Pourquoi les hackers sont-ils si jeunes ?

Quatre millions de fiches, cinq gamins

Le 23 juin 2026, l'Office anti-cybercriminalité interpelle cinq personnes soupçonnées d'appartenir à un collectif baptisé « Marak ». Cible : la santé. Hôpitaux, cliniques, entreprises médicales. Bilan : près de quatre millions de fiches de patients dérobées. Identités, données administratives, suivi médical. Les cinq suspects ont entre 16 et 22 ans.

L'enquête a démarré un an plus tôt, après le piratage d'une clinique de la Loire. Rien d'exceptionnel, d'ailleurs : deux semaines auparavant, le même office démantelait « Dumpsec », sept interpellations et plus de 1 500 victimes. Là encore, des gamins.

Le hacker n'a pas le visage qu'on croit

Oubliez le génie encapuchonné tapi dans la pénombre. La réalité est plus banale, et plus dérangeante : un ado dans sa chambre. Quatre mécanismes l'expliquent, et ils se renforcent l'un l'autre.

Un cerveau câblé pour le risque. Entre 15 et 25 ans, le cerveau n'est pas terminé. La zone qui pèse les conséquences et freine les impulsions, le cortex préfrontal, mûrit en dernier. Le circuit de la récompense, lui, tourne déjà à plein régime. On sous-estime le danger, on se croit intouchable, les conséquences restent une abstraction. Ajoutez du temps libre à revendre, sans travail ni charges de famille, et vous obtenez le terrain rêvé pour explorer sans relâche.

Une barrière qui a sauté. Pirater ne réclame plus d'être un prodige. Tutos en accès libre, communautés d'entraide sur Discord et Telegram, outils clés en main, services de cybercriminalité qui se louent comme un abonnement Netflix. Le mythe du surdoué solitaire est mort. Aujourd'hui, il faut de la curiosité, de la méthode, et du temps. Rien d'autre.

La gloire avant l'argent. On imagine l'appât du gain. Chez les plus jeunes, le carburant est ailleurs : le défi, l'ennui, la reconnaissance des pairs. Dans ces cercles, la réputation est la seule monnaie qui compte. On grimpe dans une hiérarchie invisible, on vise le coup d'éclat. Et c'est précisément ce qui les perd. Ils se vantent, revendiquent, signent leurs exploits. La discipline vient avec l'âge, et la plupart se font cueillir avant de l'avoir acquise.

Des victimes invisibles. Derrière un écran, quatre millions de fiches ne pèsent pas quatre millions de vies. Ce sont des lignes dans un fichier. Cette distance anesthésie. On commence par une curiosité grise, « est-ce que j'en suis capable ? », puis on glisse, un cran après l'autre, la justification déjà prête : « je montre juste qu'ils étaient mal protégés ». On ne se sent pas criminel. On se sent malin.

Le piège du fait divers

Attention à l'angle mort que les gros titres oublient. Si les hackers paraissent si jeunes, c'est d'abord parce que les jeunes sont ceux qu'on attrape.

Les acteurs vraiment dangereux ne font jamais la une. Rançongiciels professionnels, groupes soutenus par des États : organisés, disciplinés, patients, et ils ne se font pas prendre. Marak et Dumpsec, c'est la partie émergée de l'iceberg. La plus bruyante, la plus maladroite. Pas la plus menaçante. « Les pirates sont jeunes » décrit ce que les arrestations donnent à voir, pas la réalité de la menace. La nuance est capitale quand on parle des données de nos hôpitaux.

Alors, on fait quoi ?

Pointer du doigt ne suffit pas. La bonne nouvelle, c'est qu'on sait exactement quoi faire. Deux chantiers à mener de front. Un évident, un négligé.

Verrouiller les portes. Commençons par l'évidence. Si les données de santé fuient presque chaque semaine, ce n'est pas parce qu'une infirmière a cliqué sur le mauvais lien. C'est parce que les applications qui les hébergent sont des passoires. La faille reine s'appelle l'IDOR : il suffit souvent de changer un chiffre dans une adresse web pour tomber sur le dossier du patient d'à côté, faute de contrôle d'accès digne de ce nom. Une faille connue depuis vingt ans. Toujours partout. Le vrai coupable n'est pas l'humain, c'est la dette. Dette technique de systèmes bricolés et jamais corrigés. Dette de gouvernance d'organisations qui n'ont jamais mis la sécurité en haut de la pile. La réponse est aussi barbante qu'urgente : combler cette dette, maintenant. Contrôle d'accès sérieux, tests offensifs réguliers, audits qui mordent. C'est évident. Faisons-le, et passons au vrai sujet.

Canaliser les talents. Voilà le chantier dont personne ne parle, et c'est le plus important. Réfléchissez une seconde. Le gamin qui a trouvé comment aspirer quatre millions de dossiers fait exactement le même geste qu'un consultant en sécurité payé six chiffres pour ça. Même compétence, même curiosité, même acharnement. Toute la différence tient en un mot : l'autorisation. Un contrat, et il devient un professionnel que tout le monde s'arrache. Sans contrat, il devient un casier judiciaire.

Or l'Europe cherche désespérément des dizaines de milliers de spécialistes en cybersécurité. Nous creusons des trous béants dans nos effectifs, et pendant ce temps nous menottons précisément le profil que nous peinons à recruter. C'est absurde. Chaque ado arrêté est un défenseur que nous avons laissé filer.

Pourquoi basculent-ils du mauvais côté ? Pas par méchanceté. Par facilité. La voie illégale offre tout, tout de suite : l'adrénaline, une communauté qui applaudit, un tableau des scores, zéro barrière. La voie légale, elle, réclame un bac +5, de la patience, des portes à pousser, et des mois d'ennui avant la première mission un peu excitante. À talent égal, nous perdons la course au recrutement sur l'expérience proposée. Nous offrons un parcours du combattant là où l'autre camp offre un jeu vidéo.

Renversons la logique, car la France a déjà les outils, et ils marchent. Les plateformes de bug bounty comme YesWeHack, fleuron français, paient des chercheurs pour trouver légalement les failles des entreprises : de l'argent, de la réputation, et pas de casier. Chaque année, l'ANSSI, notre agence nationale, organise le France Cybersecurity Challenge, un concours de hacking ouvert dès 14 ans qui a réuni plus de 2 000 joueurs en 2026 et sélectionne l'équipe de France pour le championnat européen. Des plateformes d'entraînement comme Root-Me ou Hackropole laissent s'exercer autant qu'on veut sans rien casser de réel. Le frisson, la communauté, le classement, la gloire : tout ce que cherche l'ado existe déjà, du bon côté de la loi.

Le problème n'est donc pas l'absence d'alternatives. C'est le calendrier. Nous arrivons trop tard. On tend la main à ces jeunes à vingt ans, devant un juge, quand il fallait les capter à quatorze, dans un club de lycée, avant que le mauvais serveur Discord ne s'en charge. D'autres pays l'ont compris et redirigent leurs primo-délinquants vers des carrières légales plutôt que vers la case prison. Le calcul est simple : convertir un talent coûte infiniment moins cher que réparer une fuite et instruire un procès. Et ça transforme une menace en rempart.

Parce qu'un ado de seize ans qui trouve une faille n'est pas Al Capone. C'est un talent brut qui attend qu'on lui montre la bonne porte. Notre seul travail, c'est d'y arriver avant l'autre camp.