Cyberattaques en France : pourquoi les fuites de données s’enchaînent en 2026

La liste donne presque le vertige.

Administrations, opérateurs télécoms, enseignes de distribution, fédérations sportives, organismes de santé, entreprises privées, associations…

Depuis janvier, les noms des organisations françaises victimes ou présumées victimes de cyberattaques s’accumulent.

Un inventaire largement relayé ces derniers jours sur LinkedIn affirme que plus de 550 fuites de données auraient déjà été recensées en France depuis le début de 2026.

Le chiffre est spectaculaire.

Il faut aussi être prudent avec lui.

Aucune statistique publique de la CNIL, de l’ANSSI ou de Cybermalveillance.gouv.fr ne permet aujourd’hui de confirmer précisément ce total. Et toutes les entrées de ce type de recensement ne correspondent pas nécessairement à la même réalité : une revendication publiée par un pirate n’est pas une fuite confirmée, une cyberattaque n’implique pas toujours une exfiltration de données et une violation de données peut elle-même avoir une origine autre qu’un piratage.

L’ANSSI rappelle d’ailleurs à quel point cette distinction est importante. En 2025, elle avait identifié 460 événements susceptibles de correspondre à des fuites de données, mais seulement 42 % avaient pu être reliés à une fuite effectivement avérée. (cyber.gouv.fr)

Il ne faut donc pas transformer chaque revendication publiée sur un forum clandestin en cyberattaque réussie.

Mais cela ne rend pas la situation rassurante pour autant.

La CNIL avait déjà enregistré un record de violations en 2025

Les chiffres officiels disponibles suffisent largement à mesurer le phénomène.

Dans son rapport annuel 2025, la CNIL indique avoir reçu 17 802 notifications de violations de données personnelles sur l’année.

Ce chiffre brut doit toutefois être corrigé : deux cyberattaques contre des éditeurs de solutions avaient à elles seules provoqué 11 635 déclarations de leurs entreprises clientes.

Pour mesurer plus justement la tendance, la CNIL les a retirées de son calcul statistique.

Même après cette correction, elle comptabilise 6 167 violations de données en 2025, contre 5 630 en 2024, soit une nouvelle progression de 9,5 %. Environ la moitié de ces violations sont liées à des piratages. (cnil.fr)

La présidente de l’autorité, Marie-Laure Denis, résume le problème en trois constats : personne n’est épargné, les violations deviennent plus massives et les prestataires sont régulièrement impliqués. (cnil.fr)

Ce dernier point mérite une attention particulière pour les dirigeants.

Car une entreprise peut disposer d’une sécurité informatique correcte et voir malgré tout ses données exposées chez un fournisseur.

La DGFiP : 678 000 particuliers et professionnels concernés

L’un des incidents les plus emblématiques de cet été touche directement l’État.

Le ministère de l’Économie a confirmé le 14 août que des individus malveillants avaient obtenu des accès au système d’information de la Direction générale des Finances publiques en juin et juillet après l’usurpation d’identifiants.

Au total, 678 000 particuliers et professionnels sont concernés par les données consultées ou extraites. (economie.gouv.fr)

Parmi les informations susceptibles d’avoir été dérobées figurent l’état civil, des coordonnées, des données fiscales comme le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source et, pour certaines entreprises, la raison sociale et le SIREN.

Des informations cadastrales ont également été consultées.

Les espaces personnels sur impots.gouv.fr et leurs mots de passe n’ont, en revanche, pas été compromis, selon Bercy. (economie.gouv.fr)

La CNIL a confirmé avoir été saisie et mène désormais ses vérifications. (cnil.fr)

L’origine de l’attaque est particulièrement instructive : plutôt qu’une faille digne d’un film hollywoodien, les attaquants sont notamment passés par des identifiants usurpés.

L’Éducation nationale attaquée à plusieurs reprises

Autre symbole : l’Éducation nationale.

En mars, le ministère a reconnu l’exfiltration d’informations concernant environ 243 000 agents, stagiaires ou titulaires, à partir du système COMPAS. Là encore, l’intrusion reposait sur l’usurpation d’un compte externe. (education.gouv.fr)

En avril, une autre attaque a concerné des données d’élèves via un service associé à ÉduConnect. (education.gouv.fr)

Puis, dans la nuit du 25 juillet, une nouvelle intrusion a touché un système d’information dédié à la formation des personnels.

Le ministère a indiqué que les données potentiellement concernées pouvaient inclure identité, coordonnées, informations professionnelles et, pour certains agents, numéro de sécurité sociale. (education.gouv.fr)

Le 18 août, face à de nouvelles revendications concernant des données d’élèves, l’Éducation nationale indiquait poursuivre ses investigations avec l’ANSSI afin d’en déterminer l’étendue exacte. (education.gouv.fr)

Trois épisodes en quelques mois au sein d’une même administration.

Forcément, cela interroge.

Intermarché, SFR, Santé publique France : le privé n’est pas davantage épargné

Le phénomène dépasse largement les administrations.

Début août, Intermarché a reconnu une intrusion dans les systèmes utilisés pour son activité Drive.

287 605 clients ont finalement été identifiés comme concernés. Nom, prénom, téléphone, adresse de facturation ou données liées aux commandes ont notamment pu être exposés. Les mots de passe et coordonnées bancaires n’étaient pas concernés. (tf1info.fr)

SFR a également confirmé en août une cyberattaque détectée le 2 juillet contre un outil utilisé pour les raccordements Fibre. Certaines adresses, adresses électroniques ou numéros de téléphone ont pu devenir temporairement accessibles. L’opérateur n’a pas confirmé publiquement le chiffre de plus de deux millions de lignes revendiqué par les pirates. (boursorama.com)

Santé publique France a connu un autre scénario devenu très fréquent.

Ce n’est pas directement son système central qui a été compromis, mais une plateforme exploitée par un prestataire, utilisée pour commander des documents liés aux campagnes de prévention. Environ 80 000 personnes seraient concernées par l’exposition de données de contact. Aucune donnée médicale ou bancaire n’était stockée sur ce service. (rtl.fr)

Voilà sans doute l’une des clés de la vague actuelle.

Le vrai maillon faible se trouve souvent dans l’identité

Lorsqu’on parle de cybersécurité, l’image qui vient spontanément à l’esprit est celle d’un pirate cherchant une faille informatique extrêmement sophistiquée.

Dans beaucoup d’attaques récentes, la réalité est moins spectaculaire.

Un compte est compromis.

Un mot de passe est récupéré.

Un collaborateur clique sur un lien.

Un prestataire conserve un accès trop important.

Un ancien compte n’a jamais été désactivé.

Puis l’attaquant progresse dans le système.

La DGFiP et l’Éducation nationale ont toutes deux publiquement évoqué l’utilisation d’identifiants usurpés dans certains des incidents constatés cet été.

Ce phénomène correspond aux statistiques de Cybermalveillance.gouv.fr.

Chez les entreprises et associations ayant sollicité son outil d’assistance en 2025, le piratage de compte représente 21 % des parcours, devant l’hameçonnage à 20,7 %. Suivent les faux ordres de virement à 13,5 %, les rançongiciels à 12,4 % et les violations de données à 7,9 %. (cybermalveillance.gouv.fr)

Business Times revenait encore récemment sur cette menace avec les faux e-mails générés par intelligence artificielle, qui rendent certaines campagnes de phishing particulièrement difficiles à détecter.

La cybersécurité ne dépend donc pas uniquement du pare-feu.

Elle dépend énormément de l’identité numérique de ceux qui disposent des clés.

Les sous-traitants deviennent un sujet de direction générale

L’autre faiblesse se trouve dans la chaîne de fournisseurs.

La CNIL a consacré en mai une publication entière au risque cyber lié aux sous-traitants, à partir de situations inspirées d’incidents qui lui sont réellement signalés. (cnil.fr)

Une entreprise peut externaliser une application.

Elle peut externaliser un CRM.

La paie.

La gestion de ses clients.

Une plateforme événementielle.

Un outil RH.

Elle n’externalise pas pour autant complètement le risque.

Lorsque le prestataire est attaqué, les données de dizaines, parfois de centaines d’entreprises clientes peuvent être exposées simultanément.

C’est aussi ce qui explique certains chiffres impressionnants de notifications adressées à la CNIL.

Pour un comité de direction, la question à poser devient donc assez simple :

savons-nous précisément quels prestataires possèdent quelles données, et quels accès ont-ils encore à nos systèmes ?

Business Times abordait déjà cette logique de cartographie des risques avec ACDS France et la nécessité pour les entreprises de connaître précisément leur surface d’attaque.

Les PME sont loin d’être trop petites pour intéresser les pirates

Une autre idée mérite d’être oubliée : « Nous sommes trop petits pour être attaqués. »

Les chiffres officiels disent l’inverse.

Selon le service MesServicesCyber de l’ANSSI, les TPE, PME et ETI représentaient en 2025 48 % des victimes de rançongiciels recensées, soit le premier groupe de victimes. (messervices.cyber.gouv.fr)

Pourquoi ?

Parce qu’un cybercriminel ne recherche pas nécessairement l’entreprise la plus connue.

Il cherche souvent celle qui offre le meilleur rapport entre effort nécessaire et argent potentiel.

Une PME disposant de centaines de milliers d’euros sur ses comptes, de fichiers clients, d’un service comptable et d’une sécurité plus légère qu’un grand groupe peut être une cible très intéressante.

Business Times soulignait déjà cette industrialisation de la menace dans notre article consacré au rapport européen de Stoïk sur l’explosion de la sinistralité cyber des PME et ETI.

L’attaquant ne connaît parfois même pas le nom de l’entreprise avant que son robot ne détecte une vulnérabilité.

Une attaque ne s’arrête plus au vol des données

Il y a également une erreur fréquente lorsqu’on mesure les conséquences d’une fuite.

On regarde le nombre de personnes concernées.

Or la valeur réelle des données dépend surtout de la manière dont elles peuvent être utilisées.

Un nom, un e-mail, un numéro de téléphone et quelques informations sur une relation commerciale peuvent paraître relativement banals.

Combinés ensemble, ils permettent pourtant de créer un message d’hameçonnage extrêmement crédible.

Cybermalveillance.gouv.fr observe précisément ce phénomène : les fuites de données alimentent ensuite des campagnes de phishing, des usurpations d’identité et diverses escroqueries. Les demandes d’assistance de particuliers liées aux violations de données ont progressé de 107 % en 2025, après déjà +82 % l’année précédente. (cybermalveillance.gouv.fr)

Un attaquant connaissant le nom d’un fournisseur, celui du directeur financier et une facture récente n’a plus besoin d’écrire un mauvais e-mail promettant un héritage.

Il peut envoyer une demande parfaitement crédible.

C’est aussi là que l’intelligence artificielle complique le problème.

La CNIL va désormais sanctionner davantage les défauts de sécurité

Pour les dirigeants, le risque n’est pas uniquement opérationnel.

Il devient aussi réglementaire.

La CNIL a annoncé qu’en 2026, 50 % de ses contrôles et de ses actions répressives seraient consacrés aux manquements en matière de cybersécurité. (cnil.fr)

L’autorité considère désormais clairement la sécurité comme une obligation de fond.

Business Times l’avait analysé en janvier lors des sanctions prononcées après le vol massif de données chez Free, qui avait conduit la CNIL à infliger 42 millions d’euros d’amendes cumulées à Free et Free Mobile.

Le raisonnement est important.

Une entreprise victime est bien sûr attaquée par un cybercriminel.

Mais cela ne l’exonère pas automatiquement de toute responsabilité si ses mesures de protection étaient insuffisantes.

Six vérifications que les dirigeants devraient désormais demander

La cybersécurité ne nécessite pas de transformer le dirigeant en RSSI. Elle nécessite en revanche qu’il pose les bonnes questions.

1. Les comptes sensibles utilisent-ils tous une authentification multifacteur ? Messagerie, administrateurs, finance et outils cloud doivent être prioritaires.
2. Les accès sont-ils réellement à jour ? Les anciens salariés, prestataires et comptes inutilisés constituent autant de portes potentiellement ouvertes.
3. Les sauvegardes sont-elles isolées et leur restauration réellement testée ? Une sauvegarde qui n’a jamais été restaurée reste une promesse.
4. Les prestataires ayant accès aux données sensibles sont-ils identifiés ? Le risque fournisseur doit être suivi comme le risque informatique interne.
5. Existe-t-il un plan de crise connu de la direction ? Qui décide de couper le système ? Qui prévient les clients ? Qui contacte l’assureur, la CNIL, l’ANSSI ou les forces de l’ordre ?
6. Une simulation d’attaque a-t-elle déjà été réalisée ? L’ANSSI propose d’ailleurs aux TPE, PME et ETI éligibles un premier diagnostic cyber gratuit via MesServicesCyber.

La formation compte également.

Lors de l’opération pédagogique Cactus menée cette année auprès de 9,2 millions d’élèves, parents et personnels de l’Éducation nationale, 1 096 692 personnes ont cliqué sur le faux lien d’hameçonnage envoyé dans le cadre du test, soit 12 % des destinataires. (education.gouv.fr)

Même lorsque les utilisateurs savent que le risque existe, le clic reste une réalité.

Alors, la France est-elle une « passoire numérique » ?

L’expression fonctionne très bien sur les réseaux sociaux.

La réalité est plus complexe.

La France n’est évidemment pas le seul pays soumis à une explosion de la cybercriminalité. Plus les administrations et les entreprises numérisent leurs services, plus elles accumulent de données et plus leur surface d’exposition augmente.

Les obligations du RGPD rendent également les violations davantage visibles qu’auparavant.

Mais il serait tout aussi faux de minimiser les signaux.

En 2025, l’ANSSI a encore traité 3 586 événements de sécurité, dont 1 366 incidents. L’Éducation, la recherche, les ministères, les collectivités, la santé et les télécommunications figurent parmi les secteurs les plus ciblés. (cyber.gouv.fr)

Cybermalveillance.gouv.fr a, de son côté, accompagné plus de 500 000 victimes en 2025, soit 20 % de plus qu’un an auparavant. (cybermalveillance.gouv.fr)

Et les premiers mois de 2026 montrent déjà une succession d’incidents majeurs.

La bonne conclusion n’est donc probablement pas que la France serait soudainement devenue une passoire.

Elle est plus préoccupante.

La cyberattaque est devenue un risque industriel.

Les attaquants automatisent leurs recherches de failles, achètent des identifiants, exploitent les fournisseurs et peuvent cibler simultanément des milliers d’organisations.

Dans ce contexte, la cybersécurité n’est plus seulement une ligne du budget informatique.

Elle devient un sujet de continuité d’activité, de trésorerie, de responsabilité juridique et de réputation.

Autrement dit, un sujet de direction générale.