Des agents des administrations centrales du pôle de la Transition écologique et des contrôleurs agréés d'APAVE Exploitation France pourraient voir leurs coordonnées professionnelles exposées. Des fichiers mis en ligne le 2 septembre 2026 sur un forum cybercriminel porteraient sur environ 22 200 personnes, alors que le ministère a confirmé avoir subi une cyberattaque la semaine précédente.
Deux populations dans les fichiers attribués au ministère
Le ministère de la Transition écologique pilote un pôle qui couvre aussi l'aménagement du territoire, les transports, la ville et le logement. Selon la revendication, les deux fichiers proviendraient d'un portail d'authentification et d'un outil de surveillance des organismes de contrôle. Pour les agents, les données annoncées portent sur l'identité, les coordonnées professionnelles (nom, adresse électronique, téléphone) et l'affectation administrative (direction, unité, matricule). Pour les contrôleurs agréés s'ajoutent la date de naissance et le numéro d'agrément.
Le pirate attribue l'obtention des données à une interface mal configurée sur le portail d'authentification et à un défaut de contrôle d'accès sur l'outil de surveillance. Ces informations ne figurent pas dans les données ouvertes, qui ne publient que les habilitations au niveau des organismes et les coordonnées institutionnelles des services.
Ce que le ministère de la Transition écologique a reconnu
Le même jour, plusieurs sites du pôle ministériel étaient inaccessibles. Le ministère a confirmé à l'Agence France-Presse que cette indisponibilité faisait suite à une attaque informatique qualifiée de sophistiquée. L'Agence nationale de la sécurité des systèmes d'information a indiqué intervenir auprès d'administrations du ministère après des suspicions de compromission de certains comptes utilisateurs. L'incident est donc établi par le ministère lui-même, qui n'a toutefois communiqué ni volume ni catégories de données, et n'a pas commenté les fichiers diffusés.
Pour les contrôleurs, la date de naissance associée au nom et au numéro d'agrément permettrait de se faire passer pour eux ou de les viser par des messages évoquant leur activité. Pour les agents, l'affectation précise et le matricule rendent crédibles de faux courriels internes.
Ce qu'ajoute le point de situation de l'ANSSI
Le 30 septembre 2026, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié un point de situation sur les violations de données touchant les services de l'État. Il décrit, sous ce ministère, une vulnérabilité sur le portail OISO.
Selon l'agence, une vulnérabilité sur ce portail OISO, qui sert au contrôle par des prestataires privés du respect de normes environnementales, a permis d'énumérer les données personnelles de 22 000 agents et organismes agréés. L'attaquant s'est servi du compte compromis d'un organisme privé. Le portail a été mis hors ligne et isolé du réseau interministériel, la faille corrigée et les mots de passe réinitialisés.
Le rapport ne cite pas la revendication. OISO correspond très probablement à l'outil de surveillance des organismes désigné par celle-ci, et le chiffre de 22 000 au total des deux fichiers annoncés. Le même rapport décrit la compromission de plus de 300 comptes d'une autre application du ministère, le Bureau numérique, détectée le 25 août 2026 : un incident distinct de ces fichiers, qui pourrait expliquer les suspicions de compromission de comptes évoquées début septembre, sans que le rapport fasse ce lien.
Détails techniques :
- 22 211 personnes concernées : agents des administrations centrales et contrôleurs agréés d'APAVE Exploitation France
- Deux fichiers issus d'un portail d'authentification et d'un outil de surveillance des organismes de contrôle
- Méthode d'accès annoncée : mauvaise configuration d'API sur le portail, défaut de contrôle d'accès sur l'outil
- Données absentes des jeux de données ouverts
- Attaque confirmée par le ministère à l'AFP, intervention de l'ANSSI après suspicion de compromission de comptes
- Selon l'ANSSI : vulnérabilité du portail OISO, énumération de 22 000 agents et organismes agréés depuis le compte compromis d'un organisme privé ; rapprochement avec l'outil de la revendication par analyse
- Volume et catégories de données non communiqués par le ministère
Données concernées :
- Civilité, prénom et nom
- Date de naissance (contrôleurs agréés)
- Adresse email et numéro de téléphone
- Adresse postale
- Identifiant de connexion et identifiant utilisateur
- Matricule (identifiant interne)
- Numéro d'agrément
- Données professionnelles et d'emploi (direction, unité, qualification)
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise