Six faits vérifiés au 7 septembre 2026
- 2 septembre : le site des consultations publiques du ministère et « plusieurs sites d'administrations régionales » affichent « Maintenance en cours » (franceinfo). La préfecture de la Creuse parle d'un « incident informatique survenu au ministère de la Transition écologique », DDT et DDETSPP y sont injoignables par courriel (GNT).
- 2 septembre au soir : le ministère confirme à l'AFP une « attaque informatique sophistiquée la semaine dernière, ciblant des outils de messagerie », un signalement au parquet ; l'ANSSI dit intervenir « à la suite de suspicions de compromission de certains comptes utilisateurs » (KultureGeek).
- 2 septembre, forum cybercriminel : un utilisateur « mondial » revendique deux fichiers — controleurs.csv (14 656 enregistrements) et all_users.json (8 166 utilisateurs, 8 166 courriels, 5 278 fixes, 3 642 mobiles, 4 849 matricules, 942 unités) — via « une mauvaise configuration d'API » et « une faille IDOR sur OISO » (FrenchBreaches). Aucun mot de passe dans les extraits publiés.
- 7 septembre, 11 h 40 : relevé Synapse — DREAL Hauts-de-France 503, OISO 503, consultations publiques rétablies (200), les douze autres DREAL/DRIEAT en ligne (200).
- OISO = « Outil Informatique de Surveillance des Organismes », cité nommément dans les arrêtés d'habilitation des organismes de contrôle des canalisations de transport, dont APAVE Exploitation France (arrêté du 17 décembre 2021, AIDA/Ineris).
- Hauts-de-France : « environ 5 000 kilomètres » de canalisations de transport de matières dangereuses (page DREAL, capture d'archive du 22 janvier 2026, page aujourd'hui inaccessible) ; 154 établissements Seveso dont 95 seuil haut, « 2e région de France » (préfecture de région, 2021).
Ce que nous avons constaté ce lundi matin : treize sites régionaux, un seul hors ligne
Aucune source publique ne détaillait, à notre connaissance, quels « sites d'administrations régionales » étaient concernés. Nous avons donc interrogé nous-mêmes, à 11 h 40 puis à 11 h 46 (heure de Paris), la page d'accueil des treize sites régionaux métropolitains du réseau developpement-durable.gouv.fr, l'application OISO et le site national des consultations publiques. Le résultat tient dans un tableau.| Site | Code HTTP, 7/09 11 h 40 | Contenu servi |
|---|---|---|
| DREAL Hauts-de-France | 503 | « Maintenance en cours. Ce service est en cours de mise à jour. Merci de réessayer plus tard » — page de 36 476 octets, identique sur toutes les URL testées (accueil, rubrique consultations, robots.txt) |
| OISO (oiso.application.developpement-durable.gouv.fr) | 503 | Même page de maintenance, même taille |
| Consultations publiques (consultations-publiques.developpement-durable.gouv.fr) | 200 | Site rétabli, bandeau « forte affluence » ; il était en maintenance le 2 septembre selon franceinfo |
| DREAL Grand Est, Bretagne, Normandie, Nouvelle-Aquitaine, Auvergne-Rhône-Alpes, Occitanie, PACA, Pays de la Loire, Centre-Val de Loire, Bourgogne-Franche-Comté, Corse | 200 | Pages d'accueil normales |
| DRIEAT Île-de-France | 200 | Page d'accueil normale |
| DEAL Guadeloupe, Martinique, Guyane, La Réunion, Mayotte | 200 | Pages d'accueil normales |
Relevé Synapse Picardie du 7 septembre 2026, deux passes à six minutes d'intervalle, requêtes HTTP simples depuis un serveur tiers. Un code 503 signifie que le serveur répond mais refuse de servir le site. Nous ne savons pas si l'indisponibilité de la DREAL Hauts-de-France relève d'une compromission spécifique ou d'une mesure de précaution ; l'ANSSI a prévenu que « les investigations et mesures de remédiation mises en œuvre peuvent avoir pour effet l'interruption temporaire de certains services numériques ».
Ce qu'une entreprise des Hauts-de-France ne peut plus consulter depuis mercredi
Le site d'une DREAL n'est pas une brochure. La capture d'archive du 9 juin 2026 de la page d'accueil régionale, que nous avons relue, liste les services d'accès direct qui y étaient proposés : les arrêtés préfectoraux ICPE (installations classées pour la protection de l'environnement), les téléprocédures, la rubrique « Consultation du public » — dont, à cette date, un projet d'arrêté sur la zone spéciale de conservation « Ridens et dunes hydrauliques du détroit du Pas-de-Calais » —, le contact « transport routier », le contact RTI (réception à titre isolé des véhicules), l'autorité environnementale, le porter à connaissance et la cartographie SIG. La DREAL Hauts-de-France « rassemble près de 830 personnes », réparties entre Lille, Amiens et des unités départementales, selon la présentation de la préfecture de région. Concrètement, un transporteur routier de l'Oise qui cherche le formulaire de sa licence, un bureau d'études qui vérifie l'avis de l'autorité environnementale sur un parc éolien de la Somme, ou un exploitant du Dunkerquois qui veut relire son arrêté préfectoral, tombent depuis mercredi sur la même page grise. Les arrêtés eux-mêmes existent ailleurs — recueils des actes administratifs des préfectures, Géorisques pour les installations — mais l'annuaire régional qui les reliait est hors service. Le site national des consultations publiques, lui, est revenu en ligne entre le 2 et le 7 septembre. Ce que nous n'avons pas pu vérifier : l'état de la messagerie des agents de la DREAL et des cinq DDT(M) de la région. Le seul cas documenté publiquement est celui de la Creuse, où la préfecture a invité les usagers de la DDT et de la DDETSPP à « privilégier temporairement le téléphone ». Les DDT(M) du Nord, du Pas-de-Calais, de la Somme, de l'Oise et de l'Aisne relèvent de la même architecture ministérielle ; aucune de leurs préfectures n'affichait d'avis d'incident sur sa page d'accueil ce lundi matin. Nous n'avons pas sollicité la DREAL à ce stade et nous le signalons.OISO, l'application dont personne n'avait entendu parler, et pourquoi elle concerne l'industrie régionale
Le nom « OISO » n'apparaît dans aucune des dépêches nationales que nous avons lues ; il figure dans la revendication du pirate et dans les fiches spécialisées. Il apparaît surtout, noir sur blanc, dans les arrêtés ministériels d'habilitation des organismes de contrôle. L'arrêté du 17 décembre 2021 renouvelant l'habilitation d'APAVE Exploitation France pour les épreuves de canalisations de transport en décrit l'usage : l'organisme doit « informer préalablement » la DREAL territorialement compétente de ses opérations, « au plus tard cinq jours ouvrables avant l'exécution des contrôles pour les opérations effectuées en atelier, ou dix jours ouvrables pour celles effectuées sur site », et « le programme de ces opérations est mis en ligne sur l'application OISO (Outil Informatique de Surveillance des Organismes) ». Les écarts constatés lors des visites de surveillance y sont « saisis en ligne par l'organisme habilité ».Le programme de ces opérations est mis en ligne sur l'application OISO (Outil Informatique de Surveillance des Organismes) accessible par l'organisme via l'url oiso.application.developpement-durable.gouv.fr/oisoexterne/ avec les codes d'accès fournis par le ministre chargé de la sécurité des canalisations de transport.Autrement dit, OISO est le carnet de rendez-vous partagé entre les organismes de contrôle et les inspecteurs de l'État pour les ouvrages les plus sensibles du sous-sol industriel : les épreuves de résistance et d'étanchéité des tronçons neufs de gazoducs, d'oléoducs et de conduites de produits chimiques, et la surveillance de ces épreuves. Le fichier revendiqué, avec ses champs « numéro d'agrément », « organisme de rattachement », « date de naissance » et « numéro de téléphone portable » (description de FrenchBreaches), correspond à ce que ce type d'outil gère : la liste nominative des experts habilités que chaque organisme doit communiquer au ministère. Le pirate cite APAVE Exploitation France ; la liste des organismes habilités comprend aussi, selon les arrêtés publiés sur AIDA, Bureau Veritas, ASAP ou GRTgaz SEC. Nous n'avons pas vu les fichiers et ne pouvons ni confirmer leur authenticité ni leur périmètre exact ; 14 656 enregistrements ne signifient pas 14 656 personnes distinctes.
| Ce que les Hauts-de-France ont sous les pieds | Chiffre | Source, date |
|---|---|---|
| Canalisations de transport de matières dangereuses dans la région | ≈ 5 000 km | Page « Canalisations de gaz et matières dangereuses », DREAL Hauts-de-France, capture d'archive du 22 janvier 2026 (page inaccessible au 7/09) |
| Réseaux de distribution de gaz naturel dans la région | 25 000 km | Même page |
| Canalisations de transport en France | 51 000 km (37 000 gaz, 10 000 hydrocarbures, 4 000 produits chimiques) | Géorisques |
| Établissements Seveso dans la région | 154, dont 95 seuil haut, « 2e région de France » | Préfecture de région, 3 mai 2021 |
| Effectif de la DREAL Hauts-de-France | « près de 830 personnes » | Préfecture de région, page datée du 17 décembre 2015 |
Les chiffres régionaux les plus récents sont hébergés sur le site hors ligne ; nous reproduisons les valeurs telles qu'archivées, avec leur date. Par une lecture simple, la région porte environ un dixième du réseau national de transport de matières dangereuses.
Le scénario que redoutent les responsables de sites : l'inspecteur imité avec ses vraies coordonnées
Depuis un an, cette rubrique a décrit l'hameçonnage qui suit chaque fuite d'administration : après la DGFiP, les faux courriels de « régularisation » ont précédé le vrai courrier de notification (notre article du 19 août). La fuite du ministère de la Transition écologique ouvre un scénario différent et plus ciblé, parce que les deux fichiers se complètent. Le premier donne le nom, l'unité, le matricule, le login et le téléphone d'agents du ministère, dont, selon les extraits décrits, des comptes du Commissariat général au développement durable. Le second donne l'identité, la date de naissance, le numéro d'agrément et le mobile de contrôleurs d'organismes privés qui, par métier, se présentent sur des sites industriels avec l'autorité d'un mandat de l'État. Une PME qui exploite une installation classée dans les Hauts-de-France, ou qui intervient comme sous-traitant sur une plateforme Seveso, est exposée à trois variantes. Un courriel qui semble venir d'un agent nommé de la DREAL ou d'une DDTM, avec la bonne unité et le bon numéro de poste, demandant l'envoi « urgent » d'un rapport, d'un plan ou d'une connexion à un portail. Un appel ou un SMS d'un « contrôleur » dont le numéro d'agrément est exact, annonçant une visite ou demandant des accès. Ou, plus lent, une reconstitution des programmes d'épreuves pour savoir quel tronçon est testé quand et par qui. La fiche réflexe hameçonnage de Cybermalveillance.gouv.fr couvre le premier cas ; les deux autres relèvent de la procédure d'accueil de l'entreprise.Six vérifications pour un exploitant ou un sous-traitant de site classé
- Rappeler par un numéro que vous possédez déjà. Le numéro d'un inspecteur ou d'un contrôleur qui figure dans un courriel ou un SMS n'a plus de valeur de preuve : l'attaquant l'a peut-être aussi. Utilisez le standard de l'unité départementale ou de l'agence de l'organisme, tel qu'il figure dans vos dossiers antérieurs.
- Exiger le programme d'épreuve par le canal habituel. Une épreuve de canalisation est annoncée à la DREAL cinq ou dix jours ouvrables avant ; un contrôleur qui arrive sans que le transporteur ou l'exploitant ait la trace de cette programmation est une anomalie, quel que soit son badge.
- Ne jamais ouvrir un accès physique ou logique sur simple courriel. Les demandes d'accès distant, de création de compte ou de transmission de plans se valident par un second canal et par la personne qui suit le dossier.
- Repérer l'usurpation d'unité. Les 942 unités listées dans le fichier permettent d'écrire au nom d'un service précis. Vérifiez que l'unité citée est bien celle qui suit votre site — un exploitant du Valenciennois qui reçoit un courriel d'une unité du Pas-de-Calais doit s'interroger.
- Prévenir l'organisme de contrôle lui-même. Si vous employez ou recevez des contrôleurs d'APAVE, Bureau Veritas ou d'un autre organisme habilité, demandez-leur s'ils ont notifié leurs experts et quelles consignes ils appliquent aux prises de rendez-vous jusqu'à nouvel ordre.
- Conserver les preuves. Courriels, numéros appelants, horaires : en cas d'usurpation avérée, ce sont les éléments que la plainte et le signalement à Cybermalveillance.gouv.fr demanderont.
IDOR et API mal configurée : deux mots que les dirigeants de PME devraient poser à leur prestataire web
Le pirate ne revendique ni exploit sophistiqué ni logiciel malveillant. Il décrit deux défauts de conception que l'OWASP classe depuis 2023 en tête de sa liste des risques des interfaces de programmation : « Broken Object Level Authorization », dont l'IDOR est la forme la plus connue. Le principe tient en une phrase : une application affiche la fiche numéro 1 234 à l'utilisateur qui la demande, sans vérifier que cet utilisateur a le droit de voir la fiche 1 234. Il suffit alors d'incrémenter le numéro pour lire les 14 655 autres. La « mauvaise configuration d'API » d'un service d'authentification, elle, désigne un point d'entrée qui répond sans exiger ou sans contrôler correctement une session. Nous n'avons aucun moyen de confirmer ces deux affirmations pour OISO ; la confirmation officielle porte sur « la compromission de certains comptes utilisateurs », ce qui n'est pas contradictoire. Ce qui rend l'affaire utile à une PME des Hauts-de-France, c'est que ces deux défauts sont exactement ceux que l'on retrouve dans un extranet client, un portail de suivi de commandes ou une application métier développée sur mesure. La fuite Alaxione, en août, passait par un environnement de préproduction oublié (notre analyse) ; celle-ci passerait par un contrôle d'autorisation absent. Aucun des deux ne nécessite un attaquant d'État. La question à poser au prestataire ou au développeur interne n'est donc pas « sommes-nous protégés ? » mais « qui vérifie, pour chaque objet renvoyé par l'API, que le demandeur a le droit de le voir, et ce test fait-il partie de la recette ? ».Ce que l'État s'était promis : une feuille de route en avril, une unité d'urgence en août, NIS2 toujours pas transposée
La chronologie est embarrassante pour l'administration. Le 9 avril 2026, l'ANSSI publiait — fait inhabituel — sa feuille de route 2026-2027 de la sécurité numérique de l'État, en écrivant que « les multiples incidents et fuites de données qui ont affecté en 2025 les systèmes d'information des ministères et des établissements dont ils ont la tutelle rappellent la persistance de fragilités dans ces infrastructures », et en la plaçant « dans la perspective de la mise en conformité des administrations de l'État à la directive NIS 2 ». Le 19 août, après le vol de données de la DGFiP, le Premier ministre Sébastien Lecornu demandait à l'ANSSI une « nouvelle unité cyber » et jugeait que « peu de ministères sont au niveau requis » (AFP via Boursorama). Le 31 juillet, la fuite de l'Éducation nationale ; le 2 septembre, celle de la Transition écologique. Le Panorama de la cybermenace 2025 donnait la mesure de l'exposition : 3 586 événements de sécurité traités, 1 366 incidents, et « les ministères et les collectivités territoriales » comme deuxième secteur le plus visé, à 24 %, derrière l'éducation et la recherche. Pendant ce temps, le projet de loi « Résilience » qui transpose NIS 2 — et qui s'applique aussi aux administrations — attend toujours sa séance publique à l'Assemblée nationale, reportée « au plus tôt » à cette rentrée (notre article du 16 juillet). Et vendredi 11 septembre, dans quatre jours, entre en application la première obligation du Cyber Resilience Act, le signalement en 24 heures des vulnérabilités exploitées par les fabricants (notre décompte du 26 août) : l'État va demander aux entreprises une discipline de notification qu'il peine à s'appliquer. Pour les entreprises régionales, la leçon n'est pas morale mais pratique. Les administrations avec lesquelles elles échangent — DREAL, DDTM, DGFiP, rectorats — sont désormais, chacune à leur tour, des sources de données d'usurpation. Le réflexe de rappel par un canal connu, décrit plus haut, devient une procédure permanente, pas une consigne d'incident. Et la question de l'authentification résistante à l'hameçonnage (notre guide passkeys et FIDO2), que l'ANSSI a elle-même mise à sa feuille de route, vaut pour un cabinet d'expertise de vingt personnes comme pour un ministère.Ce que nous ne savons pas
- La cause de l'indisponibilité du site régional. Compromission propre, hébergement mutualisé coupé par précaution, ou remise en ligne progressive : rien n'est public. Nous n'avons pas de réponse de la DREAL Hauts-de-France, que nous n'avons pas sollicitée pour ce premier article.
- L'authenticité et le périmètre des fichiers. Le ministère confirme une attaque et des « suspicions de compromission de certains comptes », pas les deux jeux de données ni leurs volumes.
- La part régionale des 14 656 enregistrements. Le fichier comporte un champ d'organisme mais, dans les extraits décrits, pas de région ; les arrêtés d'habilitation imposent pourtant aux organismes un compte rendu annuel « par région administrative concernée ».
- La messagerie des services déconcentrés des Hauts-de-France. Seule la Creuse a communiqué.
- La date de l'intrusion initiale et la durée d'accès du pirate, non précisées par lui ni par le ministère.
Point d'étape
Nous relèverons chaque matin l'état du site de la DREAL Hauts-de-France et d'OISO, et nous mettrons à jour cet article à la remise en ligne, à la première communication régionale, ou à la notification des personnes concernées. Si vous exploitez un site classé dans la région et avez reçu un courriel ou un appel suspect se réclamant de la DREAL ou d'un organisme de contrôle depuis le 24 août, vous pouvez nous l'écrire.
Questions fréquentes
Le site de la DREAL Hauts-de-France est-il vraiment hors ligne à cause de la cyberattaque ?
Il est inaccessible (code HTTP 503, page « Maintenance en cours ») au moins depuis le 2 septembre et encore le 7 septembre à 11 h 40, alors que les douze autres sites régionaux du même réseau répondent. Le ministère a confirmé une attaque et l'ANSSI a prévenu que ses mesures de remédiation pouvaient interrompre des services. Le lien de cause à effet pour ce site précis n'a pas été confirmé officiellement.
Qu'est-ce qu'OISO et qui y a des données ?
OISO, « Outil Informatique de Surveillance des Organismes », est l'application par laquelle les organismes habilités (APAVE, Bureau Veritas et autres) déclarent aux DREAL leurs épreuves sur les canalisations de transport de gaz, d'hydrocarbures et de produits chimiques, selon les arrêtés d'habilitation. Le pirate revendique un fichier de 14 656 enregistrements de contrôleurs avec identité, date de naissance, numéro d'agrément, organisme et mobile.
Je suis une PME sans installation classée : suis-je concernée ?
Indirectement. Les 8 166 comptes d'agents revendiqués permettent d'écrire au nom d'un service précis du ministère ou d'une DDT(M). Toute entreprise qui échange avec ces services — transport routier, urbanisme, logement, environnement — peut recevoir un courriel usurpé crédible. Le réflexe est de rappeler par un numéro que vous possédez déjà, jamais par celui du message.
Qu'est-ce qu'une faille IDOR ?
Une référence directe non sécurisée à un objet : l'application renvoie la fiche demandée par son numéro sans vérifier que l'utilisateur a le droit de la voir. En incrémentant le numéro, on lit toute la base. L'OWASP classe ce défaut d'autorisation en tête des risques des API depuis 2023. C'est ce que le pirate revendique contre OISO, sans confirmation officielle.
Que doit faire un exploitant de site Seveso ou ICPE des Hauts-de-France cette semaine ?
Rappeler l'inspection ou l'organisme de contrôle par ses numéros habituels avant tout envoi de document ou ouverture d'accès ; exiger la trace de programmation de toute épreuve annoncée ; vérifier que l'unité qui écrit est bien celle qui suit le site ; interroger ses organismes de contrôle sur les consignes données à leurs experts ; conserver les courriels et numéros suspects pour la plainte.
Sources
- Relevé Synapse Picardie des sites du réseau developpement-durable.gouv.fr, 7 septembre 2026, 11 h 40 et 11 h 46 (heure de Paris)
- franceinfo — « Plusieurs sites gouvernementaux liés au ministère de la Transition écologique inaccessibles mercredi à la suite d'une cyberattaque », 2 septembre 2026
- KultureGeek — « Le ministère de la Transition écologique confirme une cyberattaque après avoir évoqué un “incident informatique” », 3 septembre 2026 (déclarations du ministère et de l'ANSSI à l'AFP)
- Génération-NT — « Panne au ministère de la Transition écologique, plusieurs sites gouvernementaux inaccessibles », 2 septembre 2026 (communiqué de la préfecture de la Creuse)
- Business Times — « Incident informatique : plusieurs sites de l'État indisponibles », 3 septembre 2026
- FrenchBreaches — « Cyberattaque au ministère de la Transition écologique : les données de milliers d'utilisateurs et contrôleurs revendiquées », 2 septembre 2026, mis à jour 20 h 40
- LeMagIT — Cyberhebdo du 4 septembre 2026
- Arrêté du 17 décembre 2021 portant renouvellement d'habilitation de l'organisme APAVE (R. 554-44 du code de l'environnement), AIDA/Ineris, JO du 5 janvier 2022 — article 2, mention d'OISO
- DREAL Hauts-de-France — « Canalisations de gaz et matières dangereuses » (page inaccessible au 7/09 ; valeurs lues sur la capture Internet Archive du 22 janvier 2026) et page d'accueil (capture du 9 juin 2026)
- Géorisques — Canalisations de transport de matières dangereuses (51 000 km en France)
- Préfecture de la région Hauts-de-France — réunion annuelle des établissements Seveso, 3 mai 2021 (154 établissements, 95 seuil haut)
- Préfecture de la région Hauts-de-France — La DREAL Hauts-de-France (près de 830 personnes)
- ANSSI — Feuille de route des efforts prioritaires en matière de sécurité numérique de l'État 2026-2027, 9 avril 2026
- ANSSI — Panorama de la cybermenace 2025, 11 mars 2026
- AFP/Boursorama — « Cyberattaques : Lecornu demande la création d'une “nouvelle unité cyber” », 19 août 2026
- OWASP API Security Top 10 (2023) — API1 Broken Object Level Authorization
- Cybermalveillance.gouv.fr — fiche réflexe hameçonnage ; CERT-FR — alertes de sécurité
À lire également sur Synapse
- Cyberattaque de l'Éducation nationale : deux académies ont fait leur rentrée sur papier
- Piratage des impôts : la DGFiP écrit à 250 000 professionnels, et les faux courriels sont déjà là
- Cyber Resilience Act, J-16 : 24 heures pour signaler une faille exploitée
- NIS2 : la France traînée devant la justice européenne pour son retard
- Fuite Alaxione : le pirate dit être entré par la préproduction
- Passkeys, FIDO2 et MFA résistant au phishing : guide opérationnel pour TPE et PME
