Fuites de données en France : 45 % des Français disent avoir été informés en 2026

Faits, analyse et incertitudes

Ce que mesure réellement le baromètre

Un baromètre d’opinion mesure des déclarations. C’est sa force — il capte le vécu et la perception, que rien d’autre ne mesure — et c’est sa limite : personne ne vérifie, répondant par répondant, que la notification a bien eu lieu ni qu’elle était fondée.

Concrètement : « 45 % des répondants déclarent avoir été informés d’une fuite de leurs données » ne signifie pas « 45 % des Français ont été victimes d’une fuite », ni « 45 % des Français ont subi un préjudice ». Trois populations différentes se cachent derrière un même chiffre — les personnes touchées, les personnes notifiées, les personnes ayant subi une conséquence — et seules les deuxièmes sont mesurées ici.

Un autre détail compte : le terrain a eu lieu du 13 au 18 mai 2026, soit quatre mois avant la publication. Le communiqué note d’ailleurs que « les événements récents annoncent une hausse continue pour les prochains mois ». Le chiffre décrit donc l’état de la perception au printemps 2026, pas au moment où vous le lisez.

Pourquoi les violations de données deviennent un phénomène de masse

Trois dynamiques se conjuguent, et aucune n’est près de s’inverser.

1. La concentration des données

   Un opérateur télécom, une fédération sportive, un site de commerce ou un acteur de la livraison détiennent chacun les coordonnées de millions de personnes. Une seule intrusion réussie expose donc un volume sans commune mesure avec ce qu’un attaquant obtiendrait en ciblant des individus.

2. L’effet chaîne d’approvisionnement

   Cybermalveillance.gouv.fr relève que les violations constatées en 2025 résultent notamment « d’incidents liés à des prestataires ou des partenaires ». Compromettre un sous-traitant donne accès aux données de tous ses clients d’un coup.

3. Un marché structuré en aval

   Le rapport d’activité 2025 décrit un marché souterrain de la donnée volée « désormais structuré et piloté par des acteurs spécialisés », avec des places de marché dédiées, des kits d’hameçonnage prêts à l’emploi et même des centres d’appels de faux téléconseillers. La donnée volée a une valeur, donc une demande, donc une offre.

Les secteurs touchés en 2025 le montrent bien : le dispositif cite des fédérations et opérateurs sportifs, des organismes de services en santé, des acteurs du commerce en ligne ou physique, de l’assurance ou des mutuelles, des opérateurs de logistique et de livraison, ainsi que France Travail. Ce n’est plus un problème sectoriel.

Les causes techniques, elles, restent classiques. Le même bilan mentionne « des défauts dans la sécurisation des systèmes d’information, des compromissions d’identifiants de comptes, des intrusions dans les infrastructures informatiques ». Rien d’exotique : ce sont les fondamentaux qui cèdent.

Que deviennent les données une fois sorties ?

C’est la question que se pose légitimement toute personne qui reçoit une notification. La réponse est documentée par Cybermalveillance.gouv.fr, et elle explique pourquoi une fuite n’est pas un événement ponctuel mais le début d’une séquence.

Deux exemples cités par le dispositif illustrent la mécanique. Une campagne d’hameçonnage aux couleurs d’un service de commerce en ligne, au printemps dernier, dont les messages contenaient nom, prénom, adresse postale et IBAN de la victime — conséquence probable de violations massives incluant des IBAN en 2024 et 2025. Et, à la suite d’une violation touchant une fédération sportive en octobre 2025, des tentatives de vols par ruse et par effraction, qui ont conduit le dispositif à diffuser une alerte avec le Parquet de Paris et la Préfecture de Police.

Pourquoi les conséquences durent plusieurs mois

Une fuite n’a pas de date de fin. C’est ce qui la distingue de la plupart des incidents de sécurité, et ce qui rend la communication des organisations si délicate : on ne peut pas annoncer que le risque est écarté.

• Les données ne s’effacent pas : une fois recopiées, elles circulent indépendamment de l’incident d’origine
• Elles se recoupent : une fuite d’adresses combinée à une fuite de numéros de téléphone produit un profil plus exploitable que chacune prise isolément
• Elles se revendent plusieurs fois, à des acteurs différents, avec des délais parfois longs
• Les informations d’état civil ne se changent pas, contrairement à un mot de passe ou à un numéro de carte
• L’exploitation arrive souvent après la fin de la couverture médiatique, quand la vigilance est retombée

C’est précisément pour cette raison que Cybermalveillance.gouv.fr a conçu avec la CNIL un support « Violation de données personnelles, que faire en 3 étapes clés », disponible à partir du 1er octobre, qui détaille les actions à mener « du premier jour à J+30 ». L’horizon retenu n’est pas la journée de l’annonce, c’est le mois qui suit.

Ce que fait — ou devrait faire — une organisation après une fuite

Du côté des organisations, une violation de données déclenche une séquence qui mobilise simultanément des compétences techniques, juridiques et de communication. L’erreur la plus fréquente consiste à traiter les trois volets en série alors qu’ils sont concomitants.

Vous venez d’être notifié : que faire ?

Le baromètre montre que les bons réflexes sont partiellement acquis : 59 % des répondants déclarent être devenus plus vigilants face aux courriels, SMS et appels inconnus, 53 % avoir changé leurs mots de passe et 44 % avoir renforcé la surveillance de leurs comptes bancaires. Partiellement, donc : cela signifie aussi qu’une part importante des personnes notifiées n’a rien changé.

Quels métiers sont concernés ?

Une violation de données mobilise une chaîne complète, et c’est l’un des rares incidents où les métiers techniques et les métiers de gouvernance travaillent dans le même tempo.

Ce que les organisations doivent retenir

1. La notification est devenue un moment de vérité

   Avec 45 % des répondants déjà notifiés au moins une fois, les personnes concernées comparent. Une notification vague, tardive ou minimisante se remarque immédiatement.

2. La détection compte plus que jamais

   L’écart entre une fuite détectée en interne et une fuite découverte par la publication des données ailleurs se mesure en semaines, et détermine l’essentiel du préjudice.

3. Les sous-traitants font partie du périmètre

   Les incidents liés à des prestataires ou des partenaires figurent parmi les causes principales relevées en 2025. Une chaîne de sous-traitance non évaluée est un angle mort.

4. L’après compte autant que l’incident

   La vague d’hameçonnage qui suit l’annonce est prévisible. L’anticiper, prévenir les personnes concernées du type de message à attendre, et outiller les équipes en contact avec le public fait une différence mesurable.

5. Les fondamentaux restent les fondamentaux

   Compromission d’identifiants, défaut de sécurisation, intrusion : les causes documentées relèvent de l’hygiène informatique. Le guide d’hygiène de l’ANSSI reste le point de départ.