Le Canard enchaîné révèle que c’est l’algorithme de surveillance des accès au fichier TAJ qui aurait déclenché l’alerte, 13 jours après que le pirate y a eu accès après avoir dérobé l’identifiant et le mot de passe d’un policier.

Le Canard enchaîné révèle que le « fric-frac informatique du ministère de l’Intérieur » avait duré du dimanche 9 novembre au jeudi 4 décembre, soit 26 jours, « une très longue journée portes ouvertes ».

L’intrusion, révélée dans la presse le jeudi 11 et confirmée par le ministre le lendemain, aurait été découverte le samedi 22 novembre, grâce à l’algorithme qui surveille les requêtes effectuées dans le Traitement des antécédents judiciaires (TAJ). Ce fichier recense « 16,4 millions de personnes » ayant été « mises en cause », et dès lors « défavorablement connues » des services de police et de gendarmerie, pour reprendre l’expression consacrée.

• 24 millions et moi, et moi… : l’équivalent du tiers de la population est « défavorablement connue » de la police
• 12 ans que la CNIL dénonce le fichier TAJ des personnes « défavorablement connues »… en vain

« C’est la consultation compulsive – le week-end et la nuit – de ce listing ultra-sensible qui a déclenché l’alerte », souligne le Canard. Il ne précise pas cependant pourquoi il a fallu 13 jours à l’algorithme pour repérer qu’un pirate avait réussi à accéder au système de Circulation Hiérarchisée des Enregistrements Opérationnels de la Police Sécurisés (CHEOPS), le portail permettant d’accéder aux fichiers de la police et de la gendarmerie.

L’article ne précise pas non plus combien de temps il a fallu pour disculper le policier soupçonné d’avoir abusivement farfouillé dans le TAJ, et identifier qu’il s’était fait dérober ses identifiant et mot de passe.

Il relève toutefois qu’alerté, le parquet de Paris a de son côté ouvert une enquête préliminaire le 4 décembre (soit 12 jours après le déclenchement de l’alerte), « date à laquelle le pirate, se sentant sans doute pisté, cesse d’arpenter CHEOPS ».

37 serveurs compromis, 14 fichiers visités, 120 fiches dérobées

D’après le dernier bilan du ministère de l’Intérieur, que le Canard a pu consulter, « les dégâts sont bien plus importants qu’annoncé : 37 serveurs de messagerie sur 250 ont été compromis, et 14 fichiers de police ont été visités, dont celui des personnes recherchées, qui contient notamment les fichés S » :

« Sur le TAJ, où il s’est bêtement fait repérer, Melvin L. a dérobé 120 fiches personnelles et procédé au siphonnage de dizaines de milliers de noms inscrits dans ce fichier sensible. »

• Piratage du ministère de l’Intérieur : les fichiers TAJ et FPR ont bien été consultés

Pour accéder à CHEOPS, il suffit d’un identifiant et d’un code à six chiffres

Le Canard souligne que le pirate, interpellé le 17 décembre, aurait profité du fait que « nombre de poulets se tamponnent le coquillard de la sécurité informatique ». Pour se connecter à CHEOPS, les policiers et gendarmes doivent normalement utiliser leur carte professionnelle, dotée d’une puce, ainsi qu’un code à quatre chiffres.

À ceci près que « les poulets, moins disciplinés que les pandores, utilisent à tort et à travers un système de secours sans carte, reposant sur le seul identifiant et un code à six chiffres ». Identifiant et code que le policier aurait partagé en clair dans un e-mail auquel le pirate avait pu accéder.

« Celui qui a fait le coup n’est pas spécialement un cador », précise au Canard un commissaire : « il a laissé plein de traces qui ont permis de remonter à lui ». À défaut de savoir combien d’autres pirates, plus discrets, auraient eux aussi déjà pu accéder à CHEOPS de la sorte, le ministre de l’Intérieur vient d’ouvrir une enquête administrative sur les manquements à la sécurité informatique.

Reste donc aussi à comprendre pourquoi, en 2025, le recours à la double authentification n’a pas encore été rendu obligatoire, surtout pour accéder à un système aussi sensible. Mais également, comme le souligne bohwaz en commentaire, « pourquoi ces systèmes et fichiers sont accessibles depuis n’importe quelle IP et ne sont pas restreints à un intranet sécurisé du ministère de l’intérieur… »