Une cyberattaque inédite a visé le Ministère de l’Intérieur, avec une intrusion confirmée dans ses serveurs de messagerie. Si aucune compromission grave n’est établie, une enquête est en cours et des hackers revendiquent l’attaque.
Une attaque informatique d’un genre inédit a visé le Ministère de l’Intérieur, pourtant considéré comme l’un des bastions les mieux protégés de l’administration française. L’incident s’est produit dans la nuit du Jeudi 11 au Vendredi 12 Décembre 2025, provoquant l’activation immédiate des protocoles de sécurité internes.
Le Ministre de l’Intérieur Laurent Nuñez a tenu à rassurer : selon les premières analyses, ses services n’ont détecté « aucune trace de compromission grave ». « Des consignes de vigilance ont néanmoins été transmises » aux quelque 280 000 agents du Ministère. Seuls quelques fonctionnaires ont été contraints de redémarrer leur poste de travail.
Une intrusion confirmée dans les serveurs de messagerie
Si le gouvernement se veut rassurant, une intrusion dans les serveurs de messagerie du Ministère a bel et bien été confirmée. Un fait inédit à ce niveau de responsabilité. À ce stade, les autorités sont toutefois incapables de déterminer quelles données auraient pu être consultées ou exfiltrées.
L’attaque aurait initialement ciblé un service local en Charente-Maritime, relevant soit de la police nationale, soit de la gendarmerie. L’enquête a été confiée à l’agence nationale de la sécurité des systèmes d’information ainsi qu’à l’office de police judiciaire spécialisé dans la lutte contre la cybercriminalité.
Aucune piste n’est écartée. Ingérence étrangère, cybercriminalité organisée ou simple défi lancé à l’État par des hackers en quête de notoriété : toutes les hypothèses restent sur la table. « Ça peut être des ingérences étrangères, ça peut être des gens qui veulent défier les pouvoirs publics et montrer qu’ils sont capables d’accéder à des systèmes, et puis ça peut être aussi de la cybercriminalité », a résumé Laurent Nuñez.
BreachForums revendique une attaque d’ampleur
Dans ce contexte tendu, le forum controversé BreachForums – fréquenté aussi bien par des cybercriminels que par des chercheurs en cybersécurité et des forces de l’ordre – a refait surface, non sans provocation. Ce Samedi 13 Décembre 2025, l’un de ses administrateurs a publié un message visant directement les autorités françaises, en référence aux arrestations menées dans l’Hexagone durant l’été.
Le forum revendique une revanche contre l’État français et affirme avoir compromis pleinement le Ministère de l’Intérieur. Selon ces allégations, les pirates auraient eu accès à des données sensibles concernant plus de 16,4 millions de personnes, notamment issues du fichier de traitement des antécédents judiciaires et du fichier des personnes recherchées. BreachForums prétend également s’être introduit dans les systèmes de la direction générale des finances publiques et de la Caisse nationale d’assurance vieillesse. « Pourquoi ne dites-vous pas au peuple français et au monde ce qui s’est réellement passé au cours de ces deux semaines ? », interpelle l’administrateur du forum.
Une communication trompeuse par usurpation d’identité
La semaine précédente, le Ministère de l’Intérieur avait reconnu une intrusion limitée, évoquant de simples « activités suspectes visant ses serveurs de messagerie », sans confirmer de fuite de données. Les opérateurs de BreachForums semblent avoir exploité cette communication officielle pour crédibiliser leurs nouvelles affirmations.
Ils ont notamment annoncé la réouverture du forum par courrier électronique… en utilisant une adresse non nominative du Ministère de l’Intérieur comme expéditeur. Une manœuvre spectaculaire, mais trompeuse. Ce courriel n’a en réalité jamais transité par les serveurs du Ministère. Il s’agit d’un cas classique de spoofing, une usurpation de l’identité de l’expéditeur. L’analyse des en-têtes du message indique que l’e-mail a été envoyé via « Amazon Simple Email Service ».
Le domaine du Ministère de l’Intérieur dispose bien d’une configuration DMARC, un protocole destiné à lutter contre l’usurpation d’identité. Toutefois, le paramètre clé – la politique de traitement des messages frauduleux – était réglé sur « none ». Contrairement aux options plus strictes « quarantine » ou « reject », ce choix laisse aux serveurs destinataires la responsabilité de traiter manuellement les messages suspects, facilitant ainsi leur diffusion. L’enquête se poursuit.
