Pologne : cyberattaque sur ePUAP, le portail e-gouvernement mis hors ligne en urgence

Ce qui s'est passé

Le soir du 10 novembre 2026, à 20h59, le ministre polonais des Affaires numériques Krzysztof Gawkowski a publié une déclaration sur le réseau X pour informer les citoyens qu'une cyberattaque avait été détectée contre ePUAP, la plateforme Elektroniczna Platforma Usług Administracji Publicznej (Plateforme Électronique des Services d'Administration Publique). Selon le ministre, les équipes de sécurité ont réussi à stopper l'attaque et à maintenir la stabilité des systèmes, mais le gouvernement a néanmoins décidé de mettre la plateforme hors ligne à titre préventif pour permettre une évaluation approfondie de son intégrité.

ePUAP est l'épine dorsale de l'administration numérique polonaise. Lancé dans les années 2000 et profondément réformé après 2015, ce portail concentre des dizaines de services administratifs accessibles aux citoyens et aux entreprises : dépôt de formulaires officiels, suivi de dossiers administratifs, communication avec les administrations centrales et locales, et surtout le Zaufany Profil (Profil de Confiance), le système d'identité numérique national qui permet d'authentifier et de signer électroniquement des documents légaux en Pologne. Des millions de Polonais utilisent quotidiennement cette infrastructure pour des démarches aussi variées que les déclarations fiscales, les demandes d'allocations, les inscriptions scolaires ou les interactions avec les administrations de santé.

La mise hors ligne d'ePUAP a immédiatement entraîné l'indisponibilité des boîtes aux lettres électroniques pour l'ensemble des citoyens et des institutions publiques. Un avis officiel du gouvernement polonais précisait que les échanges électroniques entre particuliers et administrations étaient suspendus jusqu'à nouvel ordre. L'impact sur le Profil de Confiance est particulièrement significatif : ce système, qui sert de socle à l'identité numérique légale en Pologne, était également indisponible, bloquant de facto toute démarche administrative nécessitant une authentification forte.

L'agence de renseignement intérieure polonaise, l'ABW (Agencja Bezpieczeństwa Wewnętrznego), a été associée à l'enquête dès les premières heures. Sa présence dans l'investigation signal que les autorités polonaises considèrent la possibilité d'une implication d'un acteur étatique ou para-étatique étranger. La Pologne est en effet depuis plusieurs années une cible régulière de cyberattaques, notamment dans le contexte de la guerre en Ukraine et de sa position de pays de l'OTAN en première ligne vis-à-vis de la Russie et de la Biélorussie.

À l'heure de la publication des premiers rapports, le 11 novembre 2026, les autorités polonaises n'avaient attribué publiquement l'attaque à aucun groupe ou État. Aucune organisation criminelle ni aucun acteur étatique n'avait non plus revendiqué l'opération. Cette absence de revendication immédiate est cohérente avec le mode opératoire des opérations d'influence ou d'espionnage, qui cherchent généralement à maximiser la perturbation sans exposer leurs auteurs — contrairement aux groupes ransomware qui ont intérêt à se manifester pour négocier une rançon.

Le contexte régional donne des éléments d'analyse importants. En 2025, la Pologne avait déjà subi une cyberattaque majeure contre son réseau électrique, attribuée depuis à des acteurs liés à la Russie. En 2024, plusieurs pays baltes et la Pologne avaient signalé des campagnes DDoS coordonnées contre leurs infrastructures gouvernementales, revendiquées par des groupes hacktivistes pro-russes comme NoName057(16). Le timing de cette attaque contre ePUAP — quelques jours après les commémorations nationales du 11 novembre, Fête de l'Indépendance polonaise — correspond à une période de symbole national fort, que des acteurs adverses ont souvent choisi pour maximiser l'impact psychologique de leurs opérations.

Du point de vue technique, le vecteur d'attaque n'a pas été divulgué publiquement. La décision de mise hors ligne préventive plutôt que d'une correction à chaud suggère que les équipes techniques ne pouvaient pas garantir avec certitude que l'attaque n'avait pas laissé de portes dérobées ou de persistence dans l'infrastructure. Cette prudence est justifiée : dans plusieurs incidents passés impliquant des plateformes gouvernementales européennes, des correctifs appliqués précipitamment avaient laissé des accès résiduels exploitables.

Le gouvernement polonais n'avait pas communiqué de calendrier précis pour le rétablissement complet du service au moment de la rédaction de cet article. Des sources proches du dossier évoquaient une évaluation complète de l'infrastructure avant toute remise en ligne, ce qui pourrait impliquer des délais significatifs pour les millions d'utilisateurs dépendants d'ePUAP pour leurs démarches administratives.

Pourquoi c'est important

Cette attaque contre ePUAP s'inscrit dans une tendance documentée : les infrastructures e-gouvernement des pays membres de l'OTAN frontaliers de la Russie sont devenues des cibles prioritaires d'opérations de déstabilisation depuis le début de la guerre en Ukraine. Ces opérations ont un double objectif stratégique — perturber le fonctionnement administratif interne du pays cible tout en envoyant un signal politique aux citoyens sur la vulnérabilité de leurs gouvernements. La Pologne, qui a été l'un des soutiens les plus actifs à l'Ukraine depuis 2022, est particulièrement exposée à ce type de représailles.

L'attaque met également en lumière la fragilité structurelle des architectures e-gouvernement centralisées. ePUAP concentre en un seul point d'entrée l'accès à des dizaines de services critiques. Cette centralisation, pensée pour améliorer l'expérience utilisateur et réduire les coûts d'infrastructure, crée mécaniquement un point de défaillance unique (Single Point of Failure) dont l'exploitation peut paralyser l'ensemble de l'administration numérique d'un pays. La question de la résilience par la décentralisation — ou par la multiplication des points d'entrée redondants — se pose avec acuité pour toutes les architectures nationales d'e-gouvernement en Europe.

Pour les entreprises et organisations qui utilisent ePUAP dans leurs échanges avec l'administration polonaise — notamment les filiales d'entreprises internationales présentes en Pologne — l'indisponibilité de la plateforme crée des délais administratifs potentiellement coûteux. Des dossiers de conformité, des demandes d'autorisation ou des déclarations réglementaires soumis via ePUAP ne peuvent être traités pendant la période d'indisponibilité, avec des effets en cascade sur les délais légaux.

Du point de vue des politiques publiques, cet incident va probablement nourrir les discussions au niveau de l'UE sur la résilience des infrastructures critiques numériques des États membres. La directive NIS2, entrée en vigueur en 2024, impose aux États membres de protéger leurs infrastructures numériques essentielles, et les plateformes e-gouvernement de l'envergure d'ePUAP entrent clairement dans ce périmètre. La capacité des autorités polonaises à répondre rapidement et à limiter l'impact sera analysée comme un cas d'usage des mécanismes de résilience NIS2 en situation réelle.

Ce qu'il faut retenir

• ePUAP, le portail e-gouvernement central de la Pologne utilisé par des millions de citoyens, a été mis hors ligne après une cyberattaque détectée le 10 novembre 2026, perturbant les services administratifs et le système d'identité numérique national.
• L'ABW enquête sur l'incident ; aucune attribution n'a été faite publiquement, mais le contexte géopolitique (Pologne, OTAN, guerre en Ukraine) oriente les soupçons vers des acteurs étatiques adverses.
• Cet incident illustre la vulnérabilité des architectures e-gouvernement centralisées et la nécessité de plans de résilience et de continuité numérique robustes pour les services publics critiques.