Fuites de données en France : panorama 2023-2026 et que faire

Depuis 2023, la France enchaîne les fuites de données d'une ampleur inédite : opérateurs télécoms, services de santé, secteur public. Des dizaines de millions de personnes sont concernées. Voici un panorama chiffré et sourcé des plus grandes violations, ce que vous risquez réellement, et la marche à suivre si vos données ont fuité.

Où en est-on en 2026 ?

2024 a été une année record de violations de données personnelles notifiées à la CNIL, et la tendance ne faiblit pas. Trois secteurs concentrent les incidents les plus massifs : les télécoms (bases clients avec IBAN), la santé (tiers payant, numéro de sécurité sociale) et le secteur public. La gravité ne tient pas qu'au volume : certaines fuites exposent le NIR (numéro de sécurité sociale), une donnée que l'on ne peut pas changer, contrairement à un mot de passe.

Pour le contexte officiel, la synthèse 2024 de cybermalveillance.gouv.fr et les conseils de la CNIL font référence.

Les grandes fuites françaises (2023-2026)

Nous ne listons ci-dessous que les fuites confirmées par les organismes concernés ou par la CNIL. Les chiffres marqués « ≈ » sont des ordres de grandeur à recouper.

Organisme	Date	Personnes touchées	Données exposées
France Travail / Pôle emploi	Mars 2024	≈ 43 millions	État civil, NIR, coordonnées
Viamedis & Almerys (tiers payant)	Janv.-fév. 2024	≈ 33 millions	État civil, NIR, assureur, garanties
Free / Free Mobile	Octobre 2024	≈ 19 millions (dont ≈ 5 M d'IBAN)	Nom, email, adresse, IBAN
Bouygues Telecom	Août 2025	≈ 6,4 millions	Coordonnées, données contractuelles, IBAN
SFR	2024	≈ 3,6 millions	Coordonnées, IBAN (partiel)

France Travail (43 millions)

La plus grande fuite jamais notifiée en France : l'état civil et le NIR de quelque 43 millions de personnes inscrites ou ayant été inscrites à France Travail au cours des 20 dernières années. Source : Bitdefender.

Viamedis & Almerys (33 millions)

Deux opérateurs de tiers payant santé piratés début 2024, exposant les données d'assurés de très nombreuses complémentaires santé. La CNIL a ouvert une enquête ; le Sénat évoque 33 millions d'assurés.

Free, Bouygues, SFR (IBAN exposés)

Les fuites télécoms ont la particularité d'exposer des IBAN. Chez Free, environ 5 millions d'IBAN auraient été concernés (Siècle Digital). Des données clients SFR ont été revendues sur le dark web.

Que risque-t-on concrètement ?

Une fuite n'a rien d'abstrait. Les principaux risques :

• Phishing ciblé (spear phishing) : avec votre nom, votre opérateur et votre adresse, un escroc rédige un message crédible (« votre facture Free… ») pour vous piéger.
• Usurpation d'identité : le NIR et l'état civil facilitent l'ouverture de comptes ou de crédits à votre nom.
• Fraude à l'IBAN : un IBAN volé permet de tenter des prélèvements frauduleux. Bonne nouvelle : un IBAN n'est pas une carte bancaire, on ne peut pas « vider » votre compte directement, et tout prélèvement non autorisé est contestable et remboursable (jusqu'à 13 mois).

Comment savoir si je suis concerné ?

Trois moyens :

• La notification de l'entreprise : le RGPD l'oblige à vous informer en cas de risque élevé, et à notifier la CNIL sous 72 heures.
• Have I Been Pwned : saisissez votre email sur haveibeenpwned.com pour voir dans quelles fuites connues il apparaît, et activez les alertes gratuites.
• La CNIL ne peut pas vous dire individuellement si vous êtes touché : elle contrôle l'entreprise, elle ne tient pas de registre des victimes.

Que faire : la checklist en 7 étapes

1. Changez les mots de passe du service concerné et de tout autre compte où vous l'aviez réutilisé.
2. Activez la double authentification (2FA) sur vos comptes sensibles (email, banque, impôts) — de préférence via une application plutôt que par SMS.
3. Surveillez votre compte bancaire et vérifiez la liste des mandats de prélèvement autorisés dans votre espace en ligne.
4. Méfiez-vous des messages qui suivent une fuite : ne cliquez jamais sur un lien reçu par mail/SMS, saisissez l'adresse du site à la main.
5. Signalez sur cybermalveillance.gouv.fr et, en cas de préjudice, déposez plainte.
6. En cas d'IBAN exposé, prévenez votre banque pour une vigilance renforcée.
7. En cas de soupçon d'usurpation, vérifiez le fichier FICOBA (comptes ouverts à votre nom).

Se protéger durablement

Au-delà de la réaction, quelques réflexes réduisent fortement l'impact des fuites futures :

• Un gestionnaire de mots de passe pour avoir un mot de passe unique par service : ainsi une fuite n'en compromet qu'un seul. La CNIL le recommande explicitement.
• La 2FA partout où c'est possible.
• Des alias email : une adresse jetable par service permet de cloisonner et même d'identifier la source d'une fuite.
• La surveillance des fuites via Have I Been Pwned ou un service de veille intégré à votre gestionnaire.

Questions fréquentes

Peut-on me voler de l'argent avec mon seul IBAN ?

Non, pas directement : un IBAN sert à émettre un prélèvement, qui reste contestable et remboursable. Surveillez vos prélèvements et signalez tout mouvement inconnu.

Faut-il changer de carte bancaire après une fuite d'IBAN ?

Non. L'IBAN n'est pas la carte bancaire. Inutile de faire opposition à votre CB pour une fuite d'IBAN ; il suffit de surveiller vos prélèvements.

Combien de temps une entreprise a-t-elle pour signaler une fuite ?

72 heures pour notifier la CNIL, dès qu'elle a connaissance d'une violation présentant un risque.

La CNIL peut-elle me dire si je suis concerné ?

Non. La CNIL contrôle et sanctionne les organismes, mais ne renseigne pas les particuliers au cas par cas. Utilisez Have I Been Pwned et attendez la notification de l'organisme.

Dernière mise à jour : 28 juin 2026. Les chiffres proviennent des sources liées dans l'article ; certains ordres de grandeur (≈) issus de revendications restent à recouper.