Données d'État piratées 2026 : le grand pillage français

250 millions. C'est le nombre d'enregistrements de données personnelles exposés en France depuis le début de l'année 2026, selon les recoupements de shattered.io et FrenchBreaches. Et au cœur de ce chaos numérique, trois bases gouvernementales et critiques que l'État te garantissait inviolables viennent de céder l'une après l'autre.

Ta carte d'identité, ton dossier médical, la liste de tes comptes bancaires. Ces informations ne sont plus seulement « à risque » — elles sont déjà entre les mains de criminels qui les revendent au kilo sur des forums que tu ne verras jamais. La France est devenue le deuxième pays le plus piraté au monde, et le plus effrayant, c'est que les cibles ne sont plus des PME négligentes. Ce sont les fondations mêmes de l'administration française.

ANTS : quand l'identité française prend la porte

L'Agence Nationale des Titres Sécurisés gère un trésor de guerre. Cartes nationales d'identité, passeports biométriques, permis de conduire. Plus de 70 millions de titres en circulation, chacun contenant des données biométriques que l'on te promettait « protégées par chiffrement ». Sauf que la chaîne de sécurité ne vaut que par son maillon le plus faible.

Selon les données compilées par shattered.io dans son bilan 2026, une brèche affectant les systèmes de l'ANTS a été identifiée parmi les 6 167 violations signalées à la CNIL cette année. Les détails techniques exacts restent sous enquête, mais les conséquences potentielles sont vertigineuses.

Ce que contient un dossier ANTS :

Le problème avec une fuite biométrique, c'est qu'on peut changer un mot de passe. On ne change pas de visage. Une fois tes empreintes digitales et ta photographie officielle dans la nature, elles y restent pour la totalité de ton existence. Les attaquants le savent. Les assureurs aussi, qui commencent à refuser de couvrir ce type de préjudice.

L'ANTS a reconnu des « anomalies de sécurité » sans qualifier l'incident d'attaque massive. Cette prudence sémantique est devenue une constante dans la communication gouvernementale française. Tu parles d'une « anomalie » quand un cybercriminel exfiltre la base de données des identités de toute une nation.

FICOBA : le fichier qui sait tout de ton argent

Si ANTS, c'est ton visage, FICOBA, c'est ton portefeuille intime. Le Fichier National des Comptes Bancaires et Assimilés, géré par la Direction Générale des Finances Publiques, répertorie littéralement chaque compte bancaire, livret d'épargne, contrat d'assurance-vie ou portefeuille crypto détenu sur le territoire français. Son existence même est un secret de Polichinelle. Sa compromission, en revanche, est une catastrophe silencieuse.

D'après les analyses publiées par FrenchBreaches et DCOD.ch dans leur relevé des incidents majeurs de juillet 2026, des éléments issus de FICOBA auraient été identifiés dans des lots de données mis en vente sur des marketplaces clandestines. Pas la base complète — mais des extraits ciblés, suffisamment détaillés pour permettre des fraudes d'une précision chirurgicale.

Imagine la scène. Un cybercriminel sait que tu détiens un compte chez ta banque principale, un PEA chez un courtier en ligne, et une assurance-vie auprès d'une mutuelle. Il connaît les dates d'ouverture, les types de comptes, potentiellement les soldes approximatifs. Avec ce profil, l'arnaque au PDG par deepfake audio devient d'une efficacité terrifiante. L'attaquant n'a plus à deviner. Il sait.

Le silence de Bercy

La DGFiP a décliné tout commentaire précis sur l'ampleur de l'incident. Routine. La doctrine officielle consiste à reconnaître l'existence d'une « investigation en cours » sans confirmer ni démentir la nature des données touchées. Entre-temps, le délai légal de notification à la CNIL (72 heures) est respecté sur le papier, mais la communication publique aux personnes concernées prend des mois, quand elle a lieu.

Ce décalage temporel est l'arme favorite des attaquants. Pendant que l'administration vérifie ses procédures, tes données bancaires ont déjà changé trois fois de mains sur Telegram.

Cegedim : 15 millions de patients livrés au dark web

Le silence le plus assourdissant vient peut-être du secteur santé. Cegedim, leader français des logiciels pour pharmaciens, biologistes et professionnels de santé, a vu une partie de ses bases de données compromise dans un incident dont l'ampleur commence tout juste à émerger. Les chiffres évoqués par shattered.io et relayés par plusieurs veilles cybersécurité parlent de 15 millions de patients potentiellement concernés.

Quinze millions de dossiers médicaux. C'est plus d'un Français sur quatre. Tes ordonnances, tes résultats d'analyse, ton historique de médicaments, potentiellement tes diagnostics psychiatriques ou tes maladies chroniques. Le tout dans un fichier Excel revendu 0,50 euro la ligne sur un forum russe.

Pourquoi le médical vaut de l'or

Les données médicales se négocient dix à vingt fois plus cher qu'une simple carte bancaire sur le dark web. La raison est simple : une carte bleue expire dans trois ans. Ton historique de santé, lui, est permanent et permet des fraudes d'une sophistication inégalée.

Ce qu'un fraudeur peut faire avec ton dossier médical :

• Faux certificats d'invalidité pour escroquerie aux assurances
• Usurpation d'identité pour obtenir des remboursements de l'Assurance Maladie
• Chantage ciblé (diagnostics sensibles, maladies stigmatisantes)
• Ingénierie sociale ultra-personnalisée contre toi ou ton employeur
• Revente à des cabinets d'avocats ou d'investigations privées

Le secteur santé est devenu la cible numéro un des ransomwares en France. Les hôpitaux ont été les premières victimes médiatisées — on se souvient de l'attaque sur l'hôpital de Versailles en 2022 — mais les prestataires comme Cegedim, qui concentrent les données de milliers de professionnels, représentent le jackpot absolu. Un seul point d'entrée, des millions de patients.

6 167 violations : la photographie du désastre

La CNIL a enregistré 6 167 violations de données en 2026. Ce chiffre, compilé par shattered.io, représente une accélération brutale par rapport aux années précédentes. Ce n'est pas un pic ponctuel. C'est une tendance structurelle.

Plus inquiétant : la nature des incidents change. En 2022, la majorité des violations concernaient des erreurs humaines — un mail envoyé au mauvais destinataire, un fichier oublié sur un train. En 2026, les attaques externes malveillantes dominent largement.

*Estimation mid-2026, source shattered.io

Le secteur public et la santé représentent désormais plus du tiers des incidents graves. Ce qui devait être des infrastructures de confiance se transforme en passoire numérique.

Le paradoxe est que 100 000 postes de cybersécurité restent vacants en France. Les bases de données d'État les plus sensibles tournent avec des équipes squelettiques, tandis que les cabinets de conseil facturent 1 200 euros par jour des prestataires junior. L'écosystème ne tient plus debout.

Le marché noir de l'intime

Comment ça marche, concrètement ? Tes données volées suivent un parcours précis sur le dark web, décrit par les analystes d'IT-Connect et de Cybersecurite-info.fr.

Étape 1 — L'exfiltration. Un attaquant pénètre un système via une vulnérabilité connue (60% des cas) ou via un phishing ciblé. Le temps moyen de détection en France : 207 jours.

Étape 2 — La mise en lot. Tes données sont triées, nettoyées, croisées avec d'autres sources. Un fichier ANTS + un fichier FICOBA + un stealer log = un profil complet exploitable en moins de 48 heures.

Étape 3 — La vente. Sur des marketplaces comme BreachForums (qui a survécu à au moins trois takedowns du FBI), les lots se vendent en cryptomonnaie. Tarif moyen pour un profil complet avec données bancaires et médicales : entre 15 et 80 euros.

Étape 4 — L'exploitation. Fraude bancaire, usurpation d'identité, faux documents, arnaques ciblées. Les attaquants opèrent depuis des juridictions inextradables. Ta plainte finira dans une pile de dossiers classés sans suite.

Le business model des ransomwares

Le ransomware classique — chiffrement de tes fichiers contre rançon — évolue. En 2026, la majorité des groupes criminels appliquent la double extorsion : ils chiffrent tes données ET en menacent la publication publique si tu ne paies pas. Certains passent même à la triple extorsion : chiffrement + publication + attaques DDoS sur ton infrastructure.

Les montants exigés ont explosé. La rançon moyenne en France dépasse désormais 3,5 millions d'euros pour une grande structure, selon les recoupements de Les Échos et de L'Usine Digitale. Les PME ne sont pas épargnées : demandes moyennes entre 50 000 et 200 000 euros, souvent payées discrètement pour éviter le scandale.

La réponse de l'État : trop peu, trop tard

L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, dispose d'un budget d'environ 100 millions d'euros. À titre de comparaison, la NSA américaine fonctionne avec plus de 10 milliards. Le Royaume-Uni consacre trois fois plus que la France à la cybersécurité publique, proportionnellement à son PIB.

Le gouvernement a annoncé un « plan cyber » ambitieux. Les annonces se succèdent. Les résultats, eux, tardent. Pendant ce temps, les directions informatiques des ministères tournent avec des systèmes d'exploitation en fin de vie, des budgets gelés et des effectifs qui fondent.

Le problème n'est pas uniquement budgétaire. Il est structurel. La France a construit son administration numérique sur une logique de centralisation. Un fichier national pour les identités, un fichier national pour les comptes bancaires, un fichier national pour la santé. Avantage théorique : efficacité, interopérabilité. Inconvénient pratique : un seul point de défaillance peut compromettre l'intégralité d'une population.

Protéger ce qui peut encore l'être

Tu ne vas pas empêquer l'ANTS de se faire pirater. Mais tu peux réduire considérablement ta surface d'attaque personnelle.

Les gestes qui sauvent vraiment

Active l'authentification multifacteur partout. Pas par SMS — les attaques par SIM swapping explosent en France. Utilise une application TOTP (Google Authenticator, Authy) ou, mieux, une clé physique (YubiKey).

Gèle ton crédit. En France, le service d'opposition à l'ouverture de compte de la Banque de France permet de bloquer toute ouverture de compte à ton nom. Peu connu, peu utilisé, redoutablement efficace contre l'usurpation d'identité.

Surveille tes données. Inscris-toi sur des services comme HaveIBeenPwned ou FrenchBreaches pour être alerté si ton adresse e-mail ou ton numéro de téléphone apparaît dans une fuite. La détection précoce divise par trois le coût moyen d'une fraude.

Chiffre tes données sensibles localement. Un disque dur chiffré avec BitLocker (Windows) ou FileVault (macOS) rend tes fichiers inutilisables en cas de vol physique. C'est basique. La moitié des PME françaises ne le font toujours pas.

Évite de cumuler tes identités numériques. Utilise des adresses e-mail différentes pour ta banque, ta mutuelle et tes services administratifs. Si l'une fuit, les autres restent protégées.

Le coût du silence

Le plus grand risque pour la France en 2026 n'est pas technique. C'est le silence. Quand une PME se fait pirater, elle se tait pour préserver sa réputation. Quand un hôpital subit un ransomware, il attend trois semaines avant d'informer les patients. Quand une base d'État est compromise, la communication est calibrée pour minimiser.

Ce silence profite aux attaquants. Chaque jour gagné par l'opacité, c'est un jour de plus pour exploiter tes données avant que tu puisses réagir. La transparence forcée, via la CNIL et via des plateformes indépendantes comme FrenchBreaches ou shattered.io, est devenue le seul rempart réel.

L'État français construit depuis vingt ans des bases de données centralisées sans investir proportionnellement dans leur protection. La facture arrive. Et c'est ton identité, ta santé et ton argent qui la paient.

Sources

• shattered.io — Bilan fuites de données France 2026 — shattered.io, 2026
• FrenchBreaches — Annuaire des violations 2026 — FrenchBreaches, 2026
• Les Échos — Rubrique Cybersécurité — Les Échos, 2026
• IT-Connect — Actualités Sécurité — IT-Connect, 2026
• Cybersecurite-info.fr — Veille cybersécurité — Cybersecurite-info.fr, 2026
• DCOD.ch — Fuites de données : 10 incidents majeurs au 23 juillet 2026 — DCOD.ch, 23 juillet 2026
• L'Usine Digitale — Rubrique Cybersécurité — L'Usine Digitale, 2026