Télécoms, banques, services publics, hôpitaux, fédérations sportives, boutiques en ligne, plateformes de livraison… Depuis quelques mois, il devient presque plus rapide de dresser la liste des entreprises françaises qui n’ont pas encore annoncé de fuite de données.
La dernière étude publiée par Surfshark enfonce le clou : 43,4 millions de comptes associés à la France auraient été compromis entre janvier et juin 2026. Cela représente une hausse de 62,3 % par rapport au second semestre 2025. La France serait désormais le pays européen le plus touché et le deuxième au monde derrière les États-Unis, qui totalisent 90,8 millions de comptes compromis sur la même période.
Un chiffre spectaculaire. Peut-être même un peu trop spectaculaire pour être balancé sans explication.
Non, 43,4 millions de Français n’ont pas été piratés
L’étude de Surfshark ne compte pas des personnes uniques, mais des comptes ou adresses électroniques présents dans des bases de données divulguées. Lorsqu’une même adresse e-mail apparaît dans trois fuites différentes, elle est donc comptabilisée trois fois.
À l’échelle mondiale, Surfshark estime d’ailleurs qu’une adresse électronique compromise apparaît en moyenne dans trois fuites distinctes. La société précise également que ses statistiques peuvent être révisées à mesure que de nouvelles bases sont découvertes.
La localisation des victimes est, elle aussi, reconstituée à partir de différents indices : domaine du site piraté, pays renseigné, adresse IP, ville, langue du compte, devise ou encore numéro de téléphone. Surfshark reconnaît donc que l’attribution à un pays ne peut pas être exacte à 100 %.
Enfin, la date retenue correspond au moment où une base de données est rendue publique ou intégrée aux bases analysées, pas forcément à la date réelle du piratage. Une attaque menée en 2024 peut ainsi gonfler les statistiques de 2025 si les données ne sont apparues sur Internet que plusieurs mois plus tard.
Les 43,4 millions ne représentent donc pas 43,4 millions de Français différents piratés pendant le semestre. Mais même en ajoutant ces précautions, la tendance reste particulièrement mauvaise.
La France était déjà très mal placée en 2025
Sur l’ensemble de l’année 2025, Surfshark avait recensé 40,3 millions de comptes compromis associés à la France, plaçant déjà le pays au deuxième rang mondial derrière les États-Unis.
La France affichait surtout la plus forte densité de comptes compromis rapportée à sa population. Elle concentrait à elle seule environ 39 % des comptes européens retrouvés dans les grandes fuites étudiées par Surfshark.
Les données officielles françaises racontent la même histoire, avec une méthode de comptage différente. La CNIL a reçu 6 167 notifications de violations de données en 2025, un nouveau record. La moitié des incidents déclarés relevait directement d’un piratage. La Commission retient trois grandes tendances : personne n’est épargné, les fuites deviennent de plus en plus massives et les prestataires sont très souvent impliqués.
Attention, là encore, une notification ne correspond pas nécessairement à une fuite médiatisée ni à une entreprise unique. Un incident chez un prestataire peut obliger plusieurs de ses clients à effectuer chacun une déclaration.
De son côté, l’ANSSI a traité 3 586 événements de sécurité en 2025, dont 1 366 incidents avérés. L’éducation et la recherche représentaient 34 % des secteurs visés, devant les ministères et collectivités territoriales à 24 %, la santé à 10 % et les télécommunications à 9 %. L’agence apporte également une nuance bienvenue : sur 460 événements initialement présentés comme de possibles fuites de données, seuls 42 % ont finalement pu être associés à une fuite confirmée.
Autrement dit, le problème est massif, mais les hackers aiment aussi gonfler leurs tableaux de chasse.
Les principales fuites de données révélées en France depuis janvier 2025
La liste suivante n’est pas exhaustive. Elle regroupe principalement les incidents confirmés par les entreprises, les administrations ou des enquêtes suffisamment étayées. Les volumes annoncés restent parfois provisoires et une personne peut apparaître dans plusieurs bases.
Les fuites marquantes de 2025
| Période | Entreprise ou service | Ce qui a été compromis |
|---|---|---|
| Janvier 2025 | Kiabi Seconde Main | Environ 20 000 comptes ont été ouverts à l’aide d’identifiants déjà volés ailleurs. Les pirates ont notamment pu consulter les IBAN enregistrés. Il s’agissait de credential stuffing, et non d’une extraction directe de toute la base Kiabi. |
| Janvier 2025 | Fédérations sportives françaises | Une faille chez un prestataire commun a exposé les bases de huit fédérations, dont celles de tir à l’arc et d’escalade. Plus de 4,5 millions de personnes étaient potentiellement concernées. |
| Janvier 2025 | Primes énergie E.Leclerc | Des accès frauduleux ont été détectés sur des comptes clients. E.Leclerc a réinitialisé les accès et recommandé de modifier les mots de passe réutilisés sur d’autres services. |
| Février 2025 | Chronopost | Les informations d’environ 210 000 personnes ont été dérobées : téléphone, adresse postale et parfois signature figurant sur les preuves de livraison. |
| Février 2025 | Caisse des Dépôts – Ircantec | Des identifiants compromis ont permis d’accéder aux données d’environ 70 000 affiliés : identité, date et lieu de naissance ainsi que numéro de Sécurité sociale. |
| Février 2025 | Fédération française de football | Environ trois millions de licenciés, bénévoles et membres du personnel auraient été touchés par une nouvelle extraction de données. |
| Mars-avril 2025 | Harvest, MAIF et BPCE | L’attaque contre l’éditeur de logiciels financiers Harvest s’est répercutée sur plusieurs de ses clients. Des données concernant l’état civil ainsi que les situations matrimoniales et professionnelles ont été compromises. |
| Juin 2025 | Cartier | Un accès temporaire non autorisé a exposé certaines données clients : nom, prénom, adresse e-mail et pays de résidence. |
| Juin 2025 | Sorbonne Université | Des données appartenant aux salariés de l’université ont été dérobées, y compris certaines informations bancaires. |
| Juin 2025 | Center Parcs | Le système utilisé pour les réservations par téléphone a été compromis, exposant des informations liées aux clients et à leurs séjours. |
| Juillet 2025 | Hôpital privé de la Loire | Une vulnérabilité dans un outil interne aurait permis l’extraction de 530 000 dossiers de patients et de 45 000 pièces d’identité. |
| Juillet 2025 | Louis Vuitton | Des informations appartenant à certains clients français ont été dérobées après la compromission d’un prestataire externe. |
| Août 2025 | Bouygues Telecom | Les données d’environ six millions d’abonnés ont été compromises. L’incident a ensuite provoqué une vague de messages frauduleux ciblant les clients de l’opérateur. |
| Août 2025 | Air France-KLM | La compagnie a été touchée dans une campagne d’attaques attribuée à des groupes spécialisés dans le vol de données et l’ingénierie sociale. |
| Août 2025 | Orange France | Orange a reconnu le vol de données professionnelles considérées comme anciennes ou peu sensibles. Les fichiers ont ensuite été publiés sur le dark web. |
| Août 2025 | Auchan | Les coordonnées et numéros de cartes de fidélité de plusieurs centaines de milliers de clients ont été compromis. Les mots de passe et données de paiement n’étaient pas concernés. |
| Septembre 2025 | Inovie Labosud | Le réseau de laboratoires a informé 3,2 millions de patients d’un possible accès à leurs informations personnelles et médicales. L’attaquant aurait utilisé des identifiants compromis. |
| Octobre 2025 | Fédération française de tir | Les coordonnées de centaines de milliers de licenciés détenteurs d’armes ont été volées. La fuite a eu des conséquences très concrètes, avec des tentatives de cambriolage et de faux contrôles à domicile. |
| Octobre 2025 | Mango | Un prestataire marketing externe a exposé des informations de clients français et espagnols : prénom, pays, code postal, adresse et téléphone. Les mots de passe et moyens de paiement n’étaient pas concernés. |
| Novembre 2025 | Pajemploi – Urssaf | Les données de plus de 1,2 million de salariés ont été compromises : identité, adresse, numéro de Sécurité sociale et informations bancaires partielles. |
| Novembre 2025 | Colis Privé | Les coordonnées de plusieurs millions de clients ont été exposées, créant un terrain particulièrement favorable aux arnaques au faux colis. |
| Novembre 2025 | Weda | Le logiciel utilisé par quelque 23 000 professionnels de santé a subi une attaque. La compromission éventuelle de données médicales restait encore à préciser lors des premières communications. |
| Décembre 2025 | MédecinDirect | Des identités, numéros de Sécurité sociale, motifs de consultation, questionnaires et échanges médicaux ont été compromis. |
| Décembre 2025 | France Travail et Missions Locales | Environ 1,6 million de jeunes ont été touchés après la compromission du compte d’un agent et la création de comptes ProConnect frauduleux. |
| Décembre 2025 | LDLC et Top Achat | Les deux sites marchands ont annoncé des incidents distincts ayant entraîné le vol d’une partie de leurs fichiers clients. |
| Décembre 2025 | Eurostar | Des données de voyageurs, dérobées plusieurs mois auparavant chez un partenaire, sont réapparues sur des marchés clandestins. |
Et encore, cette sélection laisse de côté de nombreuses collectivités, PME, associations ou services spécialisés dont les incidents n’ont jamais dépassé la presse locale.
Les principales fuites révélées en 2026
L’année 2026 n’a pas vraiment commencé sous de meilleurs auspices. Plusieurs incidents parmi les plus massifs concernent désormais des fichiers de l’État, l’éducation ou la santé.
| Période | Entreprise ou service | Ce qui a été compromis |
|---|---|---|
| Janvier-février 2026 | Darty Cuisine | Un incident chez un prestataire a exposé les données d’environ 80 000 clients, ainsi que des informations très précises sur leurs projets d’aménagement et leur budget. |
| Février 2026 | Relais Colis | Des identifiants compromis ont permis d’accéder aux noms, adresses, e-mails et numéros de téléphone de clients. Il s’agissait déjà du deuxième incident subi par l’entreprise depuis le début de l’année. |
| Février 2026 | FICOBA – Direction générale des finances publiques | Les identifiants d’un fonctionnaire ont été usurpés afin de consulter ou d’extraire les données d’environ 1,2 million de comptes bancaires : RIB, IBAN, identité et adresse des titulaires. Le ministère précise que les identifiants fiscaux n’ont pas été consultés. |
| Février 2026 | Cegedim Santé – MLM | Une attaque détectée fin 2025 a concerné les comptes d’environ 1 500 médecins. Cegedim a confirmé l’extraction de données administratives de patients. Les différentes estimations évoquent entre 11 et 15 millions de personnes, avec des commentaires libres potentiellement sensibles pour une fraction des dossiers. La société affirme que les dossiers médicaux structurés sont restés intacts. |
| Février 2026 | Réglo Mobile | Identité, coordonnées, numéro de ligne, code PUK, relevés de communications ainsi que certaines informations bancaires partiellement masquées ont été exposés. |
| Février 2026 | Olympique de Marseille | Les données d’environ 400 000 supporters ont été dérobées. Le club indiquait que les mots de passe et informations bancaires n’étaient pas concernés. |
| Mars 2026 | UNSS | Les données de plus de 1,5 million de collégiens et lycéens licenciés ont été compromises puis publiées en ligne. |
| Mars 2026 | Florajet | Plus d’un million de bons de commande au format PDF auraient été accessibles, avec les coordonnées des clients, des destinataires et les messages personnels accompagnant les bouquets. |
| Mars 2026 | Mondial Relay | Un accès frauduleux à la plateforme de suivi aurait permis l’extraction de centaines de milliers de fichiers et de plusieurs millions de données. |
| Mars 2026 | Éducation nationale – Compas | Le logiciel de ressources humaines a exposé les données d’environ 243 000 agents. |
| Mars 2026 | Enseignement catholique | Une intrusion a compromis les informations d’environ 1,5 million de personnes. |
| Mars 2026 | Cnous | Les données de quelque 774 000 étudiants et anciens étudiants, couvrant une période de dix ans, ont été extraites. |
| Mars-avril 2026 | Police nationale – e-campus | La plateforme de formation gérée par un prestataire a exposé les données professionnelles de plus de 170 000 agents. |
| Avril 2026 | Système d’information sur les armes | Une attaque a concerné les données relatives à plus de 62 000 armes : identité et adresse des propriétaires, caractéristiques des armes et historique de leurs mouvements. |
| Avril 2026 | ÉduConnect | Le ministère de l’Éducation nationale a confirmé une fuite touchant des élèves après l’usurpation du compte d’un personnel habilité et l’exploitation d’une faille. Les données concernent notamment le nom, l’établissement, la classe et l’identifiant ÉduConnect. Le ministère n’avait pas encore confirmé publiquement le chiffre de 3,5 millions de victimes lors de son communiqué du 14 avril. |
| Avril 2026 | France Titres – ANTS | Jusqu’à 11,7 millions de comptes auraient été concernés. Les données potentiellement divulguées comprennent l’identité, l’adresse électronique, la date de naissance et parfois l’adresse postale ou le téléphone. Le ministère excluait à ce stade la fuite des pièces jointes et données biométriques. |
| Avril-mai 2026 | Fédération française de basketball | Un compte utilisateur compromis a été utilisé pour extraire les données personnelles des licenciés. L’auteur présumé de l’attaque a été interpellé. |
| Mai 2026 | Bouygues Telecom – interventions fibre | Un compte compromis donnant accès à un outil interne a permis l’extraction de coordonnées d’abonnés : nom, adresse, e-mail, téléphone et date de naissance. |
| Mai 2026 | Pierre & Vacances, Belambra et Gîtes de France | Trois attaques ont exposé les informations liées à plusieurs millions de clients et de réservations. Certaines bases comportaient des données concernant des mineurs et plusieurs décennies d’historique. |
| Mai 2026 | McDonald’s France – McDo+ | Des comptes de fidélité ont été compromis par l’intermédiaire de prestataires. Des identifiants ont été revendus et des points utilisés frauduleusement dans des restaurants. |
| Mai 2026 | Almerys | Plus de 15,4 millions de numéros de Sécurité sociale auraient été exposés, avec des données d’état civil, numéros de contrat et périodes de couverture. |
| Juillet 2026 | Lidl | Un fichier client stocké chez un prestataire externe a été compromis. Des clients français et belges sont concernés, avec des noms, téléphones, e-mails et dates de naissance, mais pas de données bancaires ni de mots de passe selon l’enseigne. |
La liste est déjà franchement indigeste. Et elle ne couvre que les incidents rendus publics au 28 juillet 2026.
Pourquoi la France prend-elle autant de fuites ?
Des fichiers énormes et centralisés
Les services publics, opérateurs téléphoniques, mutuelles, banques et grands commerces gèrent naturellement des bases comptant plusieurs millions de personnes. Il suffit donc d’un seul compte administrateur compromis, d’une faille mal corrigée ou d’un outil interne insuffisamment cloisonné pour transformer une intrusion banale en fuite nationale.
L’incident France Titres illustre parfaitement cette concentration : un seul portail regroupait des informations associées à près de 12 millions de comptes. Celui de FICOBA montre qu’un accès légitime détourné peut ouvrir la porte à un fichier contenant les coordonnées bancaires de toute une population.
Le mot de passe volé reste l’arme la plus rentable
Beaucoup de ces attaques ne nécessitent pas de casser une infrastructure à coups de lignes de code dignes d’un film hollywoodien. Les pirates récupèrent ou achètent simplement l’identifiant d’un salarié, d’un fonctionnaire ou d’un prestataire.
C’est ce qui s’est produit pour FICOBA, ÉduConnect, France Travail, Inovie Labosud, Relais Colis et plusieurs fédérations. Dans certains cas, les attaquants utilisent des identifiants provenant d’une fuite antérieure. Une fuite en nourrit donc une autre.
L’absence d’authentification multifacteur sur les accès sensibles revient régulièrement. Après l’incident ÉduConnect, le ministère a d’ailleurs annoncé le renforcement des accès par double authentification.
Les prestataires deviennent la porte de service
La grande entreprise peut avoir une équipe de cybersécurité correcte et se faire tout de même vider sa base par l’intermédiaire d’un sous-traitant moins protégé.
Les fédérations sportives, Darty, Louis Vuitton, Mango, Lidl, McDonald’s, Gîtes de France ou encore la police avec son e-campus ont tous été touchés directement ou indirectement par un partenaire. C’est exactement l’un des trois grands enseignements mis en avant par la CNIL pour 2025.
Externaliser un service ne permet pas d’externaliser le risque.
Les données volées sont devenues une industrie
Une base contenant simplement des noms, des adresses, des téléphones et des e-mails peut sembler moins grave qu’un fichier de cartes bancaires. En réalité, elle permet déjà de fabriquer des messages extrêmement convaincants.
Cybermalveillance.gouv.fr décrit désormais un véritable marché structuré, avec des revendeurs spécialisés, des plateformes clandestines, des kits d’hameçonnage prêts à l’emploi et même des centres d’appels composés de faux conseillers.
En 2025, les demandes d’assistance liées aux violations de données ont augmenté de 107 %. Les vagues d’hameçonnage ont progressé de 70 %, la fraude au faux conseiller bancaire de 159 % et les fraudes au virement de 170 %.
La fuite n’est donc pas la fin de l’attaque. Elle n’en est parfois que le début.
Méfions-nous aussi des fausses revendications
Les groupes de hackers utilisent la communication comme une arme. Revendiquer le vol de millions de données permet de gagner en réputation, d’augmenter la pression sur une entreprise ou simplement de revendre une vieille base en lui donnant un nouveau nom.
Depuis début 2025, plusieurs énormes « fuites » annoncées sur des forums ont été démenties après enquête :
- Carrefour a contesté la compromission annoncée de 13 millions de clients ;
- EDF a expliqué que les connexions observées relevaient du recyclage d’identifiants déjà volés et non d’une extraction de 15 millions de comptes ;
- France Travail a démenti une nouvelle fuite revendiquée de 22 millions de dossiers ;
- l’Assurance Maladie n’a trouvé aucune trace de l’extraction annoncée de 34 millions de Dossiers médicaux partagés ;
- une prétendue fuite de 12 millions de dossiers France Titres diffusée en septembre 2025 avait également été démentie.
C’est aussi la raison pour laquelle additionner toutes les déclarations publiées sur le dark web n’a aucun sens.
Que faire lorsqu’un service annonce une fuite ?
Changer son mot de passe reste indispensable lorsque des identifiants sont concernés. Mais la priorité est surtout de ne jamais réutiliser le même mot de passe sur plusieurs services. Un gestionnaire de mots de passe permet d’utiliser un code différent et complexe sur chaque site sans avoir à les mémoriser.
L’authentification à deux facteurs doit être activée partout où elle est disponible, en particulier sur la messagerie principale. Celle-ci est la clé de presque tous les autres comptes puisqu’elle permet de réinitialiser les mots de passe.
Après une fuite contenant un IBAN, il faut surveiller régulièrement ses prélèvements. Un IBAN ne permet pas normalement de vider directement un compte, mais il peut être exploité dans une fraude au prélèvement ou servir à rendre crédible un faux appel bancaire.
Enfin, il faut considérer tout e-mail, SMS ou appel reprenant des informations personnelles comme potentiellement frauduleux. Connaître votre nom, votre banque, votre opérateur, votre adresse ou votre dernière réservation ne prouve plus que l’interlocuteur est légitime. Les administrations recommandent de ne jamais répondre directement à un message suspect et de passer par le site, l’application ou le numéro officiel du service concerné.
La fuite de données est devenue le bruit de fond du numérique français
Il serait exagéré d’affirmer, sur la seule base de l’étude Surfshark, que la France possède les pires systèmes informatiques de la planète. Sa méthode dépend des bases rendues publiques, de l’attribution géographique des comptes et du moment où les données apparaissent.
Mais il serait tout aussi absurde de minimiser la situation.
Les statistiques de la CNIL, de l’ANSSI et de Cybermalveillance.gouv.fr confirment une multiplication des incidents, une augmentation de leur taille et une exploitation de plus en plus industrielle des données dérobées.
La question n’est donc plus vraiment de savoir si nos informations ont déjà fuité. Pour une grande partie de la population, c’est probablement le cas. La vraie question est désormais de savoir combien de fois elles ont fuité, quelles informations circulent et qui finira par les utiliser contre nous.
Étude principale : Surfshark, Global Data Breach Map et analyses 2025-2026, données mises à jour le 21 juillet 2026. Surfshark compte chaque adresse électronique exposée comme un compte compromis et enregistre la date de publication publique de la base, pas nécessairement celle de l’attaque.
Sources
- Surfshark – Analyse trimestrielle mondiale des fuites de données
- Surfshark – Bilan mondial des fuites de données en 2025
- Surfshark – Global Data Breach Map
- Surfshark – Méthodologie de comptabilisation et de localisation des comptes compromis
- CNIL – Rapport annuel 2025 et bilan des violations de données
- ANSSI – Panorama de la cybermenace 2025
- ANSSI – Présentation et principaux chiffres du panorama de la cybermenace 2025
- Cybermalveillance.gouv.fr – Rapport d’activité 2025
- Cybermalveillance.gouv.fr – Vol et exploitation des données personnelles
- 01net – Chronologie des principales cyberattaques et fuites de données en France
- Ministère de l’Économie et des Finances – Incident de sécurité concernant le fichier FICOBA
- Ministère de l’Éducation nationale – Incident de sécurité affectant les données de certains élèves
- Ministère de l’Intérieur – Incident de sécurité concernant le portail France Titres / ANTS
- Caducee.net – Analyse de l’incident touchant le logiciel médical MLM de Cegedim Santé
