Le patron nous a suggéré d’examiner le bilan de la France en matière de cybersécurité, et franchement, le tableau n’est pas beau à voir. Depuis début 2024, les fuites de données gouvernementales en France ont atteint une ampleur difficile à croire si les chiffres n’étaient pas confirmés par les propres régulateurs du pays. Dossiers d’emploi, fichiers d’assurance maladie, comptes bancaires, dossiers hospitaliers, licences de fédérations sportives : tout a été piraté, tout a été exposé, formant ensemble le portrait d’une défaillance systémique.
Voici ce qui s’est passé, ce que cela signifie pour les citoyens ordinaires, et pourquoi la tendance ne fait qu’empirer.
Fuites de données gouvernementales en France : l’ampleur du problème
En février 2024, deux prestataires de paiement dans le secteur de la santé, Viamedis et Almerys, ont subi des violations exposant les données de 33 millions de personnes, soit près de la moitié de la population. Noms, dates de naissance, numéros de sécurité sociale et informations d’assurance maladie ont tous été compromis. L’ancien secrétaire général de la CNIL, Yann Padova, a qualifié cela de « la plus grande faille de sécurité en France » à l’époque. Ce record n’a pas duré longtemps.
Un mois plus tard, France Travail (l’agence nationale pour l’emploi, anciennement Pôle Emploi) a révélé que des pirates avaient dérobé les données personnelles de jusqu’à 43 millions de personnes. Les attaquants ont eu recours à l’ingénierie socialePratique de manipulation des personnes par la tromperie, les fausses identités ou les scénarios fabriqués pour obtenir l'accès, les informations ou la confiance. Exploite souvent les vulnérabilités psychologiques plutôt que les défauts techniques. pour s’emparer des comptes de conseillers CAP Emploi et ont accédé à vingt ans d’archives de demandeurs d’emploi : noms, dates de naissance, numéros de sécurité sociale, adresses e-mail et postales, numéros de téléphone. L’intrusion a duré du 6 février au 5 mars 2024, avant d’être détectée.
En septembre 2024, des chercheurs ont découvert un serveur Elasticsearch exposé contenant 95 millions d’enregistrements issus d’au moins 17 fuites de données françaises distinctes, compilés par un acteur inconnu dans une base de données unique de 30 gigaoctets. Pour mémoire, la population française est d’environ 68 millions de personnes.
Quand les données volées deviennent une arme
La plupart des violations mènent à des tentatives de hameçonnage et d’usurpation d’identité. Le piratage de la Fédération Française de Tir (FFTir) en octobre 2025 a conduit à quelque chose de bien plus dangereux.
Les attaquants ont dérobé des informations sur un million de personnes, dont 250 000 licenciés en activité et 750 000 anciens membres. Les données comprenaient noms, adresses, numéros de téléphone et informations de licence. Surtout, bien que la fédération ne stockât pas d’informations sur les armes spécifiques détenues, il est de notoriété publique en France que les tireurs licenciés conservent souvent des armes à domicile.
En quelques semaines, des criminels ont commencé à utiliser les données volées comme liste de cibles pour des cambriolages. À Nice, deux faux policiers ont dérobé des armes à feu et des munitions chez un tireur sportif. À Limoges, des individus masqués ont emporté deux pistolets et 500 cartouches au domicile d’un ancien garde du corps. Dans le Rhône, un tireur de compétition a été ligoté par des hommes armés qui l’ont contraint à ouvrir son coffre à armes, repartant avec neuf armes à feu, 1 300 cartouches et une importante somme d’argent.
Les autorités françaises ont arrêté un suspect de 18 ans en janvier 2026, présumé avoir orchestré le piratage et vendu les données sur des forums criminels.
La série noire continue : hôpitaux, banques, télécoms
En novembre 2024, une cyberattaque contre un hôpital français a exposé les dossiers médicaux de 758 912 patients, dont des ordonnances, des historiques de carte Vitale et des données personnelles. L’auteur de l’attaque a revendiqué l’accès aux dossiers de patients dans plusieurs hôpitaux, pour un total de plus de 1,5 million de personnes.
En octobre 2024, l’opérateur télécom Free (et sa filiale Free Mobile) a été piraté, exposant les données de 24 millions de contrats d’abonnés, dont des numéros de compte bancaire (IBAN). Les sociétés ont reçu plus de 2 500 plaintes et ont été condamnées à une amende combinée de 42 millions d’euros par la CNIL en janvier 2026.
Fin janvier 2026, un attaquant a accédé au fichier national des comptes bancaires (FICOBA), une base de données gérée par l’administration fiscale qui recense tous les comptes ouverts dans le pays. L’intrus a utilisé des identifiants de fonctionnaire volés pour accéder aux données de 1,2 million de comptes, incluant IBAN, noms des titulaires, adresses et identifiants fiscaux. La base de données complète contient des informations sur 300 millions de comptes appartenant à 80 millions de personnes.
Ce que vous pouvez faire
Si vous vivez en France, voici quelques mesures concrètes :
- Vérifiez vos comptes chaque semaine. Repérez les prélèvements non autorisés ou les transactions inconnues.
- Méfiez-vous des appels et des e-mails. Les escrocs utilisent les données volées pour se faire passer pour des policiers, des agents bancaires et des fonctionnaires. Les vraies autorités ne vous appelleront jamais pour « sécuriser » vos armes ou « vérifier » vos coordonnées bancaires par téléphone.
- Changez vos mots de passe sur tout service ayant divulgué une fuite, et ne réutilisez pas les mêmes mots de passe sur différents services.
- Surveillez votre crédit. Avec des numéros de sécurité sociale et des IBAN en circulation, l’usurpation d’identité et les ouvertures frauduleuses de comptes constituent des risques réels.
- Déposez des plaintes. Vous pouvez signaler des incidents au parquet de Paris ou directement à la CNIL.
La vérité inconfortable, c’est qu’avec une moyenne d’environ 10 fuites de données par citoyen français, vos données sont très probablement déjà dans la nature. La question n’est plus de savoir si vous avez été touché, mais combien de fois.
Le patron nous a demandé d’examiner de près la posture de cybersécurité de la France, et le bilan est accablant. Depuis début 2024, les fuites de données gouvernementales en France sont passées d’un problème chronique à une véritable crise, révélant des failles structurelles au sein des administrations, de l’infrastructure de santé, des systèmes financiers et du dispositif réglementaire censé prévenir précisément ce type de situation.
Fuites de données gouvernementales en France : la chronologie d’une défaillance systémique
La cascade a débuté fin janvier 2024, lorsque les prestataires de paiement Viamedis et Almerys ont été victimes d’une attaque par hameçonnage ayant compromis les identifiants de professionnels de santé. L’exposition qui en a résulté a touché 33 millions de personnes, soit près de la moitié de la population française, compromettant numéros de sécurité sociale, informations d’assurance et données d’état civil. L’ancien secrétaire général de la CNIL, Yann Padova, a qualifié cela de « la plus grande faille de sécurité en France ».
Ce constat était dépassé en quelques semaines. Entre le 6 février et le 5 mars 2024, des attaquants ont compromis France Travail via de l’ingénierie socialePratique de manipulation des personnes par la tromperie, les fausses identités ou les scénarios fabriqués pour obtenir l'accès, les informations ou la confiance. Exploite souvent les vulnérabilités psychologiques plutôt que les défauts techniques., détournant des comptes de conseillers CAP Emploi pour accéder à 20 ans de données sur les demandeurs d’emploi. La CNIL a confirmé que jusqu’à 43 millions de personnes avaient été touchées. L’enquête ultérieure de la CNIL a établi que les procédures d’authentification étaient insuffisamment robustes, que les dispositifs de journalisation étaient inadéquats pour détecter les comportements anormaux, et que les autorisations d’accès étaient bien trop larges. Plus accablant encore, la CNIL a relevé que France Travail avait identifié les mesures de sécurité appropriées dans ses propres analyses d’impact, mais ne les avait tout simplement jamais mises en œuvre.
France Travail a été condamnée à une amende de 5 millions d’euros en janvier 2026, la CNIL invoquant une « méconnaissance des principes élémentaires de sécurité ». L’agence a ensuite subi sept violations de données supplémentaires rien qu’en 2025.
Le problème de l’agrégation
Les violations individuelles sont préjudiciables. Leur effet cumulé est catastrophique. En septembre 2024, des chercheurs ont découvert un serveur Elasticsearch exposé contenant 95 350 331 enregistrements issus d’au moins 17 fuites de données françaises distinctes, compilés en une base de données unique de 30,1 gigaoctets par un acteur malveillant inconnu. La compilation incluait des données de télécoms, de plateformes e-commerce, de réseaux sociaux et d’autres sources.
C’est là le vrai danger : les violations individuelles sont croisées et enrichies. Un numéro de sécurité sociale issu de Viamedis, combiné à une adresse provenant de France Travail, combiné à un IBAN venant de Free : on obtient un profil d’identité complet qui permet des fraudes sophistiquées bien au-delà de ce qu’une seule violation permettrait.
Selon InCyber, citant des données de Surfshark, le citoyen français moyen a été victime d’environ 10 fuites de données. La France se classe première en Europe et deuxième au niveau mondial pour les comptes compromis, avec 1,8 million de comptes exposés rien qu’au premier semestre 2025.
Du cyberespace à la violence physique : le cas FFTir
Le piratage de la Fédération Française de Tir (FFTir) en octobre 2025 illustre une dimension des fuites de données que les modèles de risque sous-estiment souvent : les conséquences dans le monde physique.
Les attaquants ont exfiltré des informations sur un million de personnes, dont 250 000 licenciés actifs. En quelques semaines, des criminels utilisaient ces données comme liste de cibles pour des cambriolages à main armée. Des incidents ont été signalés dans toute la France : de faux policiers volant des armes à Nice et à Paris, des assaillants masqués ligotant un tireur dans le Rhône et le forçant à ouvrir son coffre à armes, un vol à Limoges visant un ancien garde du corps. Le parquet de Paris a confirmé que les données volées avaient servi à commettre des cambriolages au cours desquels des armes avaient été dérobées.
Un suspect de 18 ans a été arrêté en janvier 2026, inculpé d’avoir orchestré le piratage et vendu les données sur des forums cybercriminels et Telegram. L’affaire soulève de sérieuses questions sur la conservation des données : la fédération détenait des informations sur 750 000 anciens membres, dont beaucoup avaient laissé leur licence expirer depuis des années. En vertu du RGPD, les organisations sont censées supprimer les données qui ne sont plus nécessaires à leur finalité d’origine.
Les infrastructures gouvernementales sous le feu
Les violations n’ont pas épargné les systèmes gouvernementaux centraux. Fin janvier 2026, un attaquant a accédé au FICOBA, le fichier national des comptes bancaires, en se faisant passer pour un fonctionnaire dont les identifiants permettaient des requêtes inter-ministérielles. Le ministère de l’Économie a révélé que 1,2 million de comptes avaient été exposés, dont IBAN, noms des titulaires et identifiants fiscaux. La base de données, gérée par la Direction générale des finances publiques (DGFiP), contient des informations sur environ 300 millions de comptes appartenant à 80 millions de personnes.
L’infrastructure de santé s’est révélée tout aussi vulnérable. En novembre 2024, une violation via le système de dossier patient informatisé MediBoard a exposé 758 912 dossiers de patients dans un hôpital français, dont des ordonnances et des historiques de carte Vitale. L’auteur de l’attaque a revendiqué l’accès aux données de patients dans plusieurs hôpitaux, pour un total de plus de 1,5 million de personnes. En octobre 2024, Free et Free Mobile ont été piratés, exposant 24 millions de contrats d’abonnés dont les IBAN. La CNIL a constaté que les sociétés n’avaient pas mis en place les mesures d’authentification VPN élémentaires et qu’elles manquaient d’un système de détection des anomalies efficace.
Le phénomène touche également les collectivités territoriales. D’innombrables mairies ont été affectées : Quimper, Brest, Chatou, Alfortville, Saint-Aubin d’Aubigné, ainsi que la violation Synbird, qui a impacté un système en ligne de prise de rendez-vous pour l’état civil utilisé par 1 300 communes. Les fédérations sportives ont été touchées de toutes parts : tir, football, handball, tennis de table, danse, tir à l’arc, escalade.
La réponse réglementaire : trop peu, trop tard ?
La CNIL a intensifié ses actions répressives. En 2024, elle a prononcé 87 sanctions pour un total de 55,2 millions d’euros, soit le double par rapport à l’année précédente. En 2025, elle a prononcé 83 sanctions pour un total de 486,8 millions d’euros, soit près de neuf fois le montant de 2024. Cette hausse a été principalement portée par deux amendes massives pour non-respect du consentement aux cookies (325 millions et 150 millions d’euros contre des acteurs majeurs non nommés, largement identifiés comme Google et Shein), mais les violations de la sécurité des données sont restées un thème central de l’action répressive.
La question est de savoir si les amendes sont calibrées pour provoquer un changement. France Travail, un organisme public financé par les cotisations de sécurité sociale, a été condamné à 5 millions d’euros pour avoir exposé 43 millions de dossiers. Free et Free Mobile, filiales du groupe Iliad, ont été condamnées à 42 millions d’euros pour avoir exposé 24 millions de contrats. Ces montants, bien que significatifs en valeur absolue, ne constituent peut-être pas un effet dissuasifLa suppression de comportements légaux, comme la recherche ou la liberté d'expression, causée par la crainte de sanctions ou l'incertitude plutôt que par une interdiction directe. suffisant pour des organisations traitant des données à cette échelle.
Une critique structurelle, formulée par Guillaume Champeau, fondateur de Numerama, et rapportée par InCyber, est que la CNIL a mis trop de temps à sanctionner spécifiquement les manquements à la sécurité des données. « Le RGPD est devenu une blague pour les responsables de traitement », a déclaré Champeau. « Au lieu de faire passer le message que les données devaient être protégées, le message envoyé était qu’on pouvait simplement s’en ficher. »
Causes profondes et vulnérabilités structurelles
Les schémasCadres mentaux de représentations compressées et d'attentes que le cerveau utilise pour encoder, stocker et récupérer les informations. Lorsque vous vous souvenez de quelque chose, votre cerveau la reconstruit en utilisant des schémas plus tous les indices contextuels présents. récurrents dans ces violations pointent vers des défaillances systémiques plutôt qu’accidentelles :
- Authentification défaillante. Les comptes CAP Emploi de France Travail, les accès VPN de Free et les identifiants inter-ministériels du FICOBA manquaient tous d’authentification multi-facteurs ou de contrôles d’accès robustes.
- Conservation excessive des données. France Travail conservait 20 ans d’archives. La FFTir détenait des données sur 750 000 anciens membres. Free Mobile conservait les données des abonnés sans mettre en œuvre la purge légalement requise.
- Sous-investissement chronique. Selon cybermalveillance.gouv.fr, 77 % des élus et agents des collectivités dépensent moins de 2 000 euros par an en cybersécurité.
- Détection des anomalies insuffisante. France Travail comme Free ne disposaient pas de systèmes efficaces pour détecter les accès anormaux, permettant aux attaquants d’opérer pendant de longues périodes avant d’être découverts.
La combinaison de vastes bases de données centralisées, de contrôles d’accès défaillants et d’une surveillance minimale crée un environnement de cibles que les acteurs malveillants exploitent avec une sophistication croissante. La position de la France comme premier pays européen en matière de fuites de données n’est pas le fruit de la malchance. C’est le résultat de choix politiques, de priorités budgétaires et d’un cadre réglementaire qui commence seulement à être à la hauteur du problème.
