Fuites de données en France : 40,3 millions de comptes
compromis en 2025, déjà 43,4 millions sur le seul
premier semestre 2026.
Ce que ces chiffres mesurent vraiment.
L’information la plus marquante n’est pas le bilan de l’année écoulée. C’est que les six premiers mois de 2026 ont déjà dépassé les douze mois de 2025. La courbe ne se stabilise pas, elle s’accélère.
Le bilan 2025 et son classement
Le bilan annuel publié en février 2026 par l’éditeur Surfshark établit à 40,3 millions le nombre de comptes associés à la France compromis au cours de l’année 2025. À l’échelle mondiale, le total atteint 425,7 millions.
Le classement place les États-Unis en tête, avec environ 34 % des comptes compromis dans le monde. La France arrive en deuxième position, devant l’Inde, l’Allemagne et la Russie. Rapportée au total mondial, elle pèse près de 10 % à elle seule.
Une précision s’impose sur un chiffre qui circule largement sous une forme erronée. On lit régulièrement « 403 millions de comptes français ». Le décalage de la virgule change l’ordre de grandeur d’un facteur dix : le chiffre publié est bien 40,3 millions. Cette version gonflée dépasserait d’ailleurs de très loin le nombre d’habitants du pays.
Un mot sur la nature de la source, parce qu’elle conditionne la confiance à lui accorder. Ce bilan émane d’un éditeur de solutions de sécurité, dont l’activité commerciale bénéficie de l’inquiétude qu’il documente. Cela n’invalide pas ses chiffres, d’autant que la méthodologie est publiée et que les données proviennent de bases accessibles. Cela invite simplement à les croiser avec des relevés publics, ce que permet le suivi assuré par l’autorité française de protection des données.
Le premier semestre 2026 : déjà dépassé
La donnée la plus récente change la perspective. Le relevé publié à l’été 2026 fait état de 43,4 millions de comptes associés à la France compromis entre janvier et juin 2026.
Autrement dit, six mois ont suffi à dépasser le total d’une année complète. La progression atteint 62,3 % par rapport au second semestre 2025. Sur la même période, les États-Unis comptabilisent 90,8 millions de comptes, et la France devient le pays européen le plus touché.
Elle concentre à elle seule environ 39 % des comptes européens retrouvés dans les grandes fuites étudiées. Ce n’est plus une position dans un classement, c’est une anomalie qui appelle une explication.
Cette accélération se lit dans les incidents documentés individuellement. Elle recouvre aussi bien l’exposition de coordonnées bancaires liée au fichier FICOBA que les fuites ayant touché plusieurs millions d’assurés dans le secteur de la santé, sans compter les incidents affectant des services internationaux dont les utilisateurs français dépendent, comme l’exposition de conversations privées sur un service conversationnel.
Une remarque de prudence sur cette progression. Une hausse de plus de soixante pour cent en un semestre peut refléter plusieurs réalités qu’il vaut mieux ne pas confondre : davantage d’attaques réussies, des fuites de plus grande taille à nombre d’incidents constant, ou une meilleure détection des bases mises en circulation par les partenaires qui alimentent ce suivi. Les trois hypothèses coexistent probablement. Aucune n’est rassurante, mais elles n’appellent pas les mêmes réponses : la première relève de la protection des systèmes, la deuxième de la quantité de données conservées, la troisième de la qualité de la mesure.
Ce que dit la CNIL
Les chiffres d’un éditeur commercial méritent d’être confrontés à une source publique. L’autorité française de protection des données publie chaque année le nombre de notifications de violation qu’elle reçoit, et cette mesure suit une logique totalement différente.
Pour 2025, la CNIL a enregistré 6 167 notifications, un record. La moitié des incidents déclarés relevait directement d’un acte de piratage, le reste couvrant des erreurs, des pertes ou des accès indus.
Trois tendances se dégagent de son analyse, et elles méritent d’être retenues davantage que n’importe quel classement international. Personne n’est épargné, des très petites structures aux grandes organisations. Les fuites deviennent de plus en plus massives. Et les prestataires sont très souvent impliqués.
Ces deux sources ne se contredisent pas : elles décrivent le même phénomène avec des instruments différents. L’une compte des adresses présentes dans des bases divulguées, l’autre des déclarations d’organisations à leur autorité de contrôle. Leur convergence est ce qui rend le constat solide, et elle rejoint les alertes formulées dans les précédents rapports de la Commission sur l’évolution des cyberattaques.
Comment ces chiffres sont construits
Comprendre la méthode évite deux erreurs opposées : la panique et le haussement d’épaules.
- L’unité de compte est l’adresse électronique. Les données sont agrégées par adresse, à partir de bases publiquement accessibles, collectées par des partenaires indépendants puis anonymisées.
- Les doublons s’additionnent. Une même adresse apparaissant dans trois fuites distinctes est comptabilisée trois fois. Le total ne correspond donc jamais à un nombre de personnes.
- Plusieurs adresses par personne. Un utilisateur disposant d’une adresse personnelle, d’une adresse professionnelle et d’une adresse secondaire peut apparaître plusieurs fois pour un seul incident.
- Les petits pays sont exclus. Les États de moins d’un million d’habitants ne figurent pas dans les classements, ce qui écarte les distorsions statistiques.
Ces limites n’invalident pas le constat. Elles imposent seulement de lire les chiffres comme un indicateur de circulation de données, pas comme un décompte de victimes. Sur ce plan, l’indicateur reste parfaitement pertinent : ce qui est mesuré, c’est bien la quantité d’informations françaises disponibles dans des bases divulguées.
Une conséquence pratique en découle. Se demander « suis-je dans cette fuite ? » n’a pas grand sens face à des volumes pareils. La question utile est plutôt : que se passe-t-il si mon adresse et mon nom circulent déjà ?
La réponse à cette question dépend entièrement de la manière dont vos comptes sont protégés, et pas du tout de votre présence ou non dans un fichier particulier.
Pourquoi la France ressort autant
Le classement en volume brut favorise mécaniquement les pays peuplés. C’est pourquoi l’indicateur de densité, rapportant les comptes compromis à la population, est plus parlant. Sur celui-ci, la France arrive première au monde.
Plusieurs facteurs se conjuguent, sans qu’aucun n’explique à lui seul l’écart. La numérisation des services publics et privés y est particulièrement avancée, ce qui multiplie les bases contenant des données personnelles. Le pays a connu une série d’incidents de très grande ampleur touchant des opérateurs de télécommunications, des organismes sociaux et des prestataires de gestion.
S’y ajoute un effet de recensement. Un pays où les obligations de notification sont appliquées, où la presse spécialisée couvre le sujet et où les autorités communiquent produit davantage d’incidents documentés qu’un pays où les fuites passent inaperçues. Une partie de la mauvaise place française vient paradoxalement de la qualité du suivi.
Le phénomène n’est d’ailleurs pas propre au secteur privé. Les organisations publiques européennes figurent parmi les cibles les plus visées, comme le rappellent les travaux consacrés à l’exposition des administrations. La France cumule donc une surface numérique étendue et une exposition institutionnelle forte.
Les secteurs les plus touchés
La répartition sectorielle du bilan mondial place en tête l’internet et les télécommunications, avec environ un cinquième des comptes compromis. Suivent la finance, l’informatique et l’électronique grand public, puis le voyage et le tourisme.
Cette hiérarchie n’a rien d’aléatoire. Ces secteurs partagent une caractéristique : ils détiennent des identités complètes et vérifiées. Un opérateur connaît votre nom, votre adresse, votre numéro, votre mode de paiement et votre historique. Une agence de voyage y ajoute vos déplacements et vos compagnons de route.
Le point à retenir est qu’une base volée n’a pas besoin de contenir un mot de passe ou un numéro de carte pour être dangereuse. Quelques informations exactes suffisent à rendre une tentative de fraude crédible, et c’est précisément ce que ces secteurs détiennent en abondance.
Le secteur de la santé occupe une place à part. Les données qu’il détient ne servent pas seulement à construire un message crédible : elles touchent à l’intime et ne peuvent jamais être remplacées.
Les services numériques récents forment la catégorie montante. Applications d’intelligence artificielle, outils de retouche, assistants : ils accumulent très vite des contenus sensibles, parfois sans les protections élémentaires, comme l’a montré le cas d’une application ayant laissé des millions de fichiers en libre accès.
Ce que deviennent les données volées
Une fuite ne s’arrête pas le jour où elle est annoncée. C’est même l’inverse : l’annonce marque le début de la circulation. Les fichiers sont copiés, revendus, recoupés avec d’autres bases et réutilisés pendant des années.
L’hameçonnage ciblé constitue le premier débouché. Un message mentionnant votre nom, votre opérateur réel et une référence plausible désarme la méfiance bien plus efficacement qu’un courriel générique. C’est le mécanisme central de l’usurpation de conseiller bancaire comme des fausses procédures administratives.
Les tentatives automatisées de connexion viennent ensuite. Un mot de passe compromis sur un service est essayé mécaniquement sur des dizaines d’autres. Cette technique ne fonctionne que sur les comptes partageant le même mot de passe, ce qui explique pourquoi la réutilisation est le point faible principal.
L’usurpation d’identité ferme la marche. Une identité complète permet d’ouvrir des comptes, de constituer des dossiers, parfois des années après la fuite d’origine. Ces données ne se périment pas : un nom, une date de naissance et une adresse restent exacts très longtemps.
Ce qu’il faut faire concrètement
Pour un particulier
Éliminer la réutilisation. C’est la mesure la plus efficace, et de loin. Un gestionnaire de mots de passe permet d’avoir un identifiant différent partout sans effort de mémoire.
Protéger l’adresse pivot. La messagerie principale sert à réinitialiser tous les autres comptes. C’est là qu’il faut activer en priorité l’authentification à deux facteurs.
Traiter tout message entrant comme non vérifié. Ne jamais rappeler un numéro fourni dans un message, ne jamais suivre un lien reçu : passer par les coordonnées habituelles du service concerné.
Pour une entreprise
Réduire ce qui est conservé. Une donnée supprimée ne peut pas fuir. Passer en revue les durées de conservation est souvent l’action la plus rentable, et la moins engagée.
Cartographier les prestataires. Puisque les sous-traitants sont fréquemment impliqués, savoir qui détient quoi conditionne la capacité à réagir.
Préparer la communication. La perte de confiance vient rarement de l’incident lui-même, plus souvent de la manière dont il est annoncé, ou du silence qui l’entoure.
Cloisonner les accès. La question n’est plus d’empêcher toute intrusion, mais de limiter ce qu’un compte compromis permet d’atteindre.
Une dernière remarque, qui tient lieu de conclusion pratique. Face à des volumes qui dépassent la population du pays, l’hypothèse raisonnable n’est plus de se demander si ses données ont fuité, mais de considérer qu’une partie d’entre elles circule déjà. Toute la stratégie découle de ce point de départ : sécuriser les comptes de façon à ce qu’une information compromise ne suffise jamais, à elle seule, à ouvrir une porte.
Fuites de données en France : les chiffres à comprendre.
Combien de comptes français ont été compromis ?
40,3 millions sur l’ensemble de l’année 2025, selon le bilan publié en février 2026, et 43,4 millions sur le seul premier semestre 2026. Le total mondial atteignait 425,7 millions pour 2025. Le chiffre de 403 millions qui circule provient d’une virgule mal placée.
Cela signifie-t-il 40 millions de victimes ?
Non. L’unité comptée est l’adresse électronique apparaissant dans une base divulguée. Une même adresse présente dans trois fuites est comptabilisée trois fois, et une personne disposant de plusieurs adresses peut apparaître plusieurs fois pour un seul incident.
La situation s’aggrave-t-elle ?
Oui, nettement. Les six premiers mois de 2026 ont dépassé le total de l’année 2025 entière, avec une progression de 62,3 % par rapport au second semestre précédent. La France est devenue le pays européen le plus touché et concentre environ 39 % des comptes européens concernés.
Que disent les chiffres officiels français ?
La CNIL a reçu 6 167 notifications de violation de données en 2025, un record. La moitié des incidents déclarés relevait d’un piratage. Elle relève trois tendances : personne n’est épargné, les fuites sont de plus en plus massives, et les prestataires sont très souvent impliqués.
Pourquoi la France est-elle si exposée ?
Une numérisation très avancée des services, une série d’incidents de grande ampleur touchant opérateurs, organismes sociaux et prestataires, et un effet de recensement : un pays où les notifications sont appliquées et le sujet couvert produit davantage d’incidents documentés qu’un pays où les fuites passent inaperçues.
Quels secteurs sont les plus concernés ?
L’internet et les télécommunications arrivent en tête avec environ un cinquième des comptes compromis, devant la finance, l’informatique et l’électronique grand public, puis le voyage et le tourisme. Ces secteurs détiennent des identités complètes et vérifiées.
Faut-il un mot de passe volé pour qu’il y ait un risque ?
Non. Quelques informations exactes suffisent à rendre une tentative de fraude crédible. Un message mentionnant votre nom, votre opérateur réel et une référence plausible désarme la méfiance bien plus efficacement qu’un courriel générique.
Quelle est la mesure la plus efficace ?
Éliminer la réutilisation des mots de passe, en s’appuyant sur un gestionnaire dédié, et activer l’authentification à deux facteurs en priorité sur la messagerie principale, qui sert à réinitialiser tous les autres comptes.
- Surfshark — Suivi mondial des violations de données et méthodologie complète
- Global Security Mag — Bilan annuel 2025 et classement des pays les plus touchés
- Journal du Geek — Répartition trimestrielle et secteurs concernés
- Univers Simu — Relevé du premier semestre 2026 et rapprochement avec les données de la CNIL
- L’Éclaireur — Analyse des facteurs d’exposition propres à la France
- CNIL — Notifications de violations de données personnelles et obligations applicables
WY-Créations analyse les évolutions du web, de la cybersécurité et de la protection des données. Les volumes cités proviennent d’un éditeur privé et comptent des adresses électroniques, non des personnes ; les données de la CNIL suivent une méthode distincte. Pour aller plus loin : toutes les actualités web.
Une donnée que l’on ne conserve pas est une donnée qui ne peut pas fuir.
WY-Créations accompagne les entreprises sur leurs sites, leurs formulaires et la maîtrise des données qu’elles collectent.