Le cybercriminel 0xSec affirme avoir récupéré et publié un ensemble de données provenant de cloud.numerique.gouv.fr, une plateforme rattachée à la Direction interministérielle du numérique (DINUM). La publication, repérée ce 22 août 2026, contient plusieurs fichiers CSV représentant au total 31 544 lignes.
Si une partie des informations correspond à des données déjà rendues publiques dans le cadre de la stratégie cloud de l’État, la structure et le niveau de détail de certains fichiers interrogent davantage. Plusieurs jeux de données contiennent notamment des métadonnées techniques, des commentaires, des informations liées aux commandes ou encore des adresses e-mail.
La DINUM pilote la stratégie cloud de l’État
La Direction interministérielle du numérique (DINUM) coordonne la transformation numérique de l’État et pilote notamment la doctrine « Cloud au centre ». Mise en place en 2021, celle-ci fait du cloud le mode d’hébergement par défaut des nouveaux projets numériques de l’État.
La DINUM publie également plusieurs indicateurs permettant de suivre l’adoption du cloud dans les administrations, notamment les projets concernés, les fournisseurs utilisés et les montants des commandes réalisées sur le marché interministériel du Nuage public de l’UGAP.
En 2025, la DINUM faisait état de 84 millions d’euros de commandes réalisées sur ce marché. Une partie des informations retrouvées dans les fichiers publiés par 0xSec correspond donc effectivement à des données destinées à alimenter ce suivi public.
31 544 lignes réparties dans plusieurs fichiers
La publication de 0xSec comprend une dizaine de fichiers CSV couvrant différents aspects de la politique cloud et numérique de l’État.
- dinum_administration.csv : administrations, SIREN et SIRET, type d’organisme, localisation, budget et effectifs ;
- dinum-commit.csv : identifiants d’auteurs, noms, entreprises, localisation et adresses e-mail associées à des contributions techniques ;
- dinum-event.csv : projets, technologies, montants, conformité à la doctrine cloud, commentaires et différentes métadonnées ;
- dinum-formation.csv : établissements, formations, disciplines, localisation et nombre d’étudiants ;
- dinum-fournisseur.csv : fournisseurs, pays et catégories associées ;
- dinum-geo.csv : régions, codes postaux et informations géographiques ;
- dinum-produit.csv : produits cloud, fournisseurs, licences, pays, dépôts GitHub et qualification éventuelle « cloud de confiance » ;
- dinum-questionnaire.csv : réponses, scores, dates et références associées à différents questionnaires ;
- dinum-transaction.csv : commandes, bénéficiaires, fournisseurs, projets, montants HT et TTC, dates, marchés et différentes informations de suivi ;
- ia-data-event.csv et ia-data-projet.csv : projets, financements, montants, programmes, statuts et commentaires liés notamment à l’intelligence artificielle ;
- ia-data-siren.csv : informations administratives associées à différents organismes, dont les identifiants SIREN et SIRET.
Des données plus détaillées que les indicateurs publics
Une grande partie de ces informations prises individuellement peut être obtenue depuis des sources ouvertes : identité des administrations, SIREN, fournisseurs cloud, projets, montants agrégés ou encore informations provenant de dépôts GitHub.
Mais la publication ne se limite pas à ces quelques indicateurs visibles publiquement. Les fichiers décrits par 0xSec comportent des champs qui ressemblent davantage aux données sous-jacentes utilisées pour construire et administrer les tableaux de bord.
C’est notamment le cas de champs comme « commande_commentaire », « compte », « row_created », « row_modified », des réponses détaillées à des questionnaires, de différents commentaires associés aux projets ou encore de métadonnées relatives au traitement des commandes.
La présence de ces colonnes ne démontre pas à elle seule qu’elles contiennent des informations confidentielles. Elle montre en revanche que les fichiers publiés semblent aller plus loin que les seuls chiffres synthétiques présentés au grand public.
Des adresses e-mail et métadonnées de contributeurs
Le fichier dinum-commit.csv contient également de nombreuses colonnes relatives aux auteurs de contributions techniques : identifiant, nom, entreprise, domaine, localisation, pays ou encore adresse e-mail.
Une partie de ces informations peut naturellement provenir de dépôts Git publics, puisque Git associe aux commits différentes métadonnées renseignées par leurs auteurs. Leur présence doit néanmoins être prise en compte dans l’évaluation globale du jeu de données publié.
L’instance repose sur Metabase
La plateforme cloud.numerique.gouv.fr s’appuie sur Metabase, un outil permettant de connecter des bases de données à des tableaux de bord et de construire des requêtes à partir des informations qu’elles contiennent.
Metabase permet également de partager publiquement certaines questions ou visualisations et d’en rendre les résultats téléchargeables au format CSV, XLSX ou JSON. Il est donc techniquement possible qu’une partie des fichiers ait été obtenue depuis des ressources rendues accessibles par la plateforme elle-même, sans nécessiter d’accès à l’infrastructure interne.
Ce scénario ne signifie toutefois pas nécessairement qu’il n’y aurait pas de fuite. Si des requêtes ou des exports contenant des informations qui n’étaient pas destinées à être diffusées ont été rendus accessibles publiquement, il s’agirait alors d’une exposition de données, même en l’absence d’intrusion informatique.
Une fuite reste donc un scénario crédible
La granularité des fichiers revendiqués et la présence de champs qui ne correspondent pas simplement aux indicateurs présentés publiquement empêchent de considérer automatiquement les 31 544 lignes comme une simple compilation de données ouvertes.
Une exposition de données depuis la plateforme ou depuis certaines requêtes Metabase constitue donc à ce stade un scénario crédible. Reste à déterminer si l’ensemble des colonnes et des lignes publiées était effectivement accessible volontairement au public ou si 0xSec a pu récupérer des informations qui n’étaient normalement pas destinées à être exposées.
Cette publication intervient par ailleurs dans un contexte particulièrement sensible pour Metabase. Début août 2026, l’éditeur a révélé qu’une faille zero-day critique de type injection SQL avait été activement exploitée pour compromettre des instances et accéder aux données auxquelles elles étaient connectées. Plusieurs entreprises, dont Framework, Tally, n8n et Kilo Code, ont depuis fait état d’incidents liés à cette vulnérabilité. À ce stade, rien ne permet toutefois d’établir que la publication concernant la DINUM est liée à cette faille, mais ce précédent récent renforce nécessairement les interrogations sur l’origine des 31 544 lignes publiées.