Mot de passe volé, Freedom.gov et euro numérique : la semaine où tout s’est fissuré

L’État français se fait voler 1,2 million de données bancaires avec un identifiant volé. L’administration Trump confie un « VPN de la liberté » à une activiste du Premier Amendement et à un gamin de 20 ans qui fréquentait des forums cybercriminels. Et l’Europe, imperturbable, annonce vouloir numériser notre monnaie. Semaine du 19 février 2026 : trois continents d’incompétence en une leçon.

Acte I : FICOBA, la faille qui n’en était pas une

Commençons par chez nous, puisque c’est toujours là que ça pique le plus.

Le fichier FICOBA (le registre national des comptes bancaires géré par la Direction générale des Finances publiques) a été compromis fin janvier. RIB, IBAN, identité, adresses postales, identifiants fiscaux de 1,2 million de titulaires de comptes : tout y est passé. Le kit parfait pour alimenter des campagnes d’usurpation d’identité et de fraude bancaire pendant des années.

Le plus beau dans l’histoire ? Ce n’est même pas un hack. Pas de faille zero-day, pas de malware furtif, pas de groupe APT étatique. Un vol d’identifiants. De l’ingénierie sociale, version enfantine. Quelqu’un a récupéré le mot de passe d’un fonctionnaire et s’est connecté comme si de rien n’était, parce que visiblement, un accès à l’un des fichiers les plus sensibles de l’administration française ne nécessite ni authentification multifacteur, ni contrôle d’accès digne de ce nom.

Benoit Grünemwald, expert chez ESET France, pointe les « limites en matière de gestion des identités, d’authentification et de contrôle des accès dans des systèmes complexes ». Ce qu’il appelle poliment des « limites », tout sysadmin nomme négligence : MFA absent, contrôles illusoires, en 2026.

Le même État, rappelons-le, qui peine déjà à protéger les données fiscales de ses contribuables crypto, où une fonctionnaire des impôts de Bobigny avait été prise la main dans le sac, en train de vendre des informations sur des investisseurs à des réseaux criminels. FICOBA n’est pas un incident isolé. C’est un symptôme chronique d’un État qui centralise frénétiquement les données de ses citoyens tout en traitant leur sécurité comme une ligne budgétaire optionnelle.

Et c’est le même État qui veut vérifier votre identité sur les réseaux sociaux et vous confier un euro numérique. Retenez bien ce contexte.

Acte II : Freedom.gov, les gens derrière le rideau

Changement de décor, même semaine. L’administration Trump prépare un portail baptisé Freedom.gov destiné à offrir aux Européens un VPN gouvernemental gratuit pour contourner les lois de leurs propres pays. Selon Reuters, le site hébergerait sur des serveurs américains les contenus retirés en Europe (y compris ce qui relève de la propagande terroriste et des discours de haine au sens du DSA) et ferait transiter votre connexion de sorte que vous apparaissiez comme naviguant depuis les États-Unis.

On nous promet que ni votre identité, ni votre activité ne seraient enregistrées. Avant de décider si cette promesse vaut quelque chose, regardons de plus près qui porte ce projet.

Sarah Rogers : l’avocate du Premier Amendement aux commandes

Le portail est supervisé par Sarah B. Rogers, sous-secrétaire d’État à la diplomatie publique, confirmée par le Sénat en octobre 2025. Son parcours n’est pas celui d’une bureaucrate. C’est une avocate combattante, passée par Latham & Watkins, qui a plaidé avec succès devant la Cour suprême une affaire de Premier Amendement sur le « debanking » de voix dissidentes. Elle a défendu la NRA, représenté des fabricants de tabac, et soutenu juridiquement Charlie Kirk contre la modération des réseaux sociaux.

En décembre 2025, Rogers a enregistré une vidéo virale depuis une chambre d’hôtel européenne, récitant des propos qui avaient valu des enquêtes ou des peines de prison en Europe et au Royaume-Uni. Elle a ensuite tourné en Europe début février 2026 (Dublin, Budapest, Varsovie, Munich) pour rencontrer des responsables gouvernementaux et « promouvoir la liberté numérique ». Le sénateur Eric Schmitt lui a écrit pour demander que le Département d’État utilise les sanctions Magnitsky contre ce qu’il appelle le « complexe industriel de la censure mondiale », c’est-à-dire, entre autres, les régulateurs européens.

Rogers n’est pas une figurante. C’est une idéologue du Premier Amendement à portée extraterritoriale, et elle dispose désormais de l’infrastructure du Département d’État pour mettre ses convictions en pratique.

Edward Coristine : « Big Balls » construit votre portail de la liberté

Le volet technique est au moins aussi édifiant. Selon Reuters et Cybernews, Edward Coristine (20 ans, connu en ligne sous le pseudonyme « Big Balls ») travaille sur Freedom.gov dans le cadre du National Design Studio, une initiative Trump lancée en août 2025 pour moderniser les sites gouvernementaux.

Le personnage mérite qu’on s’y arrête. Coristine a été recruté au DOGE d’Elon Musk à 19 ans, sans diplôme universitaire, après un bref passage chez Neuralink. Il a été viré d’un stage chez la société de cybersécurité Path Network pour avoir prétendument divulgué des informations internes à un concurrent. Son réseau de diffusion de contenu (DiamondCDN) a facilité les activités du groupe cybercriminel EGodly. Il possédait des domaines enregistrés en Russie, dont un service de bot Discord pour le marché russe. Brian Krebs, référence mondiale en cybersécurité, a documenté ses liens avec « The Com », un écosystème de forums cybercriminels.

Et c’est à ce personnage que l’administration a confié un accès au Bureau de la technologie diplomatique du Département d’État, soit potentiellement l’ensemble des systèmes informatiques et de gestion des données de la diplomatie américaine.

Mais le détail le plus savoureux au regard de notre sujet est celui-ci : en août 2025, le lanceur d’alerte Charles Borges, chief data officer de la Social Security Administration, a accusé Coristine et d’autres membres du DOGE d’avoir téléchargé les numéros de sécurité sociale de 300 millions d’Américains sur un serveur cloud non sécurisé. Borges a estimé que cette action créait un risque massif d’usurpation d’identité et violait potentiellement plusieurs lois fédérales sur la protection des données gouvernementales.

Résumons. L’administration qui veut « libérer » les Européens de la censure numérique a confié son portail à un ancien du DOGE accusé d’avoir exposé les données personnelles de 300 millions d’Américains sur un serveur vulnérable. C’est cette même administration qui vous promet que Freedom.gov ne tracera pas votre activité.

Le WHOIS qui dit tout

Un dernier détail technique. Cybernews a relevé que dans le registre WHOIS du domaine Freedom.gov, c’est la CISA (Cybersecurity and Infrastructure Security Agency) qui apparaît comme organisation associée, la même CISA où Coristine a obtenu un accès physique aux bâtiments et un email DHS, et dont l’administration Trump a licencié 130 employés, mis en congé administratif les équipes anti-désinformation, et suspendu les activités de sécurité électorale. La CISA, vidée de sa substance, sert désormais de coquille administrative pour un portail d’anonymisation. L’ironie se déguste lentement.

Acte III : La symétrie que personne ne veut voir

Prenons du recul.

Paris perd 1,2 million de comptes bancaires sur un mot de passe volé. Washington expose 300 millions de numéros de sécurité sociale sur un serveur cloud non sécurisé. Et les deux, la même semaine, prétendent mériter votre confiance numérique : l’un pour numériser votre monnaie, l’autre pour anonymiser votre trafic.

L’Europe centralise frénétiquement les données de 350 millions de citoyens (financières, fiscales, bientôt monétaires avec l’euro numérique et l’absorption programmée des systèmes nationaux) tout en traitant leur sécurité comme une ligne budgétaire optionnelle. FICOBA en est la preuve vivante. À l’autre bout du spectre, le seul actif monétaire qui ne demande la confiance de personne continue de fonctionner sans mot de passe volable et sans serveur gouvernemental.

En face, l’Amérique qui a bâti PRISM, XKeyscore et le programme Upstream (celle qui a mis sur écoute Angela Merkel et les câbles sous-marins transatlantiques) vous promet l’anonymat via ses propres serveurs. Mieux : elle a simultanément coupé les financements de Tor et de Let’s Encrypt, les seuls outils d’anonymat réellement indépendants. On élimine ce que personne ne contrôle pour lancer ce que le Département d’État contrôle entièrement.

J’ai longuement documenté comment l’UE a construit un appareil de contrôle du discours en ligne via le DSA, des codes de conduite secrets aux Trusted Flaggers qui modèrent sans mandat ni appel. La critique américaine n’est pas sans fondement. Mais quand le remède consiste à faire transiter votre vie numérique par les serveurs d’un gouvernement qui a prouvé, par ses propres fuites, qu’il ne sait pas davantage protéger vos données, ce n’est plus de la liberté : c’est un transfert de vassalité, camouflé en philanthropie.

Le mot de la fin

La seule posture raisonnable, en 2026, c’est le scepticisme actif. Chiffrez vos murmures numériques. Diversifiez vos chemins. Nourrissez l’indépendant que les empires affament. Et face à un .gov tendu comme un phare de liberté, interrogez l’ombre : qui guette à l’arrivée ?