Laurent Nuñez donne des leçons. C’est son activité principale. Ministre de l’Intérieur, ancien préfet de police de Paris, homme de l’ordre, gardien des institutions, rempart de la République — il donne des leçons. Sur la sécurité. Sur la rigueur. Sur l’exigence. Il monte en chaire, il parle avec gravité, il regarde la caméra avec cet air de celui qui sait.
Je lui ai écrit. Pas parce que j’attendais une réponse — on n’attend pas de réponse d’une lessiveuse — mais parce que certaines incompétences atteignent un niveau qui mérite d’être salué avec la solennité qu’elles inspirent.
Vous ne le savez peut-être pas. Vous avez autre chose à faire. Vous travaillez, vous payez vos impôts, vous remplissez vos cases — parce qu’en France, les cases, c’est sacré. Mais il y a quelque chose que vous méritez de savoir sur l’homme qui vous fait la morale.
L’Agence Nationale des Titres Sécurisés — je prends le temps d’articuler le mot, parce que manifestement personne ne l’a fait avant de poser la plaque, et certainement pas Nuñez — s’est fait pirater. Non pas par un État hostile. Non pas par un réseau criminel international disposant de supercalculateurs quantiques et d’ingénieurs formés par le KGB. Par un gamin de quinze ans. Un collégien. En Corse. Qui vivait chez ses parents. Et qui avait visiblement du temps libre entre deux révisions de brevet.
Du 13 au 25 avril. Douze jours. Douze jours pendant lesquels cet adolescent s’est promené tranquillement dans les serveurs de l’agence censée protéger l’identité numérique de la France, en a exfiltré entre douze et dix-huit millions de lignes de données personnelles — vos noms, vos prénoms, vos adresses, vos coordonnées — et les a mis en vente sur le dark web. Comme des soldes. Comme des cartes Pokémon. Comme n’importe quoi, en fait, parce que vos données, elles, ne valaient apparemment pas grand-chose aux yeux de ceux que Nuñez supervisait et qui étaient payés pour les garder.
La faille utilisée s’appelle une IDOR. Insecure Direct Object Reference. En langage humain : vous remplacez un chiffre dans une adresse web, et vous accédez au dossier du voisin. Pas de mot de passe. Pas de cryptographie. Pas de génie. Juste un chiffre. C’est une technique vieille de trente ans. Elle figure en première page de tous les manuels de cybersécurité depuis l’invention du manuel de cybersécurité. Des amateurs l’utilisaient dans les années 2000 pour accéder aux répertoires de sites vidéo mal configurés — par curiosité, un soir, entre deux autres activités. Elle était déjà ringarde à l’époque.
En 2026, sous la tutelle de Laurent Nuñez, c’est cette faille-là qui gardait vos données d’identité.
Le gamin lui-même l’a dit, avec cette franchise désarmante que seuls les quinze ans permettent encore : « C’était une faille vraiment stupide. » Ce n’était pas lui qui était stupide. C’était la faille. Celle que personne n’avait corrigée. Celle que des experts avaient pourtant signalée — publiquement, par écrit, avec toute la pédagogie possible — avant que tout cela n’arrive. Des experts qui avaient expliqué, documenté, alerté. Et à qui l’administration de Nuñez avait répondu avec son arme favorite : le silence. Le silence de ceux qui ne comprennent pas ce qu’on leur dit, ou qui ont décidé que comprendre prendrait trop de temps avant la fermeture du guichet.
On leur avait dit : votre porte est ouverte. Ils avaient répondu : dormez en paix, tout se passe bien.
Tout s’est très bien passé. Pour le gamin de quinze ans.
Quelques jours après l’intrusion, l’adolescent a envoyé un courrier à l’agence. Un mail d’excuses, dans lequel il détaillait point par point les failles qu’il avait exploitées. Ce qu’on appelle, dans le monde professionnel, un audit. Bénévole. Non sollicité. Par un mineur. Dans n’importe quelle structure dotée du moindre début de discernement, on l’aurait remercié, on aurait corrigé les failles, on aurait peut-être eu la décence de rougir.
La réponse de l’État de Laurent Nuñez ? Il a été arrêté. Garde à vue. Mise en examen. Juge d’instruction. Il encourt jusqu’à sept ans de prison et trois cent mille euros d’amende. Le garçon qui venait de signaler gracieusement les défaillances d’un service public se retrouve traîné devant la justice. Les ingénieurs qui ont laissé la faille béante pendant des années continuent de percevoir leur traitement. Et Nuñez — Laurent Nuñez, le moralisateur, le gardien de l’ordre, l’homme de la rigueur — est toujours à son bureau, bien campé, à donner des leçons de République à des gens dont il vient de brader l’identité au prix du kilo.
Nuñez n’a pas démissionné.
Je répète, parce que ça mérite qu’on s’y attarde : faille signalée par des experts, ignorée. Faille exploitée par un lycéen de quinze ans. Dix-huit millions de données revendues sur le dark web. Cinq jours de silence officiel avant la moindre communication aux victimes — cinq jours pendant lesquels vos coordonnées avaient tout le loisir de circuler, d’être copiées, distribuées et revendues aux quatre coins d’internet. Et l’homme responsable reste. Et il donne des leçons.
Pendant ce temps-là, cette même administration est parfaitement capable de bloquer pendant des années l’immatriculation d’un véhicule homologué dans un État membre de l’Union européenne, immatriculé depuis vingt ans, contrôlé, assuré, documenté sous tous les angles — au motif qu’une case serait mal remplie. Pas les serveurs. La case. La case est sacrée. Les serveurs, eux, sont ouverts à tous les vents.
Un citoyen oublie une virgule sur un formulaire. Catastrophe administrative. Un adolescent corse repart avec l’identité numérique d’un cinquième de la population. Incident technique.
L’agence a tiré les conclusions qui s’imposaient. Elle a changé de nom. Elle s’appelle désormais France Titres. Parce que quand on n’arrive pas à sécuriser quoi que ce soit, on peut toujours rebrander. C’est moderne. C’est agile. Ça ne coûte que quelques milliers d’euros de papier à en-tête — nos papiers à nous étant, il est vrai, déjà ailleurs.
Ce n’est pas de l’incompétence ordinaire. L’incompétence ordinaire, ça arrive, ça se comprend, ça se pardonne. Là, on parle d’une incompétence augmentée — enrichie, millésimée, bonifiée par des années de signalements ignorés. Celle qui regarde les experts lui expliquer le problème, hoche la tête, et retourne se coucher. Celle qui punit le lanceur d’alerte et récompense les responsables avec une promotion. Celle qui, devant l’étendue du désastre, trouve comme seule réponse un nouveau logo.
Laurent Nuñez donne des leçons. Mais moi, j’ai une règle simple : je n’accepte de leçons de sécurité que de gens qui n’ont pas laissé un lycéen partir avec mon adresse sous le bras, après avoir été prévenus que la fenêtre était ouverte.
En France, le problème n’est jamais ce qui manque dans les serveurs.
Le problème, c’est ce qui manque dans la case.
Sources : Parquet de Paris, procureure Laure Beccuau — Question orale n°727, Philippe Latombe, Assemblée nationale — Damien Bancal, Zataz.com — Journal du Geek — Futura Sciences — BleepingComputer — ANSSI — CNIL.