Le 10 septembre 2026, lors des Universités d'été d'Hexatrust, Vincent Strubel, directeur général de l'ANSSI, a qualifié l'été de « horrible » pour la cybersécurité française. Il a nommé un vecteur que la plupart des programmes NIS2 n'ont pas modélisé : une criminalité non organisée et endogène, composée de jeunes francophones qui exploitent des bases de comptes compromis par infostealers. Ce profil ne figure dans aucun flux CTI classique. Il ne passe pas par une CVE connue. Il passe par un identifiant valide.
Un été que l'ANSSI qualifie d'horrible
L'été 2026 a mis l'administration française sous pression. Deux incidents ont retenu l'attention. L'Agence nationale des titres sécurisés (ANTS) a subi une brèche de données : un adolescent de 15 ans a été arrêté en lien avec la compromission. La Direction générale des finances publiques (DGFiP) a fait l'objet d'une exfiltration massive qualifiée de « particulièrement grave » en raison de l'impact sur la crédibilité de l'État.
Ces deux affaires ne sont pas des cas isolés. Elles reflètent une tendance que l'ANSSI documente depuis fin 2025 et qu'elle nomme désormais publiquement. L'agence emploie 850 agents en 2026, pour un budget de 320 millions d'euros, soit une hausse de 22 % par rapport à 2024 (source : ANSSI, UECC 2026, septembre 2026). Cette croissance traduit l'élargissement du périmètre de menace, pas uniquement son intensification.
Le profil inédit de l'attaquant endogène
Vincent Strubel a utilisé une formule précise lors d'Hexatrust : « criminalité non organisée endogène ». Le profil décrit est celui de jeunes Français ou francophones qui communiquent entre eux, partagent des méthodes d'attaque et des « secrets » via des canaux informels, principalement Telegram et Discord. Ils n'appartiennent à aucune organisation et n'obéissent à aucun chef.
Ce qui les distingue des groupes APT ou des opérateurs de ransomware professionnels, c'est leur technique. Ils n'exploitent pas de vulnérabilités zero-day. Ils n'ont pas besoin d'un accès initial sophistiqué. Ils utilisent des bases de comptes compromis par infostealers : des identifiants valides, récoltés par des logiciels malveillants diffusés à grande échelle depuis fin 2024, qui circulent ensuite sur des forums ou dans des groupes de messagerie.
La conséquence opérationnelle est directe. L'attaquant se connecte avec un identifiant légitime. Il ne déclenche pas d'alerte sur une signature de malware. Il ne correspond à aucun indicateur de compromission (IoC) publié par les éditeurs de threat intelligence.
Strubel a ajouté une remarque structurante pour les équipes de sécurité : il n'existe pas de sources habituelles, pas de CTI classique, pas d'éditeur majeur fournissant une veille régulière sur ce profil (source : AEFinfo, 10 septembre 2026). Vos abonnements aux flux STIX/TAXII, vos bulletins CERT-FR et vos outils de détection calibrés sur des TTPs MITRE ATT&CK documentés sont insuffisants face à ce vecteur.
Ce que vos hypothèses NIS2 n'ont pas modélisé
La plupart des programmes NIS2 ont construit leur modèle de menace autour de trois profils d'acteurs : les groupes étatiques (APT), les opérateurs de ransomware, et les hacktivistes. L'Article 21 de la directive NIS2 exige une gestion des risques fondée sur une analyse des menaces propre à l'organisation. Si votre analyse ne modélise pas la criminalité non organisée endogène, votre programme a une lacune.
Cette lacune n'est pas théorique. Elle concerne directement vos obligations de détection et de notification. Un compte légitime compromis, utilisé depuis une adresse IP non référencée sur une liste noire, par un acteur sans signature connue, peut rester actif dans votre système plusieurs jours sans déclencher d'alerte. Le délai de notification NIS2 de 24 heures pour l'alerte préliminaire suppose que vous détectiez l'incident. Si la détection intervient après plusieurs jours d'activité non tracée, votre organisation est en défaut de notification même si elle agit rapidement une fois l'incident identifié.
Le ReCyF v2.5 a renforcé, le 7 septembre 2026, les contrôles relatifs à l'authentification forte et à la gestion des identifiants compromis. Ce n'est pas une coïncidence : l'ANSSI documente ce vecteur depuis plusieurs mois et a traduit cette priorité dans ses exigences opérationnelles.
Trois mesures à prendre dès maintenant
La réponse à ce vecteur ne requiert pas de refonte de votre programme. Elle nécessite d'adapter des contrôles qui existent déjà.
Première mesure : exposez vos identifiants avant l'attaquant. Des services de surveillance des dumps de credentials permettent de détecter si des comptes de votre domaine apparaissent dans des bases de données compromises avant qu'un attaquant les utilise. Cette surveillance coûte moins cher que la gestion d'un incident avéré. Elle transforme un risque passif en signal proactif.
Deuxième mesure : mesurez votre couverture MFA. L'Article 21 de la directive NIS2 et le ReCyF exigent l'authentification forte sur les systèmes essentiels. Combien de vos comptes de service, comptes applicatifs et accès VPN en sont effectivement couverts ? L'écart entre la politique déclarée et la couverture réelle est généralement plus large qu'anticipé. L'analyse des contrôles d'accès prioritaires dans un programme NIS2 est développée dans l'article consacré au contrôle d'accès comme premier signalé lors des audits NIS2 et DORA.
Troisième mesure : simulez l'hypothèse de l'attaquant endogène. Testez si un identifiant valide sans MFA, issu d'un dump public, permet d'accéder à l'un de vos systèmes essentiels. Ce test ne nécessite pas un pentest complet. Il suffit de prendre un compte réel désactivé, de tenter une connexion depuis une adresse IP externe non connue, et d'observer si une alerte est générée dans les 15 minutes. Si ce n'est pas le cas, votre détection est aveugle à ce vecteur.
Pourquoi ce vecteur ne va pas disparaître
La criminalité non organisée endogène ne nécessite pas de ressources importantes. Elle ne requiert pas de compétences avancées. Elle repose sur un marché florissant de credentials compromis, disponibles pour quelques euros sur des forums ou directement dans des groupes Telegram. Tant que les infostealers continuent de collecter des identifiants à grande échelle, ce marché restera approvisionné.
Le budget de l'ANSSI augmente. Le dispositif REACTIV est opérationnel depuis le 1er septembre 2026. Ces réponses institutionnelles sont nécessaires, mais elles ne modifient pas votre surface d'exposition directe. Ce qui la modifie, c'est la couverture MFA de vos comptes, la surveillance des credentials compromis, et la capacité de votre système de détection à lever une alerte sur un comportement anormal, même en l'absence de signature connue.
L'été 2026 a fourni un signal public et nommé. Le travail consiste à le traduire en action dans votre programme avant le prochain contrôle.