Fuite De Données En France : Anssi Et Tracfin Visés

Qui surveille les surveillants quand le laboratoire d’innovation de l’agence chargée de protéger les systèmes français apparaît lui-même dans le registre des victimes ? Le 30 septembre, le point de situation de l’opération REACTIV a posé une question que personne, dans les couloirs de Bercy comme dans ceux des prestataires crypto, n’avait vraiment envie d’entendre. Cent dix-huit comptes compromis à l’ANSSI, deux instances touchées à la DINUM, un sous-traitant de Tracfin ouvert pendant des semaines : le bilan n’est plus celui d’une série d’incidents isolés. Il dessine une routine. Et cette routine concerne aussi ceux qui, depuis la loi Pacte, doivent déclarer des soupçons à l’État.

Quand Le Gardien Figure Sur Sa Propre Liste

Trois semaines après l’activation de REACTIV, le constat a de quoi faire grincer des dents. L’ANSSI n’est plus seulement l’autorité qui recense les atteintes. Elle figure dans le tableau. Le laboratoire d’innovation de l’agence a livré 118 comptes utilisateurs, dont une trentaine d’externes. Identifiants, adresses mail, mots de passe hachés et statistiques d’usage sont sortis. L’agence a mis à jour ses instances, renouvelé les mots de passe et désactivé les comptes dormants depuis plus de trois mois. Le geste est classique. Il arrive trop tard pour effacer le symbole.

Le logiciel en cause s’appelle Metabase. C’est un outil de tableaux de bord statistiques, banal dans les administrations comme dans les entreprises. Une faille référencée CVE-2026-72898 est exploitée en masse depuis le début du mois d’août. Le mécanisme est d’une simplicité désarmante : une requête piégée, glissée là où le logiciel attend une saisie ordinaire, ouvre la base et offre des droits d’administrateur. Les spécialistes parlent d’injection SQL. Le correctif existe depuis le 6 août. Neuf instances ministérielles sont pourtant tombées.

Le correctif existait depuis le 6 août. Neuf instances ministérielles sont pourtant tombées, d’après le point de situation de l’ANSSI.

Point de situation REACTIV, 30 septembre

La DINUM a subi le même sort sur deux instances, ProConnect et Nuage-Public. Les données parties — SIREN, budgets et effectifs d’organismes publics, historiques de connexion anonymisés — étaient déjà publiques, selon le rapport. L’argument rassure à moitié. Une information « déjà publique » n’est pas forcément anodine lorsqu’elle est extraite, recoupée et servie à quelqu’un qui prépare une campagne d’hameçonnage ciblé.

Tracfin, La Brèche Par Le Sous-Traitant

Chez Tracfin, la porte d’entrée n’était pas Metabase. Un sous-traitant de l’opérateur qui gère le support du portail de télédéclaration a été compromis entre fin juin et mi-juillet. Ce portail sert aux assujettis, ces professionnels que la loi oblige à signaler les opérations suspectes : banques, notaires, agents immobiliers et, depuis 2019, prestataires crypto.

Le bilan porte sur 136 assujettis dont le nom, la fonction, le mail et le téléphone ont fuité, avec le contenu de 213 demandes envoyées au support technique. Aucune déclaration de soupçon n’a été exposée, précise l’administration. Elle a coupé les ponts avec le prestataire. Les enquêteurs cherchent encore de potentielles autres victimes indirectes de ce sous-traitant. Le compteur reste ouvert.

Les plateformes crypto ont toutes les raisons de tendre l’oreille. Elles ont adressé 4 850 déclarations de soupçon à Tracfin en 2025, en hausse de 58 % sur un an. Un responsable conformité dont le nom, le poste et la ligne directe circulent devient une cible rêvée pour une arnaque au faux support, surtout si l’escroc peut citer un vrai numéro de ticket.

Pourquoi Les Acteurs Crypto Sont Directement Concernés

Depuis la loi Pacte, les prestataires de services sur actifs numériques ne sont plus des observateurs lointains du dispositif antiblanchiment. Ils sont des assujettis. Ils déclarent. Ils appellent le support. Ils laissent des traces administratives que l’État est censé protéger avec le même soin qu’il exige d’eux pour les fonds de leurs clients.

La fuite de Tracfin ne révèle pas le contenu des soupçons. Elle révèle autre chose, presque plus utile pour un attaquant : qui parle à qui, à quel poste, avec quel numéro, sur quel incident technique. Dans le métier de la conformité, ces métadonnées suffisent à construire un scénario crédible. Un appel qui reprend le libellé d’un ticket réel. Un mail qui cite la fonction exacte. Une relance qui arrive au bon moment, après une panne de portail dont tout le monde se souvient.

Les équipes LCB-FT des plateformes savent déjà que le social engineering progresse plus vite que les pare-feu. Ce rapport leur donne une preuve institutionnelle. L’État, qui leur demande de verrouiller l’onboarding, de tracer les flux et de former les collaborateurs, n’a pas empêché qu’un prestataire de support devienne une rampe d’accès. L’asymétrie est politique autant que technique.

Un responsable conformité dont le nom, le poste et la ligne directe circulent devient une cible rêvée pour une arnaque au faux support.

Lecture du rapport REACTIV côté prestataires crypto

Quatre-Vingt-Dix-Neuf Violations En Deux Mois

Depuis le 1er août, 99 violations de données ont été signalées à l’ANSSI. L’agence en a confirmé 67, dont 32 sont encore traitées par ses propres équipes. Les volumes donnent le vertige dès que l’on sort du seul périmètre ministériel étroit.

La plateforme Zéro Logement Vacant, dont le point d’entrée serait aussi une instance Metabase, concernerait 48 millions de propriétaires. Le fichier GAIA de l’Éducation nationale expose potentiellement 4,35 millions d’enseignants. Bloctel a été fermé le 11 août après une fuite qui a permis d’identifier environ 600 000 numéros inscrits. Le piratage de la DGFiP reste le dossier fiscal le plus lourd du rapport, avec environ 353 000 particuliers et 252 000 professionnels exposés, plus 434 000 propriétaires via le serveur cadastral.

Ces chiffres ne disent pas tous la même chose. Certains fichiers étaient déjà partiellement publics. D’autres touchent des identités professionnelles. D’autres encore croisent logement, impôts et téléphonie. Pour un citoyen qui détient aussi des cryptos, le risque n’est pas seulement que « l’État se fasse pirater ». C’est que plusieurs bases, imparfaitement protégées, puissent être recoupées pour fabriquer un profil suffisamment riche pour une extorsion, une usurpation ou une arnaque fiscale.

Les Causes Qui Se Répètent D’Un Ministère À L’Autre

L’ANSSI pointe d’abord les infostealers, ces logiciels espions qui aspirent les mots de passe enregistrés sur un ordinateur, souvent logés sur des postes personnels utilisés pour le travail. Elle cite aussi l’absence de double authentification sur des services exposés à Internet. Un mot de passe volé suffisait.

Le diagnostic n’a rien d’inédit. Il est même lassant. Depuis des années, les mêmes recommandations circulent : séparer les usages professionnels et personnels, imposer un second facteur, patcher vite, limiter les comptes dormants, contrôler les sous-traitants. Le rapport du 30 septembre montre que ces règles, pourtant enseignées par l’agence elle-même, n’ont pas empêché neuf instances Metabase de rester ouvertes après la publication du correctif.

Le décalage entre le discours de souveraineté numérique et la réalité opérationnelle devient le vrai sujet. On peut multiplier les plans, les labels et les cellules de crise. Si un tableau de bord statistique mal isolé donne la clé d’une base, le reste du discours sonne creux. Les équipes crypto, habituées à gérer des clés privées et des signatures multi-facteurs, regardent cette scène avec un mélange d’ironie et d’inquiétude. L’ironie, parce que l’État leur demande plus de rigueur qu’il n’en applique à ses propres outils. L’inquiétude, parce que leurs interlocuteurs administratifs deviennent des vecteurs.

Metabase, Ou Comment Un Outil De Tableaux Devient Une Porte

Metabase n’est pas un logiciel obscur. Il sert à visualiser des données, à croiser des indicateurs, à produire des rapports. Dans une administration, il devient vite le tableau de bord du quotidien. C’est précisément ce qui le rend dangereux lorsqu’il est mal configuré : il est branché sur des bases utiles, consulté par beaucoup de monde, parfois exposé plus qu’on ne le croit.

L’injection SQL n’a pas besoin d’être sophistiquée pour être efficace. Elle profite d’une confiance : le champ de saisie est censé recevoir une valeur, pas une instruction. Quand cette confiance n’est pas vérifiée, l’attaquant ne « casse » pas un coffre. Il demande poliment au logiciel de lui ouvrir la porte, dans le langage que le logiciel comprend déjà.

Que le correctif date du 6 août et que des instances ministérielles restent vulnérables jusqu’à la fin septembre dit quelque chose du rythme réel des mises à jour. Dans le secteur crypto, un bug critique sur un nœud, un wallet ou un pont se paie en minutes. Dans l’administration, le calendrier des correctifs se heurte aux procédures, aux prestataires, aux environnements de recette, aux week-ends et aux silos. Le résultat s’appelle un point de situation.

Le Laboratoire D’Innovation De L’ANSSI, Un Symbole Qui Fait Mal

On aurait pu imaginer que le laboratoire d’innovation d’une agence de cybersécurité soit le dernier endroit où l’on laisse une instance Metabase exposée. C’est l’inverse qui s’est produit. Cent dix-huit comptes, dont une trentaine d’externes, sont sortis. Les mots de passe étaient hachés, donc « en principe non lisibles ». Cette formule revient souvent. Elle est exacte sur le papier. Elle n’empêche pas le recoupement des mails, des identifiants et des habitudes d’usage.

Un hash n’est pas une protection magique. Sa solidité dépend de l’algorithme, du sel, de la politique de mot de passe et de la puissance de calcul de celui qui récupère le fichier. Surtout, le hash n’efface pas le reste : qui avait un compte, qui était externe, qui se connectait, à quelle fréquence. Pour un attaquant qui prépare une campagne d’ingénierie sociale contre l’écosystème cyber français, ces métadonnées valent presque autant que le secret lui-même.

L’ANSSI a réagi : mises à jour, renouvellement des mots de passe, extinction des comptes inactifs. C’est la procédure. Elle ne répond pas à la question politique. Comment une agence qui publie des avis, accompagne les opérateurs d’importance vitale et recense les victimes se retrouve-t-elle dans sa propre statistique ? La réponse technique existe. La réponse institutionnelle, elle, reste floue.

DINUM, Données « Déjà Publiques » Et Fausse Tranquillité

Sur ProConnect et Nuage-Public, la DINUM invoque le caractère déjà public de certaines données. SIREN, budgets, effectifs : on trouve beaucoup de cela dans des bases ouvertes. L’argument mérite d’être pris au sérieux, sans être pris pour une absolution.

Une donnée publique éparpillée n’a pas la même valeur qu’une extraction propre, datée, structurée, assortie d’historiques de connexion même anonymisés. L’anonymisation elle-même est un métier. Mal faite, elle se brise au premier recoupement. Bien faite, elle reste un indice de fréquentation, d’horaires, de volumétrie. Dans un contexte de campagne d’influence ou d’hameçonnage, ces indices aident à choisir la cible et le moment.

Le citoyen lambda n’y verra qu’un énième incident administratif. Les équipes sécurité des exchanges y verront un schéma : l’État centralise des outils, les sous-traite, les documente mal, puis découvre après coup que le périmètre n’était pas celui qu’on croyait. C’est exactement le type de chaîne que les audits MiCA et les contrôles LCB-FT cherchent à interdire côté privé.

Le Portail Des Assujettis, Angle Mort De La Chaîne De Confiance

Le portail de télédéclaration de Tracfin n’est pas un site vitrine. C’est un sas. On y dépose des signalements sensibles. On y demande de l’aide quand le formulaire bloque. On y laisse des coordonnées professionnelles. Le support technique, par définition, reçoit des gens pressés, parfois stressés, souvent titulaires d’un pouvoir de représentation dans leur établissement.

Compromettre le sous-traitant de ce support, c’est s’asseoir à la table d’accueil. Même si les déclarations de soupçon restent hors d’atteinte, les tickets suffisent à cartographier les frictions du système : qui bute sur quelle étape, quel établissement pose quelle question, quel interlocuteur revient. Pour un acteur malveillant, c’est une carte des points faibles humains.

L’administration a rompu avec le prestataire. La phrase est nette. Elle arrive après une fenêtre de compromission qui s’étend de fin juin à mi-juillet. Entre la première intrusion et la coupure, des semaines ont passé. Dans la crypto, on appelle cela un dwell time. Plus il est long, plus le préjudice potentiel s’étend au-delà du fichier initial, vers des victimes indirectes que l’on cherche encore.

Des Déclarations De Soupçon En Hausse, Des Cibles Plus Visibles

4 850 déclarations de soupçon envoyées par les plateformes crypto en 2025, soit 58 % de plus en un an : le chiffre raconte une industrie qui se conforme, ou du moins qui signale davantage. Il raconte aussi une surface d’attaque administrative qui s’élargit. Plus on déclare, plus on interagit avec le portail, plus on multiplie les tickets, plus on expose des contacts nominatifs.

La conformité n’est pas une abstraction. C’est une personne, souvent joignable, souvent citée dans les organigrammes, parfois déjà présente sur LinkedIn. Ajoutez à cela un ticket réel et vous obtenez le kit de l’escroquerie au faux conseiller. Les plateformes connaissent déjà les usurpations de support client. Elles vont devoir ajouter à leur cartographie le risque d’usurpation du support de l’État.

Cette inversion est nouvelle pour beaucoup d’équipes. On se protège des faux mails « votre wallet est bloqué ». On se protège moins d’un appel qui commence par « ici le support du portail de télédéclaration, au sujet de votre demande 213-… ». Le rapport du 30 septembre rend ce scénario moins théorique.

DGFiP, Cadastre, Bloctel, GAIA : Le Citoyen Dans La Nasse

Le dossier DGFiP pèse lourd : environ 353 000 particuliers, 252 000 professionnels, 434 000 propriétaires via le serveur cadastral. Zéro Logement Vacant évoque 48 millions de propriétaires. GAIA vise potentiellement 4,35 millions d’enseignants. Bloctel, fermé le 11 août, a permis d’identifier quelque 600 000 numéros.

Pris un par un, ces incidents relèvent de politiques publiques différentes : fiscalité, logement, éducation, démarchage téléphonique. Pris ensemble, ils composent un portrait fragmenté mais exploitable. Impôts, bien immobilier, profession, téléphone. Un détenteur de cryptos qui paie ses impôts, possède un logement et enseigne ou dirige une société n’a pas besoin que sa graine de récupération fuite pour devenir une cible. Il suffit qu’on sache qui il est dans la vie civile.

C’est pourquoi le conseil le plus terre à terre du dossier reste le plus utile. Méfiez-vous de tout appel qui cite vos impôts, votre logement ou votre dossier. Activez la double authentification partout où elle existe. Ne supposez pas qu’un interlocuteur « officiel » est officiel parce qu’il connaît un détail que vous croyiez réservé à l’administration.

REACTIV, Une Opération Qui Dit Le Nom De La Crise

REACTIV n’est pas un slogan. C’est le cadre dans lequel l’ANSSI agrège désormais ces signalements. L’activer, puis publier trois semaines plus tard un point de situation où l’agence elle-même apparaît, crée un effet de sincérité involontaire. On ne peut plus prétendre que le problème est « ailleurs », chez les collectivités mal dotées ou les PME naïves.

Le document du 30 septembre fonctionne comme un miroir. Il montre la capacité de recensement. Il montre aussi la porosité. 99 violations signalées depuis le 1er août, 67 confirmées, 32 encore entre les mains des équipes de l’agence : la machine tourne. Elle n’empêche pas la machine d’être elle-même une cible.

Pour le secteur crypto français, déjà engagé dans le basculement post-PSAN et dans le régime MiCA, ce miroir arrive au mauvais moment et au bon. Au mauvais, parce qu’il affaiblit la parole régalienne au moment où l’on demande plus de reporting. Au bon, parce qu’il force à traiter la sécurité de la relation avec l’État comme un risque opérationnel à part entière, et non comme une formalité administrative.

Ce Que Les Équipes Conformité Peuvent Faire Dès Maintenant

Il ne s’agit pas d’attendre un nouveau décret. Quelques gestes concrets réduisent déjà la surface créée par cette fuite. Vérifier qui, dans l’entreprise, est l’interlocuteur nominatif de Tracfin. S’assurer que ces personnes n’utilisent pas le même canal pour le support administratif et pour les alertes internes. Prévoir une procédure de rappel : aucun échange sensible avec un prétendu agent du portail sans rappel sur un numéro connu et documenté à l’avance.

Il faut aussi former autrement. Les modules anti-phishing montrent encore trop souvent de faux mails d’exchange. Il faut y ajouter de faux mails d’administration, de faux tickets, de fausses relances fiscales. Le rapport donne le scénario. Autant le jouer en interne avant qu’un inconnu ne le joue pour de vrai.

Enfin, la double authentification ne doit plus être un confort. Sur les outils internes, sur les messageries, sur les espaces prestataires, sur tout ce qui touche à la relation avec un régulateur ou une cellule de renseignement financier, le second facteur devrait être la norme, pas l’exception. L’ANSSI le dit depuis longtemps. Elle vient d’illustrer, malgré elle, pourquoi.

• Cartographier les contacts nominatifs avec Tracfin et les autorités fiscales.
• Interdire les validations sensibles sur un canal unique non vérifié.
• Rejouer en interne des scénarios de faux support administratif.
• Imposer un second facteur sur tous les outils exposés.
• Surveiller les mentions de tickets, de dossiers et de fonctions dans les appels entrants.

Sous-Traitance, Le Maillon Que Personne Ne Veut Auditer Jusqu’Au Bout

Le cas Tracfin est une leçon de chaîne d’approvisionnement. Ce n’est pas le cœur métier qui a cédé en premier. C’est le support d’un opérateur, lui-même confié à un sous-traitant. Chaque étage ajoute une politique de mots de passe, un parc machine, une équipe de nuit, un prestataire d’infogérance. Chaque étage dilue la responsabilité.

Les plateformes crypto connaissent ce débat. Hébergeurs, KYC, outils de transaction monitoring, prestataires de cloud, intégrateurs de wallet : la chaîne est longue. Les régulateurs la scrutent. Le paradoxe, aujourd’hui, est que l’État applique à ses propres chaînes une exigence moins visible que celle qu’il impose au privé. Tant que le support d’un portail sensible peut être compromis pendant des semaines, le discours sur la résilience nationale reste incomplet.

Les investigations ouvertes sur d’éventuelles victimes indirectes le confirment. Une compromission de sous-traitant n’est jamais un incident fermé. Elle est un graphe. On en découvre les nœuds après coup. C’est précisément pour cela que les audits de sécurité sérieux ne s’arrêtent plus à la porte de l’entreprise. Ils suivent le ticket jusqu’à l’écran de celui qui le lit.

Hachage, Comptes Dormants Et Autres Consolations Techniques

Les mots de passe de l’ANSSI étaient hachés. Les historiques de la DINUM étaient anonymisés. Les déclarations de soupçon de Tracfin n’ont pas fuité. Ces nuances comptent. Elles évitent le sensationnalisme facile. Elles ne ferment pas le dossier.

Un compte dormant depuis plus de trois mois n’aurait jamais dû rester une clé possible. Une instance Metabase n’aurait jamais dû rester sans correctif après le 6 août. Un sous-traitant de support n’aurait jamais dû devenir le point unique d’entrée vers 136 fiches nominatives. Les consolations techniques décrivent ce qui n’a pas empiré. Elles ne décrivent pas ce qui a été évité par conception.

Dans la culture crypto, on a l’habitude de séparer ce qui est « non volé » de ce qui est « non volable ». Un secret haché après extraction n’est pas un secret resté dans un enclave. Un ticket de support n’est pas une déclaration de soupçon, mais c’est déjà une pièce d’identité professionnelle. Cette distinction devrait devenir le langage commun entre administrations et assujettis.

Le Risque D’Arnaque Au Faux Dossier, Version 2026

Les campagnes d’extorsion qui suivent les fuites administratives ont un air de famille. On cite un impôt. On cite un logement vacant. On cite un numéro Bloctel. On cite un ticket. La victime entend un détail vrai et baisse la garde. Le reste du script peut être faux : la demande de code, le virement urgent, la « régularisation » en crypto, la connexion à un faux portail.

Les détenteurs d’actifs numériques sont une cible de choix parce qu’ils peuvent bouger de la valeur vite, parfois hors des circuits bancaires classiques, parfois sous émotion. Un appel qui mélange cadastre et « anomalie sur votre compte d’actifs » n’a pas besoin d’être parfait. Il a besoin d’un vrai nom, d’un vrai téléphone, d’un vrai fragment de dossier. C’est exactement le type de fragment que les incidents de l’été ont répandu.

D’où cette consigne simple, presque banale, et pourtant trop peu suivie : aucun code, aucun transfert, aucune installation d’outil de prise en main à distance, jamais, sur la base d’un appel entrant. L’État n’a pas besoin que vous installiez un logiciel dans l’urgence. Un escroc, si.

Ce Que Ce Bilan Dit De La Souveraineté Numérique

La souveraineté numérique française se raconte souvent par les clouds de confiance, les opérateurs d’importance vitale, les campus cyber, les doctrine d’achat. Elle se juge aussi à la capacité de patcher un outil de tableaux de bord avant que des inconnus n’y lisent 118 comptes. Sur ce critère, le point de situation de fin septembre est sévère.

Il ne s’agit pas de nier le travail de l’ANSSI. Recenser, confirmer, publier, traiter 32 dossiers en propre, tout cela existe. Il s’agit de voir que la publication elle-même devient un acte politique. En acceptant de figurer dans le tableau, l’agence rend visible une vulnérabilité systémique. Reste à savoir si cette visibilité débouchera sur autre chose qu’une nouvelle circulaire.

Les acteurs crypto, eux, n’ont pas le luxe d’attendre la circulaire. Leurs clients, leurs actionnaires et leurs superviseurs mesurent déjà le risque de réputation. Un compliance officer piégé par un faux support Tracfin, c’est un incident de sécurité, un incident de conformité et un incident médiatique en même temps.

Une Chronologie Courte, Une Exposition Longue

Fin juin à mi-juillet : compromission du sous-traitant Tracfin. 6 août : correctif Metabase disponible. 11 août : fermeture de Bloctel. 1er août et suivants : 99 violations signalées. 30 septembre : point de situation REACTIV, 118 comptes ANSSI, DINUM touchée, investigations Tracfin encore ouvertes. La chronologie tient en quelques dates. L’exposition, elle, se compte en mois et en fichiers croisés.

C’est cette durée qui devrait inquiéter plus que le nom des victimes prestigieuses. Un incident révélé en septembre peut avoir commencé en juin. Un correctif d’août peut n’être déployé qu’après la rentrée. Un sous-traitant peut avoir d’autres clients. Le rapport le glisse : le compteur des victimes indirectes n’est pas fermé.

Pour un lecteur pressé, l’histoire se résume à « l’État s’est fait pirater ». Pour un lecteur qui travaille dans la crypto, elle se résume à autre chose : la relation avec l’administration est devenue un vecteur, et ce vecteur n’est pas encore traité comme tel dans les cartographies de risques.

Garder Les Gardiens, Sans Naïveté Ni Cynisme

La formule est usée, elle revient pourtant. Qui gardera ces gardiens ? Pas un slogan libertarien de plus. Une question de méthode. Un laboratoire d’innovation doit être isolé. Un outil de reporting doit être patché. Un support d’assujettis doit être audité comme s’il contenait déjà des secrets, même lorsqu’il n’en contient que des tickets.

Le cynisme serait de conclure que toute parole publique sur la cyber est disqualifiée. La naïveté serait de croire qu’un renouvellement de mots de passe referme le sujet. Entre les deux, il reste le travail : réduire les comptes, imposer le second facteur, suivre les sous-traitants, former aux vrais scénarios, et considérer chaque donnée « déjà publique » comme une brique possible d’une attaque plus large.

Les plateformes qui ont envoyé des milliers de déclarations de soupçon en 2025 n’ont pas besoin d’un nouveau manifeste. Elles ont besoin que le portail en face tienne. En attendant, elles devront faire comme si ce portail pouvait être imitée, citée, usurpée. Ce n’est pas un manque de respect envers Tracfin. C’est la lecture lucide d’un bilan publié par l’État lui-même.

Ce Qu’Il Faut Retenir Sans Attendre La Suite Des Enquêtes

L’ANSSI a 118 comptes compromis dans son laboratoire d’innovation. La DINUM a deux instances touchées. Tracfin a 136 assujettis exposés via un sous-traitant, sans fuite des déclarations de soupçon selon l’administration. Metabase et sa faille d’août sont le fil rouge d’une partie du dossier. Les infostealers et l’absence de double authentification expliquent le reste. Depuis le 1er août, la violation de données n’est plus l’exception. Elle est devenue une statistique de saison.

Pour les citoyens qui détiennent des cryptos et figurent dans l’un de ces fichiers, la consigne tient en deux réflexes : douter des appels trop informés, verrouiller ce qui peut l’être. Pour les prestataires, elle tient en une phrase : la conformité ne s’arrête plus au dépôt du signalement. Elle commence aussi à la protection de ceux qui le déposent.

Le 30 septembre n’est pas une fin. Les investigations sur le sous-traitant de Tracfin se poursuivent. D’autres victimes indirectes peuvent apparaître. D’autres instances mal patchées peuvent encore sortir. Le bilan noir de l’État, pour le dire comme il est, n’est pas seulement une affaire de prestige blessé. C’est une affaire de confiance pratique, celle que l’on accorde à un mail, à un ticket, à un numéro qui sonne un mardi matin en se réclamant d’un service que l’on connaît trop bien.