Fuite de données en France : les failles et comment se protéger
Publié le 01/09/2026 à 21h28
Sommaire
Entre 2024 et 2026, la question n'est plus de savoir si vos données personnelles ont fuité, mais combien de fois. France Travail, Free, l'Assurance maladie, les impôts, l'agence des titres d'identité : coup sur coup, les plus grands fichiers du pays ont été percés. Mis bout à bout, ces incidents concernent la quasi-totalité des Français adultes. Ce panorama fait le point, incident par incident, sur les grandes fuites de données en France, puis liste les outils souverains qui permettent concrètement de reprendre la main sur sa sécurité numérique.
2024-2026 : la carte des grandes failles françaises
Un vol de données ne se limite presque jamais à un mot de passe. Les fichiers touchés ces deux dernières années contiennent de l'état civil, des numéros de sécurité sociale (NIR), des coordonnées bancaires, parfois des commentaires médicaux. Autant de matière première pour l'usurpation d'identité et les arnaques ciblées. Voici les dix épisodes les plus marquants, recoupés avec les sources officielles (CNIL, ANSSI, ministères) et la presse spécialisée.
| Incident | Date | Ampleur | Données exposées |
|---|---|---|---|
| France Travail | Mars 2024 | Jusqu'à ~43 millions de personnes | État civil, NIR, coordonnées |
| Viamedis & Almerys (tiers payant) | Février 2024 | ~33 millions d'assurés | État civil, NIR, mutuelle, garanties |
| Free | Octobre 2024 | ~19 millions de clients | Coordonnées, dont ~5 millions d'IBAN |
| Cegedim Santé / MLM | Révélé février 2026 | Chiffre disputé (voir plus bas) | Données patients, dont commentaires médicaux |
| ANTS (titres d'identité) | 2026 | ~11,7 millions de comptes | Comptes usagers des titres sécurisés |
| DGFiP (impôts) | 2026 | ~678 000 comptes | Accès illégitimes au fichier FICOBA |
| Établissements de santé | 2019-2025 | Vague de rançongiciels | Dossiers patients, données administratives |
| Éducation & recherche | 2025 | 1er secteur touché (34 %) | ENT, fichiers élèves, comptes universitaires |
| Équipements de bordure | 2024-2025 | Exploitation massive | Accès aux SI via Ivanti, Fortinet, Citrix, VPN |
| Chaîne d'approvisionnement | 2023-2025 | Impact national | MOVEit/Pôle emploi, Collins Aerospace/aéroports |
France Travail : la plus grande fuite de l'histoire française
En mars 2024, des identifiants de conseillers Cap Emploi compromis ont ouvert l'accès à la base centrale de France Travail. Selon la CNIL, les données de jusqu'à 43 millions de personnes inscrites au cours des vingt dernières années pouvaient être concernées : nom, prénom, date de naissance, numéro de sécurité sociale, adresse mail et postale. Une enquête a révélé que la direction avait été alertée d'une faiblesse de sécurité en amont.
Viamedis et Almerys : la santé de 33 millions d'assurés
Toujours au premier trimestre 2024, deux opérateurs de tiers payant ont été victimes d'intrusions rapprochées. Bilan : environ 33 millions d'assurés sociaux exposés (état civil, NIR, nom de la mutuelle et garanties ouvertes). La CNIL a ouvert une enquête et rappelé les précautions à prendre, tandis que les gestionnaires peinaient à revenir à la normale.
Free : quand l'IBAN fuite
En octobre 2024, une fuite via un outil de gestion interne a touché 19 millions de clients Free, dont 5 millions d'IBAN. Un IBAN seul ne permet pas de vider un compte, mais il alimente des tentatives de prélèvement frauduleux et des arnaques par mail extrêmement crédibles, puisque l'escroc connaît déjà votre banque et vos coordonnées.
Cegedim Santé : un chiffre en débat
Fin 2025, une attaque visant le logiciel MLM (MonLogicielMedical) utilisé par des cabinets a exposé des données de santé, révélée en février 2026. C'est ici qu'il faut être prudent sur les chiffres : un reportage de France 2 a avancé une fourchette de 11 à 15 millions de patients, un ordre de grandeur que Cegedim conteste fermement. À ce stade, les éléments confirmés portent sur un périmètre plus restreint, de l'ordre de 1 500 médecins et environ 169 000 dossiers. La sensibilité de l'affaire tient moins au volume qu'à la nature des données : des commentaires médicaux étaient concernés.
ANTS et DGFiP : l'État aussi
2026 a frappé au cœur des services publics. L'Agence nationale des titres sécurisés (ANTS) a subi un incident touchant environ 11,7 millions de comptes usagers. En parallèle, la Direction générale des finances publiques (DGFiP) a connu des accès illégitimes au fichier national des comptes bancaires (FICOBA), avec plus de 678 000 comptes concernés selon les éléments rendus publics. Quand l'administration fiscale et l'agence des cartes d'identité sont visées, la frontière entre fuite de données et sécurité nationale s'estompe.
Santé, éducation, équipements de bordure : les angles morts
Au-delà des grands noms, trois dynamiques structurent la menace. Le secteur de la santé encaisse depuis 2019 une vague de rançongiciels (CHU de Rouen, Rennes, Cannes, Haute-Comté) et pèse environ 10 % des incidents connus de l'ANSSI en 2025. Le secteur éducation et recherche est même devenu le premier en volume (34 % des incidents). Enfin, les équipements de bordure - pare-feux, VPN et passerelles Ivanti, Fortinet, Citrix - sont exploités massivement, souvent le jour même de la publication de la faille, avant que les organisations aient le temps de corriger.
La chaîne d'approvisionnement, maillon faible
Un attaquant n'a pas besoin de viser directement sa cible : il lui suffit de compromettre un prestataire. La faille MOVEit exploitée par le groupe Cl0p a ainsi touché Pôle emploi dès 2023 (plusieurs millions de dossiers). Plus récemment, en septembre 2025, le rançongiciel Everest s'en est pris à Collins Aerospace, perturbant l'enregistrement des passagers dans plusieurs aéroports européens. Un maillon privé qui cède, et c'est tout un service critique qui s'arrête.
Ce que dit l'ANSSI : la menace en chiffres
Le Panorama de la cybermenace 2025 de l'ANSSI confirme une menace qui se maintient à un niveau très élevé. L'agence a traité 3 586 événements de sécurité et confirmé 1 366 incidents sur l'année, un chiffre stable par rapport à 2024. Deux tendances se détachent : la hausse des exfiltrations de données (196 signalements, dont 80 revendications vérifiées) et une pression constante des rançongiciels (128 compromissions confirmées, avec les souches Qilin, Akira et LockBit en tête).
La répartition par secteur est parlante : éducation et recherche 34 %, ministères et collectivités 24 %, santé 10 %, télécommunications 9 %. Côté attaquants, l'ANSSI pointe trois grandes familles : la cybercriminalité à but lucratif, des acteurs réputés liés à la Russie (Sandworm, Turla) et à la Chine (APT31, Salt Typhoon). Autrement dit, l'espionnage étatique et l'extorsion crapuleuse frappent désormais les mêmes cibles.
Concrètement, qu'est-ce que ça change pour vous ?
Une donnée qui fuite ne disparaît pas : elle circule, se revend et se recoupe. Les conséquences les plus fréquentes sont le phishing ciblé (un mail qui connaît votre nom, votre banque et votre opérateur devient très convaincant), l'usurpation d'identité à partir du NIR et de l'état civil, et la fraude au prélèvement via un IBAN volé. Quelques réflexes limitent fortement le risque.
- Utiliser un mot de passe unique par service, stocké dans un gestionnaire dédié, pour qu'une fuite ne contamine pas tous vos comptes.
- Activer la double authentification (2FA) partout où c'est possible.
- Surveiller ses relevés bancaires et signaler tout prélèvement inconnu à sa banque, qui a l'obligation de rembourser une opération non autorisée.
- Se méfier des mails et SMS " officiels " réclamant une action urgente, même bien rédigés.
- Vérifier régulièrement si son adresse mail apparaît dans une fuite connue.
Reprendre le contrôle : les outils français pour se protéger
Face à ce constat, la réponse d'eXtragone est simple : privilégier des outils souverains, hébergés en Europe et respectueux de la vie privée. Voici une sélection issue de notre catégorie Sécurité & Vie privée, organisée par usage.
Vérifier si vos données ont fuité
Premier réflexe, gratuit et instantané. Green-Got Check est un vérificateur français qui indique si vos informations personnelles apparaissent dans une fuite connue. La référence internationale Have I Been Pwned complète l'analyse en recensant les bases de données compromises où figure votre adresse mail. À faire pour chaque adresse que vous utilisez.
Communiquer sans être écouté
Pour les échanges sensibles, la messagerie chiffrée française Olvid se distingue : sans annuaire central ni collecte de métadonnées, elle est la seule messagerie à disposer d'un visa de sécurité de l'ANSSI. Alternative plus grand public, Skred propose une messagerie sécurisée française sans numéro de téléphone ni collecte de données.
Stocker et transférer en souveraineté
Les fuites via prestataires rappellent l'importance d'un hébergement maîtrisé. Leviia propose un stockage cloud 100 % français, quand NetExplorer et Docaposte ciblent les entreprises soucieuses de conformité. Pour envoyer un fichier ponctuellement sans passer par un géant américain, TransfertPro assure un échange sécurisé hébergé en France.
Un smartphone dégooglisé
Votre téléphone est votre plus grand collecteur de données. Murena et iodéOS proposent des systèmes Android " dégooglisés ", sans mouchards, avec un cloud respectueux de la vie privée. Une bascule progressive mais radicale pour reprendre le contrôle de son écosystème mobile.
Pour les entreprises : détecter, sécuriser, se conformer
Les organisations disposent aussi de briques françaises solides. Sekoia offre une plateforme SOC pilotée par l'IA pour détecter et neutraliser les menaces, tandis que Mailinblack filtre le principal vecteur d'attaque : la messagerie. Côté développement, GitGuardian traque les secrets exposés dans le code - l'une des causes récurrentes de fuites. Enfin, pour piloter sa conformité, l'outil open source CISO Assistant et la solution RGPD Leto aident à structurer sa gouvernance cyber, un sujet que l'affaire DGFiP a rendu difficile à ignorer.
FAQ
Comment savoir si mes données ont fuité ?
Utilisez un vérificateur de fuite comme Green-Got Check (français) ou Have I Been Pwned. Il suffit d'y saisir votre adresse mail pour savoir si elle apparaît dans une base de données compromise. Répétez l'opération pour chaque adresse que vous utilisez régulièrement.
Mes données ont fuité, que faire concrètement ?
Changez immédiatement le mot de passe des comptes concernés (et de tous ceux qui partageaient le même), activez la double authentification, surveillez vos relevés bancaires et restez vigilant face aux mails et appels se réclamant de votre banque ou d'une administration. En cas de prélèvement frauduleux, votre banque doit vous rembourser une opération non autorisée.
Un outil français est-il vraiment plus sûr ?
Un outil français ou européen n'est pas magiquement inviolable, mais il est soumis au RGPD et à la législation européenne, sans exposition au droit extraterritorial américain (Cloud Act). Vos données sont hébergées et gouvernées selon des règles protectrices, ce qui réduit les risques d'exploitation commerciale et de transfert hors de l'UE.
C'est quoi le visa de sécurité de l'ANSSI ?
C'est une certification délivrée par l'Agence nationale de la sécurité des systèmes d'information après audit d'un produit. Elle atteste d'un niveau de robustesse vérifié par l'État. La messagerie Olvid en dispose, ce qui en fait une référence pour les échanges sensibles.
Faut-il un gestionnaire de mots de passe ?
Oui, c'est la mesure la plus rentable. Un gestionnaire génère et stocke un mot de passe unique et complexe par service. Ainsi, lorsqu'un site est piraté, la fuite ne compromet que ce compte-là et non l'ensemble de votre vie numérique. C'est la parade la plus efficace contre le " credential stuffing " qui suit chaque grande fuite.
Pourquoi les cyberattaques visent-elles autant la France en 2025-2026 ?
La numérisation des services publics et de santé a multiplié les cibles à forte valeur. L'ANSSI observe une menace stable mais qui se diversifie : cybercriminalité lucrative, espionnage étatique (acteurs liés à la Russie et à la Chine) et exploitation quasi immédiate des failles sur les équipements exposés. Les secteurs éducation, collectivités et santé concentrent la majorité des incidents.
En résumé : la souveraineté comme réflexe
Les fuites de 2024-2026 ont une leçon commune : la sécurité totale n'existe pas, mais on peut réduire drastiquement sa surface d'exposition. Vérifier ses fuites, cloisonner ses mots de passe, chiffrer ses échanges et choisir des outils hébergés en France sont des gestes accessibles à tous. Pour aller plus loin, explorez notre catégorie Sécurité & Vie privée : chaque outil y est présenté avec sa fiche, ses alternatives et les avis de la communauté.