France : 23 millions de comptes piratés en 3 mois, le cauchemar des fuites de données

Trois comptes piratés chaque seconde. C'est le rythme infernal auquel la France perd ses données personnelles depuis le début de l'année 2026. Selon la dernière étude de Surfshark publiée en avril, l'Hexagone s'est hissé à la deuxième place mondiale des violations de données au premier trimestre, avec 23,5 millions de comptes compromis. Derrière les États-Unis (60,3 millions), mais devant l'Inde, le Brésil et toute l'Europe.

Le chiffre donne le tournis. Surtout quand on réalise qu'il représente un bond de +109% par rapport au trimestre précédent. En trois mois, la France a quasiment doublé son volume de données exposées.

740 millions de comptes piratés depuis 2004

Ce n'est pas un coup de tonnerre dans un ciel serein. La France est une victime récurrente des fuites de données depuis plus de deux décennies. Depuis 2004, ce sont 740,9 millions de comptes qui ont été compromis sur le sol français, plaçant le pays au quatrième rang mondial derrière les États-Unis, la Russie et la Chine.

Plus de 2,1 milliards de données personnelles ont été exposées au total. Les mots de passe (488,8 millions), les noms d'utilisateur (196,8 millions), les numéros de téléphone (65,2 millions) et les adresses postales (77,4 millions) figurent parmi les informations les plus fréquemment volées. Mais des données bien plus sensibles circulent aussi : 643 300 numéros de sécurité sociale et 19 700 coordonnées bancaires ont été identifiés dans les bases compromises.

Chaque adresse e-mail piratée est en moyenne associée à 2,8 données supplémentaires, un combo qui facilite l'usurpation d'identité et la fraude.

Une année 2026 sous pression maximale

Le premier trimestre 2026 a été marqué par une succession de cyberattaques d'une ampleur inédite. Orange Cyberdefense, via son CERT, a identifié 549 fuites de données impactant la France entre le 1er janvier et le 24 avril 2026. Un chiffre vertigineux.

Rien qu'en janvier 2026, plus de 90 millions de comptes ont été compromis en France. Soit l'équivalent du volume de l'ensemble de l'année 2025 en un seul mois. Une rupture de rythme, pas une simple tendance.

Le phénomène touche sans distinction : administrations (URSSAF, ANTS, Armée de Terre), entreprises privées (Free, SFR, Boulanger, Darty), monde sportif (34 fédérations piratées), et même l'éducation nationale.

Pourquoi la France est-elle tant ciblée ?

Plusieurs facteurs expliquent cette sur-exposition hexagonale.

Un tissu industriel de premier plan. La France abrite de grandes entreprises mondiales, naturellement dans le viseur des groupes cybercriminels. « Le pirate va volontairement les cibler parce qu'elles sont visibles et regorgent de données », explique Adrien Merveille, directeur technique France chez Check Point, interrogé par BFMTV.

La multiplication des surfaces d'attaque. Chaque service numérique est une porte d'entrée potentielle. Cartes de fidélité, applications mobiles, espaces clients en ligne — chaque interaction laisse une trace dans une base de données. « Une même adresse e-mail se retrouve impliquée en moyenne trois fois dans des fuites distinctes », souligne l'étude Surfshark. Comme le rappelle Frandroid, cela représente en moyenne dix comptes compromis par habitant depuis le début de la décennie.

Un bluff médiatique bienvenu pour les pirates. Le directeur de l'ANSSI, Vincent Strubbel, a dénoncé en mars 2026 « un bluff complet » autour de ces vols : 60% des potentielles violations se sont avérées être du recyclage de données déjà publiques. Les pirates raflent d'anciennes bases, les reconditionnent et les revendent comme « nouvelles » pour maximiser leur profit et leur notoriété.

Trois familles de fuites qui alimentent le marché noir

Le CERT Orange Cyberdefense identifie trois grandes catégories de fuites qui circulent sur les marchés cybercriminels :

1. Les fuites d'identifiants (email + mot de passe). Les plus banales, mais aussi les plus exploitées. Collectées via phishing, infostealers ou compromission de services tiers, elles alimentent les attaques de credential stuffing — cette technique qui consiste à tester des identifiants volés sur des dizaines de services différents, en misant sur la flemme des utilisateurs à changer de mot de passe.

2. Les fuites de bases de données. Celles qui font la une. Noms, prénoms, adresses, dates de naissance, coordonnées bancaires — tout un dossier personnel exposé en un coup, suite à une compromission d'infrastructure.

3. Les fuites post-rançongiciel. Le phénomène le plus récent et le plus inquiétant. Les groupes criminels chiffrent les données de leur victime ET les exfiltrent. Si la rançon n'est pas payée, les documents internes — contrats, données RH, dossiers médicaux — sont publiés. Un chantage à double détente qui s'inscrit dans la continuité de l'évolution des ransomwares, comme celui observé avec Kyber.

L'effet boule de neige : tes données nourrissent les attaques futures

Une fois volées, les données ne disparaissent pas. Elles sont revendues sur des marchés noirs comme BreachForums, achetées par d'autres groupes criminels, puis utilisées pour orchestrer de nouvelles attaques — phishing hyper-personnalisé, usurpation d'identité, fraude financière. Ces nouvelles attaques génèrent à leur tour de nouvelles fuites, qui alimentent de nouvelles attaques. Un cercle vicieux industriel.

Clément Domingo, chercheur en sécurité cité par 01net, estime que les données de huit Français sur dix circulent déjà sur des marchés noirs. Un chiffre qui donne une idée de l'ampleur du problème.

Ce phénomène d'industrialisation de la revente a été analysé en détail dans le rapport Europol IOCTA 2026, qui souligne comment l'IA accélère encore la capacité des criminels à exploiter ces données à grande échelle.

L'IA : un amplificateur de risque

L'essor de l'intelligence artificielle dans les entreprises ajoute une couche de complexité. En 2025, 20,2% des entreprises déclaraient utiliser l'IA, contre 8,7% en 2023. Plus de systèmes, plus de données stockées, plus de plateformes interconnectées — donc plus de points de vulnérabilité.

« Les entreprises stockent davantage de données, multiplient les systèmes numériques et intègrent plus de plateformes. Cela améliore leur efficacité, mais crée aussi davantage de points de vulnérabilité », analyse Tomas Stamulis, Chief Security Officer chez Surfshark. Cette multiplication des surfaces d'attaque a d'ailleurs été illustrée de manière frappante quand Vercel a été piraté via un outil IA tiers, démontrant que la supply chain de l'IA est elle-même une faille majeure.

La métaphore de la maison aux cent fenêtres

Adrien Merveille (Check Point) utilise une image frappante pour décrire la situation des entreprises françaises face aux cyberattaques. Imagine une maison avec des centaines de fenêtres. Chaque fenêtre représente un point d'entrée potentiel — messagerie, smartphone, applications cloud, systèmes tiers. Tu dois toutes les surveiller.

« Chacune va vous envoyer des éléments pour dire "on a vu ci, on a vu ça". Parfois, le pirate qui réussit à entrer va le faire par plusieurs fenêtres en même temps, et c'est leur corrélation qui va vous faire comprendre qu'il y a une attaque en cours », détaille-t-il.

Le problème ? Même si les entreprises s'équipent et font de leur mieux, il suffit d'un seul carreau cassé pour que l'intrus s'infiltre. Et les budgets ne sont pas infinis. La fatigue cyber s'installe.

Ce que tu peux faire concrètement

Face à cette menace systémique, l'hygiène numérique n'est pas un luxe — c'est une nécessité. Voici les mesures essentielles recommandées par les experts :

• Vérifie tes comptes compromis sur Have I Been Pwned. Si ton adresse e-mail y figure, change immédiatement les mots de passe associés.
• Utilise un gestionnaire de mots de passe (Bitwarden, 1Password) et génère un mot de passe unique pour chaque service. Oui, « 123456 » est toujours l'un des mots de passe les plus populaires en France — arrête.
• Active l'authentification à deux facteurs (2FA) sur tous les services critiques (mail, banque, réseaux sociaux). La CNIL plaide d'ailleurs pour la rendre obligatoire.
• Limite tes données partagées. Cartes de fidélité, formulaires d'inscription, comptes invités — chaque information que tu donnes est une donnée potentielle dans une future fuite. Le prix d'une réduction en magasin, c'est parfois ta vie privée.
• Surveille tes comptes bancaires et signale toute transaction suspecte immédiatement.
• Méfie-toi du phishing. Avec les données récupérées dans les fuites, les pirates peuvent personnaliser leurs attaques pour les rendre ultra-convaincantes. Si un mail ou un SMS te semble trop précis pour être vrai — méfie-toi justement.

Ce n'est pas un hasard si les fermes de cartes SIM inondent la France de SMS frauduleux : plus les pirates ont d'informations sur toi, plus leurs arnaques deviennent crédibles.

Un problème mondial, pas seulement français

La France n'est pas un cas isolé. À l'échelle mondiale, 210,3 millions de comptes ont été compromis au premier trimestre 2026, soit 27 comptes piratés chaque seconde. Une hausse de 22,1% par rapport au trimestre précédent et un triplement sur un an.

Les « méga-violations » se multiplient partout. La fuite de National Public Data a exposé 2,9 milliards d'enregistrements. Ticketmaster a vu les données de centaines de millions de clients compromises. Change Healthcare a été paralysé par un ransomware affectant 190 millions de dossiers. La France n'est qu'un maillon d'une chaîne mondiale de vulnérabilités.

Mais sa deuxième place au classement Surfshark en fait un cas d'étude particulier. Un pays développé, fortement digitalisé, avec un tissu d'entreprises attractives pour les cybercriminels et une population qui, comme beaucoup d'autres, traîne une dette numérique accumulée depuis deux décennies.

Les données volées circulent pendant des années, bien après l'incident initial. Ta vigilance n'a pas de date d'expiration.

Sources

• Surfshark — Data Breach Monitoring Q1 2026 — Surfshark, avril 2026
• BFMTV — Fédérations sportives, ministères et ANTS piratés — BFMTV, 24 avril 2026
• iTPro — Fuites de données : la France, 2ème pays le plus touché au monde — iTPro, avril 2026
• Frandroid — 10 comptes piratés par habitant en France — Frandroid, avril 2026
• Orange Cyberdefense — Fuites de données : entre risques et prévention — Orange Cyberdefense, avril 2026
• 01net — Cyberattaques en France : les dernières fuites de données — 01net, avril 2026