.
Depuis cette date, toutes les entreprises assujetties à la TVA doivent être en mesure de recevoir des factures électroniques. Les grandes entreprises et les entreprises de taille intermédiaire doivent également commencer à les émettre. L'obligation d'émission sera étendue aux PME et microentreprises le 1er septembre 2027.
Plus de dix millions d'acteurs économiques sont concernés à terme, selon la présentation officielle de la réforme.
Les factures doivent transiter par des plateformes agréées. Celles-ci deviennent ainsi des intermédiaires critiques, susceptibles de traiter des données permettant de comprendre les fournisseurs, les clients, les montants facturés ou le rythme d'activité d'une entreprise.
La question n'est pas seulement celle d'un vol massif de factures. Les entreprises doivent également anticiper :
l'usurpation d'un fournisseur ;
la modification d'un relevé d'identité bancaire ;
la fraude au changement de coordonnées ;
l'indisponibilité temporaire d'une plateforme ;
le détournement d'un compte utilisateur ;
l'utilisation des données dérobées pour préparer une fraude ciblée ;
les modalités de récupération et de portabilité en cas d'incident.
La controverse politique après l'incident de la DGFiP
Le rapprochement entre le vol de données subi par la DGFiP et le démarrage de la facturation électronique a alimenté les critiques de plusieurs responsables politiques.
Sarah Knafo a notamment estimé, dans une prise de position publiée après l'incident, que cette affaire devait conduire à repenser la politique de sécurité et de souveraineté entourant la réforme. Sarah Knafo et David Lisnard ont demandé la suspension de la réforme, en invoquant les risques de cybersécurité et la concentration des données économiques, selon les informations rapportées par la presse.
Il convient toutefois de séparer trois sujets :
la réalité documentée des incidents subis par la DGFiP ;
les risques propres aux plateformes de facturation électronique ;
les conclusions politiques tirées de leur rapprochement.
À ce stade, aucun élément public ne démontre que les plateformes de facturation ont joué un rôle dans les accès illégitimes au système de la DGFiP. L'incident met néanmoins en évidence la nécessité de sécuriser les identités professionnelles et les échanges entre plusieurs systèmes autorisés.
Le gouvernement maintient le calendrier. Le communiqué publié le 1er septembre indique que plus de quatre millions d'entreprises ont déjà désigné une adresse de réception et qu'aucune sanction ne sera appliquée en 2026.
Bercy affirme également que les exigences imposées aux plateformes figurent parmi les plus élevées d'Europe. Celles-ci devront notamment communiquer leur situation en matière de cybersécurité avant la fin septembre, signaler immédiatement tout incident et généraliser les tests d'intrusion durant l'automne. Leur activité pourra être suspendue si elles ne démontrent pas un niveau de sécurité suffisant.
Pour les RSSI, le débat doit maintenant se traduire en questions opérationnelles : qui administre les comptes, quelles authentifications sont imposées, comment les incidents sont-ils signalés et comment l'entreprise continue-t-elle à facturer en cas d'indisponibilité ?
Quatre événements cyber à inscrire dans l'agenda de septembre
La rentrée offre plusieurs occasions de confronter ces questions aux retours d'expérience de responsables cyber, d'administrations, de fournisseurs et d'entreprises utilisatrices.
UECC 2026 : interroger la souveraineté et le cloud de confiance
Les Universités d'Été de la Cyber et du Cloud de confiance se tiendront le 10 septembre à Station F, à Paris.
Organisée par Hexatrust, cette douzième édition doit réunir environ 800 participants et 80 partenaires. Son positionnement la rend particulièrement pertinente pour les organisations qui s'interrogent sur la localisation des données, la dépendance aux fournisseurs, la qualification des solutions et les garanties contractuelles associées au cloud de confiance.
Après les incidents de l'été, le rendez-vous peut aider les DSI et RSSI à dépasser le débat théorique sur la souveraineté. La vraie question devient : quelles dépendances empêcheraient concrètement l'organisation de reprendre la maîtrise de ses données ou de son service après une attaque ?
FranSec : faire de la résilience un sujet de direction
FranSec aura lieu les 16 et 17 septembre au Pullman Paris Montparnasse.
Le format s'adresse à un cercle resserré d'une centaine de décideurs. Plus de 25 RSSI et vice-présidents doivent y intervenir, aux côtés de représentants d'organisations comme le commandement du ministère de l'Intérieur dans le cyberespace, France Médias Monde, Groupama ou Klépierre.
Les échanges annoncés portent notamment sur la résilience, la souveraineté, la réglementation et la gouvernance de l'intelligence artificielle.
Ce rendez-vous paraît adapté aux RSSI qui doivent obtenir des arbitrages de leur direction : financement de la continuité d'activité, responsabilité des métiers, gouvernance de crise ou choix d'indicateurs permettant de rendre le risque cyber compréhensible par le comité exécutif.
Lyon Cyber Expo : transformer les constats en dispositifs opérationnels
Le Lyon Cyber Expo se déroulera également les 16 et 17 septembre, à la Cité Internationale de Lyon.
Près de 4 000 professionnels, 160 exposants et 90 intervenants sont annoncés. Le programme aborde la gouvernance, la directive NIS2, la sécurité des systèmes industriels, les rançongiciels, les risques liés à l'IA et la réponse à incident.
Sa dimension opérationnelle en fait un rendez-vous pertinent pour examiner les moyens de détection et de réaction : protection des identités, gestion des accès privilégiés, surveillance des environnements IT et industriels, organisation d'une cellule de crise ou reconstruction après compromission.
Les équipes peuvent utilement y confronter leur plan actuel à un scénario simple : un compte autorisé est détourné, des données sont consultées pendant plusieurs semaines et un service critique doit être partiellement coupé. Que détecte réellement l'organisation, et dans quel délai ?
La Mêlée Numérique : replacer la cyber dans l'écosystème numérique
La Mêlée Numérique se tiendra du 28 septembre au 2 octobre à Toulouse.
Avec plus de 200 sessions réparties entre une vingtaine de thématiques, l'événement ne se limite pas à la cybersécurité. La journée du 29 septembre sera néanmoins consacrée à la sécurité numérique ainsi qu'aux liens entre défense et numérique. Le Forum des décideurs informatiques organisé avec le Cigref constitue l'autre temps fort de la semaine pour les DSI.
Cette approche transversale correspond à la réalité des incidents récents. La sécurité ne dépend pas seulement des outils du RSSI : elle implique les services publics, les directions financières, les responsables des données, les métiers, les prestataires et les territoires.
La Mêlée Numérique peut ainsi servir à replacer le risque cyber dans les projets de transformation numérique, plutôt que de le traiter séparément une fois les choix techniques effectués.
Deux rendez-vous spécialisés à surveiller
Les responsables confrontés à des problématiques plus ciblées peuvent également regarder :
Securit.i 2026, dont les conférences se dérouleront les 9 et 10 septembre chez IBM à Montpellier, après une soirée d'ouverture le 8, consacré à la protection des environnements IBM i ;
OWASP AppSec Days France, le 24 septembre à Paris, orienté vers la sécurité des applications et l'intégration de la cybersécurité dans les pratiques de développement.
Ces formats plus spécialisés peuvent être plus utiles qu'un grand salon lorsque l'organisation cherche à résoudre un problème technique précis ou à faire progresser une équipe déterminée.
Les questions que les RSSI devraient apporter aux événements
Pour transformer une participation en décisions concrètes, les équipes peuvent préparer une liste commune de questions :
Comment détecter l'utilisation légitime en apparence d'un compte réellement compromis ?
Quels accès de tiers ou de prestataires ne sont pas encore protégés par une authentification suffisamment robuste ?
Combien de temps faut-il pour établir quelles données ont été consultées ou exportées ?
Les journaux conservés permettent-ils réellement de reconstruire un incident ?
Comment maintenir l'activité si la messagerie, le portail métier ou la plateforme de facturation devient indisponible ?
Quels engagements contractuels imposer aux plateformes traitant les factures et les données économiques ?
Qui décide de couper un service, d'informer les personnes concernées ou de déclencher une communication de crise ?
Quels enseignements d'une conférence ou d'un retour d'expérience seront transformés en action, avec un responsable et une échéance ?
Chaque rendez-vous devrait produire au moins une évolution mesurable : une revue des habilitations, un exercice de crise, un contrôle des accès de tiers, une amélioration de la journalisation ou un scénario de continuité supplémentaire.
De la veille cyber à la préparation de crise
Les cyberattaques de 2026 ne racontent pas l'effondrement généralisé des services numériques français. Elles montrent quelque chose de plus utile pour les décideurs : des dispositifs importants peuvent être fragilisés par un accès professionnel détourné, une vulnérabilité périphérique ou une détection insuffisante.
Elles rappellent également que le retour à la normale n'est pas instantané. Plusieurs semaines après l'incident, certaines académies devaient encore maintenir des restrictions pour sécuriser leur rentrée.
La séquence de septembre doit donc servir de point de départ à un travail concret. Les UECC permettront d'interroger la souveraineté et les dépendances. FranSec placera la résilience au niveau de la direction. Lyon Cyber Expo apportera une lecture opérationnelle de la défense et de la réponse à incident. La Mêlée Numérique replacera enfin ces enjeux dans l'ensemble de la transformation numérique.
Consultez l'agenda des événements cybersécurité pour identifier le rendez-vous correspondant à vos priorités — et pour une vue d'ensemble du mois au-delà de la cyber, retrouvez notre sélection des événements tech de septembre 2026. Puis préparez les questions auxquelles votre organisation doit obtenir une réponse avant la prochaine crise.
