Le ministère de l’Europe et des Affaires étrangères a été victime d’une intrusion informatique sur l’un de ses portails numériques. Dans son dernier rapport, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) confirme la découverte d’un accès frauduleux aux environnements de production du portail des bibliothèques du ministère. Des comptes techniques préalablement dérobés ont été utilisés et les données personnelles d’une centaine d’utilisateurs pourraient avoir été consultées.
L’affaire, révélée dans le cadre de l’opération gouvernementale REACTIV, présente une particularité : le portail concerné avait été mis en ligne seulement quelques mois auparavant, après avoir fait l’objet d’un audit de sécurité et d’un processus d’homologation.
Une intrusion détectée le 20 octobre au ministère des Affaires étrangères
Selon les informations communiquées par l’ANSSI, l’intrusion a été détectée le 20 octobre 2026 dans les environnements de production du portail des bibliothèques du ministère de l’Europe et des Affaires étrangères.
Le mode opératoire décrit par l’agence repose sur l’utilisation de comptes techniques volés en amont sur un serveur compromis. Ces identifiants ont permis à un tiers de pénétrer dans un environnement informatique du ministère.
Contrairement à une attaque exploitant directement une faille logicielle, les premiers éléments rendus publics mettent donc en évidence l’utilisation frauduleuse d’accès techniques existants.
L’ANSSI précise que l’intrus aurait accédé aux données personnelles d’environ une centaine d’utilisateurs, parmi lesquels figurent des agents du ministère, des bibliothécaires et des usagers externes.
Les investigations ont également révélé des tentatives d’élévation de privilèges. Autrement dit, l’attaquant a cherché à obtenir des droits d’accès supplémentaires sur le système informatique. Ces tentatives ont été bloquées, selon l’agence.
Un portail pourtant audité avant sa mise en ligne
Les recherches de Cyberattaque.org permettent de replacer cette intrusion dans un contexte particulier. Le portail documentaire concerné avait été mis en production à la fin du mois de mars 2026, soit moins de sept mois avant la découverte de l’incident.
Dans une communication publiée le 4 mai 2026, l’entreprise présentant le déploiement de la solution documentaire Bokeh pour le ministère mettait notamment en avant les exigences de sécurité auxquelles le projet avait été soumis.
Elle expliquait que plusieurs validations externes avaient précédé la mise en production, notamment un audit de sécurité et un processus d’homologation. Le projet devait également répondre aux exigences d’accessibilité et respecter la charte graphique de l’État.
Quelques mois plus tard, ce même portail fait donc l’objet d’une investigation après une intrusion informatique. Cette chronologie interroge sur la protection des comptes techniques et des infrastructures associées au service.
Il convient toutefois de distinguer les deux événements. Rien dans le rapport de l’ANSSI ne permet d’affirmer que l’audit aurait été défaillant ou que la solution Bokeh présenterait une vulnérabilité. La compromission initiale concerne des comptes techniques récupérés sur un serveur compromis, dont les responsabilités et les conditions de compromission ne sont pas détaillées publiquement.
Quelles données personnelles ont pu être consultées ?
À ce stade, l’ANSSI évoque une centaine d’utilisateurs potentiellement concernés par un accès illégitime à leurs données personnelles.
Le rapport ne précise cependant pas la nature exacte des informations susceptibles d’avoir été consultées. Il ne permet pas non plus d’établir si les données ont été copiées ou exfiltrées en dehors de l’infrastructure du ministère.
La distinction est importante : l’accès frauduleux à des informations personnelles ne signifie pas nécessairement qu’une base de données complète a été dérobée.
Le périmètre connu de l’incident reste également limité au portail des bibliothèques. Aucun élément publié par l’ANSSI ne permet d’affirmer que les messageries diplomatiques, les documents confidentiels de la diplomatie française ou d’autres systèmes sensibles du ministère auraient été compromis dans cette affaire.
Des comptes techniques volés : une méthode qui inquiète l’ANSSI
L’incident s’inscrit dans une série de compromissions qui mobilisent les services de l’État depuis plusieurs mois.
Dans son rapport REACTIV d’octobre 2026, l’ANSSI souligne que de nombreuses violations de données reposent sur des mécanismes déjà connus : comptes compromis, identifiants récupérés par des logiciels malveillants, authentification insuffisante et défauts de configuration.
L’agence insiste particulièrement sur la réutilisation de secrets d’authentification dérobés. Une fois ces identifiants récupérés, un attaquant peut parfois accéder à des applications professionnelles en se faisant passer pour un utilisateur ou un compte technique légitime.
Dans le cas du ministère des Affaires étrangères, la question centrale concerne donc l’origine de la compromission des comptes techniques, mais également les mécanismes qui ont permis leur utilisation sur le portail.
Le rapport ne précise pas si une authentification multifacteur était en place sur les accès concernés ni comment les identifiants avaient été initialement dérobés.
Une enquête toujours en cours, plusieurs questions sans réponse
Les investigations se poursuivent avec le prestataire concerné et le soutien de l’ANSSI.
Plusieurs éléments restent à éclaircir : l’identité du serveur initialement compromis, la durée pendant laquelle les comptes techniques ont pu être utilisés frauduleusement, la nature des données consultées et l’existence éventuelle d’une exfiltration.
Autre interrogation : les utilisateurs potentiellement concernés ont-ils été individuellement informés de cet incident ? Le rapport ne donne pas de précision spécifique sur les notifications effectuées dans ce dossier.
Cette nouvelle intrusion intervient alors que l’État français fait face à une multiplication des violations de données. Dans son bilan d’octobre, l’ANSSI indique avoir été informée de 64 nouvelles violations de données depuis le 30 septembre, dont cinq concernent des ministères ou organismes sous tutelle accompagnés par l’agence.
L’affaire du ministère des Affaires étrangères illustre une nouvelle fois les risques liés à la compromission d’identifiants techniques, y compris sur des plateformes récemment déployées et soumises à des procédures de contrôle avant leur ouverture.
Pour Cyberattaque.org, une question demeure : comment des comptes techniques compromis ont-ils pu permettre l’accès à un portail ministériel qui avait pourtant été soumis, quelques mois auparavant, à un audit de sécurité ? Les conclusions des investigations devront permettre de mieux comprendre les circonstances exactes de cette intrusion.