11 décembre 2025
Ministère de l’Intérieur
Administration Forces de l’ordre
L’ampleur de cet incident est contestée. Les revendications des attaquants sont présentées comme telles et ne sont jamais comptées dans les graphiques ni les totaux de ce site.
Un acteur criminel a revendiqué l’accès aux données de plus de 16 millions de personnes. Le ministre de l’Intérieur a ensuite écarté l’idée que des millions de dossiers complets avaient été extraits. Une audition au Sénat le 13 janvier 2026 a reconstitué un périmètre plus étroit, toujours grave : 72 fiches TAJ complètes plus des dizaines de milliers de lignes d’index TAJ, 23 fiches FPR plus environ 3 000 éléments d’index FPR, et 1 fiche Interpol exfiltrée après consultation de 10. Ces quantités sont des comptes d’enregistrements opérationnels, pas un total de personnes distinctes.
Le chemin est allé de messageries professionnelles compromises, via des mots de passe d’applications que des agents avaient échangés par e-mail, jusqu’à un portail de la Police nationale. Les applications déjà protégées par la MFA ont été tentées mais pas pénétrées avec succès.
Faits datés dans le dossier public
La DGPN constate que les mots de passe de plusieurs messageries de police ont été changés.
Les services réinitialisent eux-mêmes les mots de passe des messageries.
Le ministère sait qu’une personne non autorisée a accédé à un portail de la Police nationale et à plusieurs applications. Une enquête pénale est ouverte.
Le ministre Laurent Nuñez confirme publiquement l’accès au TAJ et au FPR et l’extraction de dizaines de fiches confidentielles. Un suspect de 22 ans est interpellé.
Nuñez donne au Sénat les chiffres 72 TAJ, 23 FPR et Interpol, et décrit la généralisation de la MFA.
Comment cela s’est passé
Des messageries professionnelles compromises ont donné à l’attaquant accès à des messages dans lesquels certains agents avaient échangé des mots de passe d’applications internes. Ces identifiants ont ouvert un portail de police partagé entre services — exposant environ 150 applications, dont l’attaquant en a consulté sept — et permis d’accéder aux applications non protégées par un facteur plus fort. Nuñez a indiqué aux sénateurs que les applications déjà protégées par la MFA avaient été tentées mais pas pénétrées avec succès. La défaillance initiale est une chaîne : compromission de messagerie, mauvaise gestion des mots de passe d’applications dans les e-mails, réutilisation des identifiants vers des applications internes, puis interrogation et extraction sélectives de systèmes de police sensibles.
Ce qui a été exposé
Le TAJ contient environ 19 millions de fiches, mais l’attaquant ne les a pas toutes exportées. Le ministre a indiqué que 72 fiches TAJ complètes avaient été exfiltrées, ainsi que des dizaines de milliers de lignes de synthèse ou d’index contenant des informations d’identité mais pas le motif d’inscription au TAJ. Pour le FPR, 23 fiches complètes et environ 3 000 éléments de synthèse ont été extraits. Dix fiches Interpol ont été consultées et une a été exfiltrée. Ces quantités sont des comptes d’enregistrements opérationnels, pas un nombre net de personnes physiques distinctes.
Ce qui n’était pas dans le périmètre
Le ministre a indiqué qu’il n’y avait pas eu d’extraction de millions de dossiers de police complets ni de demande de rançon. Aucune destruction ni modification des fichiers de police n’a été signalée. Une application RH accessible via le portail n’a pas été visitée, selon l’audition ultérieure.
Ce que cela a changé concrètement
La sensibilité même d’un petit nombre de dossiers de police complets est extrême. Ils peuvent contenir des informations d’enquête, de police ou personnelles dont la divulgation peut toucher des témoins, des suspects, des agents ou des opérations en cours. Les lignes d’index peuvent aussi être dommageables, car des données d’identité dans un contexte policier peuvent permettre un ciblage ou une intimidation. L’incident a aussi montré qu’une base centrale durcie peut encore être exposée par des pratiques d’identité plus faibles sur les systèmes périphériques.
Revendication d’attaquant (pas un décompte confirmé)
Un groupe se présentant sous le nom d’Indra a revendiqué l’accès aux données de plus de 16 millions de personnes et a associé ce chiffre à des fichiers de police. Ce nombre ressemblait de près à la taille du TAJ, plutôt qu’au volume dont l’extraction a ensuite été établie. La revendication de 16,4 millions reste du marketing d’attaquant contesté, pas un décompte confirmé de personnes.
Ce qui a suivi
Le ministère a ouvert une enquête pénale, interpellé un suspect le 17 décembre, réinitialisé les mots de passe de la messagerie administrative, supprimé environ un millier de comptes d’agents partis, travaillé avec l’ANSSI sur une chasse rétrospective et une revue de journaux, et étendu la MFA. Nuñez a indiqué que la MFA serait généralisée sur les applications du ministère, et le ministère a revu les profils d’accès et les pratiques de messagerie.
Ce que les suites ont modifié
Le premier récit public parlant de « dizaines de fiches » était raisonnable juste après l’annonce de décembre. L’audition de janvier au Sénat fournit les catégories et les comptes précis indiqués par le ministre, tandis qu’un total de personnes distinctes reste inconnu et que la revendication de 16,4 millions reste hors du champ numérique affected.
Dans leurs mots
Ce qui s’est passé est très grave
Laurent Nuñez
hygiène numérique
Laurent Nuñez, audition au Sénat
Qu’est-ce que cela veut dire ?
- MFA (authentification multifacteur)
- Une seconde preuve d’identité en plus du mot de passe — un code, une application ou une clé de sécurité. Les méthodes résistantes au hameçonnage sont les clés et les passkeys.
- Identifiants
- Un couple identifiant / mot de passe, ou la clé équivalente utilisée par une application pour se connecter.
- TAJ
- Le fichier de police des traitements d’antécédents judiciaires — les personnes liées à des enquêtes pénales.
- FPR
- Le fichier des personnes recherchées, utilisé par la police et la gendarmerie.