REACTIV : pourquoi l’ANSSI renforce sa réponse aux violations de données de l’État

Faits, analyse et incertitudes

REACTIV en quelques lignes

Pourquoi maintenant, selon l’ANSSI

L’Agence justifie le dispositif par « l’intensification des attaques cybercriminelles liées à des violations de données affectant les services de l’État ». La formulation est précise sur deux points : ce sont des attaques cybercriminelles, donc à motivation principalement financière, et elles sont liées à des violations de données.

Ce cadrage écarte implicitement deux autres lectures possibles. Il ne s’agit pas d’une réponse à une menace d’espionnage étatique, qui relève d’autres dispositifs. Il ne s’agit pas non plus d’une réponse aux rançongiciels, qui restent traités dans le cadre habituel. Le sujet est bien celui des données de citoyens détenues par les administrations.

Ce choix est cohérent avec ce que documentent par ailleurs les sources publiques françaises. Cybermalveillance.gouv.fr relève pour 2025 une accélération des violations de données touchant des organisations publiques et privées, avec une hausse de 107 % des demandes d’assistance de particuliers sur ce motif, et cite explicitement France Travail parmi les acteurs touchés. Le phénomène n’épargne pas la sphère publique.

Ce qui est annoncé, et ce que cela veut dire concrètement

Le communiqué est court. Trois éléments y figurent, et chacun a une traduction opérationnelle qui mérite d’être explicitée — en distinguant clairement le texte de l’Agence de notre lecture.

Compromission de comptes : pourquoi c’est le sujet critique

Un compte compromis est une clé légitime entre de mauvaises mains. C’est ce qui le rend si difficile à traiter : l’attaquant n’exploite aucune faille, il se connecte. Toutes les actions qu’il mène apparaissent comme des actions autorisées, effectuées par un utilisateur connu, depuis un accès valide.

• Les traces produites ressemblent à de l’activité normale : c’est le contexte, pas l’action, qui trahit l’intrusion
• Un compte donne accès à ce à quoi il a droit — d’où l’importance du moindre privilège, qui limite mécaniquement l’étendue du problème
• La compromission d’un compte peut mener à d’autres comptes : messagerie, réinitialisation de mots de passe, jetons applicatifs
• Les mécanismes de détection fondés sur la signature d’un code malveillant sont inopérants : il n’y a pas toujours de code malveillant
• La remédiation est intrusive : révoquer des sessions et réinitialiser des identifiants a un coût opérationnel immédiat sur les utilisateurs

Cette dernière ligne explique le renforcement d’autorité annoncé. Décider de révoquer massivement des sessions ou de réinitialiser des milliers de comptes n’est pas une décision technique : c’est une décision d’exploitation qui perturbe le service. Dans une organisation, ce type d’arbitrage remonte, et il prend des heures. Or en réponse à incident, les heures sont la ressource la plus rare.

À quoi ressemble une réponse à incident

REACTIV agit sur deux étapes précises d’une séquence qui en compte sept. Comprendre l’ensemble aide à voir ce que le dispositif renforce — et ce qu’il ne renforce pas.

REACTIV renforce l’appui sur les étapes 4 et 5 — analyse des violations et traitement des comptes compromis — et lève, par le pouvoir d’injonction, le principal frein à l’étape 5. Les étapes 1 et 2 restent, elles, du ressort des ministères et de leur capacité de supervision : aucun dispositif d’appui ne compense une détection absente.

SOC, CSIRT et cellule de crise : trois choses différentes

Ces trois termes sont employés de façon interchangeable dans le débat public, ce qui rend incompréhensible la répartition réelle des rôles. Ils désignent trois fonctions distinctes, avec des temporalités différentes.

La distinction est loin d’être théorique. Une organisation qui possède un SOC mais pas de capacité d’investigation détectera des incidents qu’elle ne saura pas caractériser. Une organisation qui dispose des deux mais sans cellule de crise verra ses équipes techniques attendre des arbitrages que personne n’est mandaté pour rendre. C’est exactement le point que traite le renforcement d’autorité annoncé par l’ANSSI.

Pourquoi la réponse à incident devient stratégique

Pendant longtemps, la cybersécurité s’est pensée d’abord comme une affaire de prévention : empêcher l’intrusion. Cette ambition reste, mais elle a cessé d’être suffisante, et le fait qu’un dispositif interministériel soit consacré à la réaction plutôt qu’à la protection en est un indicateur.

1. Le délai est devenu la variable décisive

   Entre une exfiltration détectée en quelques heures et une exfiltration découverte plusieurs semaines après, le volume de données sorties n’a pas le même ordre de grandeur. La prévention réduit la probabilité ; la réaction réduit l’impact.

2. L’identité est le nouveau périmètre

   Quand l’attaquant se connecte plutôt qu’il ne force, les défenses périmétriques ne le voient pas. La supervision des comportements d’authentification devient centrale.

3. La donnée a une valeur de marché

   Cybermalveillance.gouv.fr décrit un marché souterrain structuré, avec des acteurs spécialisés et des places de marché dédiées. Une donnée sortie est un actif qui circule, pas un fichier perdu.

4. La conséquence est publique

   Une violation touchant une administration concerne des citoyens qui n’ont pas choisi de lui confier leurs données. La dimension politique de la réponse est inséparable de sa dimension technique.

Quels métiers sont concernés ?

Un dispositif comme REACTIV mobilise des compétences précises, et c’est l’occasion de rappeler que la réponse à incident n’est pas un métier mais une chaîne de métiers.

Ce qu’une organisation privée peut en retenir

1. Nommer à l’avance qui peut décider vite

   Le cœur du dispositif est un pouvoir de décision en délais contraints. Dans une entreprise, cela se traduit par une délégation écrite : qui peut décider de couper un service, de révoquer massivement des sessions, à quelle heure et sans attendre un comité.

2. Traiter l’identité comme le périmètre principal

   Inventaire des comptes à privilèges, authentification multifacteur, suppression des comptes dormants, rotation des secrets, supervision des authentifications anormales.

3. Préparer la révocation globale

   Savoir répondre, avant l’incident, à la question « que faut-il révoquer pour couper réellement un attaquant ? ». La liste doit exister sur le papier : comptes, sessions, jetons, clés d’API, comptes de service, accès prestataires.

4. Centraliser la communication technique

   Un canal, un porte-parole technique, un message. Les communications parallèles créent des contradictions qui coûtent plus cher que le silence.

5. Vérifier que la détection existe

   Un appui à l’investigation ne sert à rien si personne ne voit l’incident. La journalisation, sa centralisation et sa durée de rétention sont les prérequis de tout le reste.