Le 20 avril 2026, la Brigade de Lutte contre la Cybercriminalité (BL2C) interpellait en Vendée un homme de 21 ans connu sous l’alias HexDex. En moins de cinq mois — du 19 décembre 2025 au moment de son arrestation — ce profil inconnu des services avait accumulé une centaine de signalements de piratage ciblant des organismes publics et des fédérations sportives françaises. Mis en examen et placé en détention provisoire, il est désormais au cœur d’une affaire qui en dit long sur l’état réel de la cybersécurité des structures françaises.

Un bilan qui donne le vertige

La liste des victimes présumées de HexDex est aussi longue que diversifiée. Parmi les cibles identifiées par l’enquête :

Une dizaine de fédérations sportives nationales — voile, athlétisme, motorisme, gymnastique, ski, rugby à XIII, aïkido, sports universitaires, alpinisme, escalade, sports handisport — compromises via Exalto, leur prestataire informatique commun
Le ministère de l’Éducation nationale, via la base de données RH “Compas” : les données de 243 000 agents (essentiellement des enseignants) exfiltrées
La préfecture de la Moselle
L’Agence nationale de cohésion des territoires (ANCT)
La plateforme e-campus de la Police nationale

La méthode était simple, presque industrielle : identifier des systèmes insuffisamment sécurisés, exploiter des failles existantes, extraire les bases de données, puis les revendre sur des plateformes spécialisées — principalement BreachForum et Darkforum.

Un profil sans compétences avancées

Ce qui frappe dans cette affaire, c’est l’absence apparente de sophistication technique. HexDex n’est pas un attaquant d’État, pas un groupe de cybercriminels organisé, pas un expert en sécurité retourné malveillant. Les éléments communiqués par le parquet dressent le portrait d’un jeune homme sans moyens particuliers, qui s’est appuyé sur des vulnérabilités connues — des failles documentées, souvent non corrigées — pour compromettre des systèmes dont le niveau de protection était insuffisant.

Ce profil a un nom dans la communauté sécurité : script kiddie. Historiquement, le terme désigne quelqu’un qui utilise des outils et des exploits développés par d’autres, sans en comprendre vraiment les mécanismes. Un attaquant opportuniste plutôt que compétent.

Ce qui change en 2026, c’est l’échelle à laquelle ce type de profil peut opérer.

L’IA comme amplificateur de la menace

L’affaire HexDex s’inscrit dans une tendance documentée par plusieurs acteurs de la cybersécurité : l’intelligence artificielle abaisse drastiquement la barre d’entrée dans la cybercriminalité.

Des attaques qui nécessitaient autrefois des semaines de travail et des équipes entières peuvent désormais être initiées, structurées et automatisées par un opérateur unique donnant des instructions en langage naturel à un modèle de langage. La reconnaissance des cibles, l’identification des vecteurs d’attaque, la rédaction de messages de phishing convaincants, la structuration de bases de données exfiltrées pour la revente — autant d’étapes qui s’automatisent.

Ce n’est pas de la science-fiction. En mai 2026, les équipes de Google ont documenté pour la première fois une faille zero-day entièrement conçue par une IA. Des outils comme HexStrike-AI, détectés dans le milieu souterrain, permettent à des profils peu techniques d’orchestrer des campagnes d’attaques à grande échelle.

HexDex n’est peut-être qu’un exemple précoce de cette nouvelle génération d’attaquants : non pas des experts, mais des opportunistes capables de passer à l’échelle grâce aux outils que la technologie met à leur disposition.

La vraie leçon : le niveau de sécurité moyen reste trop bas

Un acteur sans compétences avancées, agissant seul, a réussi à compromettre une centaine d’organismes en cinq mois. Ce chiffre n’est pas un indicateur de la puissance de l’attaquant — c’est un indicateur du niveau de sécurité moyen des cibles.

Comme le relèvent plusieurs analyses de l’affaire, le problème n’était pas la sophistication de la menace, mais le niveau de protection insuffisant des traitements visés. Des failles non corrigées, des systèmes accessibles sans authentification forte, des prestataires mutualisés sans cloisonnement suffisant — autant de conditions qui transforment un script kiddie en menace crédible.

Les questions à se poser face à ce type d’affaire ne sont pas “sommes-nous assez avancés techniquement pour résister à un groupe étatique ?” mais plutôt :

Nos systèmes exposés appliquent-ils les correctifs de sécurité disponibles ?
Avons-nous une visibilité sur ce que nos prestataires hébergent en notre nom ?
Nos bases de données sont-elles accessibles uniquement aux personnes qui en ont besoin ?
En cas d’exfiltration, saurions-nous le détecter — et en combien de temps ?

Ce que ça change pour les petites structures

Les fédérations sportives et les organismes publics ne sont pas les seuls concernés. Les TPE et PME présentent souvent les mêmes caractéristiques structurelles : systèmes non mis à jour, prestataires mutualisés, peu de visibilité sur l’activité réseau, absence de plan de réponse à incident.

La différence, c’est que les petites structures n’ont souvent pas les ressources pour analyser leur exposition et corriger ce qui doit l’être. C’est précisément là qu’un état des lieux ciblé apporte de la valeur : non pas pour tout sécuriser d’un coup, mais pour identifier les points de rupture les plus exploitables et les traiter par ordre de priorité.

L’affaire HexDex est une illustration concrète d’une réalité qui ne va pas s’améliorer : des attaquants de plus en plus accessibles à l’entrée, des outils de plus en plus puissants, et des cibles dont le niveau de protection n’a pas suivi. Attendre d’être dans la liste des victimes pour agir, c’est prendre un risque calculé — mais rarement en connaissance de cause.

Vous souhaitez savoir où en est votre exposition ? Un diagnostic cyber permet d’identifier rapidement les failles prioritaires, sans jargon et sans engagement.

Sources : franceinfo — CNews — Europe 1 — CybelAngel — Solutions Numériques — leto.legal