Cyberattaques en France : 196 exfiltrations record, l’ANSSI face au décompte de FrenchBreaches

La boutique en ligne d’Acrimed, association de critique des médias, est hors ligne. Mise en maintenance après une cyberattaque ayant compromis adresses email, mots de passe chiffrés et historiques de commandes ^[1]. La violation a été notifiée à la CNIL ^[2], les comptes inactifs depuis 2017 ^[3] supprimés par précaution ^[4], et les utilisateurs invités à changer leurs mots de passe ^[5]. Acrimed prend soin de préciser que les informations bancaires, noms, prénoms, adresses postales et téléphones ne seraient pas concernés ^[6].

LES ENJEUX

Guerre des chiffres entre FrenchBreaches et ANSSI

Une plateforme privée affiche +680% d'incidents quand l'agence officielle parle de stabilité (1 366 contre 1 361). Mais les chiffres ANSSI eux-mêmes admettent +51% d'exfiltrations.

Failles signalées, jamais corrigées

À l'ANTS, deux failles critiques de type IDOR avaient été signalées sans correction. Une était toujours active lors de l'attaque qui a compromis 600 millions de lignes - ni l'ANTS ni l'ANSSI n'ont commenté ce délai.

Petites structures, cibles privilégiées

Acrimed, associations, collectivités: 320+ collectivités touchées depuis début 2026. Le directeur de l'ANSSI le reconnaît, la priorité est désormais d'élever leur niveau de sécurité.

Coût économique massif

118 milliards d'euros pour 2024 (x25 depuis 2016). 486,8 millions d'amendes CNIL en 2025, dont 5 millions à France Travail au titre de l'art. 83 RGPD.

Données sensibles exposées

Données de santé Cegedim (catégorie spéciale art. 9 RGPD), 1,5 million de mineurs UNSS, clés API FranceConnect: la hiérarchie des risques se déplace vers le régalien et l'intime.

Le cas serait anecdotique s’il n’était symptomatique. Une petite structure associative, sans moyens de cybersécurité dédiés, devient une cible. Et elle rejoint une liste qui s’allonge à un rythme inédit en ce début d’année 2026 ^[7]. Selon plusieurs sources, la fuite France Travail révélée en 2024 avait exposé les données de millions de personnes. Deux ans plus tard, la dynamique des fuites s’intensifie.

FrenchBreaches, la plateforme qui dresse l’inventaire

FrenchBreaches s’est imposée comme une référence pour le suivi et la documentation des incidents de sécurité sur le territoire national ^[10]. La plateforme répertorie plus de 500 sites piratés ^[11], des universités aux plateformes de commerce électronique. Son décompte avance une variation annuelle des incidents dépassant les 680% ^[12] et un volume atteignant près de 787 millions d’entrées de comptes exposés ^[13]. Dans 81% des cas ^[14], les fuites incluent des coordonnées personnelles. Selon la plateforme, l’Hexagone est en passe de devenir le deuxième pays le plus ciblé par les piratages au niveau mondial ^[15].

Sollicitée sur les accusations de l’ANSSI quant à un éventuel « bluff » des cybercriminels qu’elle agrégerait, FrenchBreaches n’avait pas réagi publiquement à la date de publication de cet article. La plateforme se défend habituellement en rappelant qu’elle se contente de référencer les revendications publiques et les bases mises en vente, sans en valider le contenu.

L’ANSSI parle d’une marée haute, pas d’un raz-de-marée

L’agence officielle ne valide pas le récit de l’explosion. Selon le rapport annuel de l’ANSSI ^[16], le nombre de cyberattaques traitées est resté stable: 1 366 incidents en 2025 contre 1 361 en 2024 ^[17][18]. « On n’est pas sur un raz-de-marée, on est sur une marée haute qui perdure » ^[19], a déclaré Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d’information ^[20], le mercredi 11 mars ^[21] sur franceinfo.

Strubel va plus loin. Il dénonce « une surcouche de bluff » ^[22] de la part des pirates et des revendeurs de données, des « revendications fallacieuses » ^[23] et « beaucoup d’exagérations » ^[24]. Selon lui, certains « attaquants font du marketing, exagèrent leurs exploits pour mettre la pression sur les victimes » ^[25]. Sur les fuites supposées issues de rançongiciels, il tranche: « 60%, c’est du bluff, donc 40% de réel vol de données et c’est 40% de trop » ^[26].

La stabilité ANSSI cache une mutation qualitative

Les deux récits ne mesurent pas la même chose. L’ANSSI compte les incidents qu’elle traite. FrenchBreaches recense les fuites publiques, les revendications sur les forums, les bases mises en vente. Les périmètres divergent. Mais la véritable surprise vient du rapport ANSSI lui-même: le même document qui célèbre la stabilité du nombre d’attaques reconnaît une explosion des extractions de données. 196 exfiltrations recensées en 2025 contre 130 en 2024 ^[8][9], soit une hausse de 51%.

Autrement dit, les attaques sont à peu près aussi nombreuses, mais elles aboutissent beaucoup plus souvent au vol effectif de données. La stabilité masque une mutation qualitative: les cybercriminels deviennent plus efficaces, plus ciblés, plus rentables. Cette lecture réconcilie partiellement les deux camps. L’ANSSI a raison sur le volume d’incidents traités. FrenchBreaches a raison sur l’inflation des bases compromises mises en circulation. La guerre des chiffres masque une convergence sur l’essentiel: la France saigne plus de données qu’avant.

Les indicateurs qui convergent

Plusieurs sources externes confirment la tendance. Selon une étude de Surfshark ^[27], 40,3 millions de comptes français ont été piratés en 2025 ^[28], et la France affiche une densité de violations 12 fois supérieure à la moyenne mondiale ^[29]. Le baromètre 2026 du Forum INCYBER ^[30], réalisé à partir des données de la CNIL ^[31], comptabilise 8 613 violations de données sur un an ^[32], en hausse de 45% ^[33]. Ce dernier chiffre porte sur la période 2025-2026, postérieure aux 5 629 violations notifiées en 2024 ^[34]: il ne contredit pas mais prolonge la dynamique haussière.

La CNIL, créée en 1978 par la loi Informatique et Libertés selon plusieurs sources, a enregistré plus de 23 000 déclarations ^[35], avec une moyenne de quinze notifications par jour en 2024 ^[36]. Le secteur de l’administration publique concentre environ 17% des notifications ^[37]. Le baromètre i-lead recense quant à lui plus de 54 000 incidents de sécurité au seul premier trimestre 2026 ^[38], en hausse d’environ 37% par rapport à la même période en 2025 ^[39].

L’ANTS, cas d’école d’une faille ignorée

Le piratage de l’ANTS mérite un arrêt sur image. Le hacker breach3d affirme posséder des accès internes avancés (bases de données, systèmes techniques) ^[40], avoir récupéré plus de 600 millions de lignes de données ^[41] depuis mi-avril 2026 ^[42], et détenir des clés API liées à FranceConnect ^[43]. L’attaque repose sur une vulnérabilité connue: IDOR, Insecure Direct Object Reference ^[44]. Le principe: « Chaque utilisateur possède un identifiant dans les requêtes. En modifiant cet identifiant, il est possible d’accéder à d’autres comptes. Aucun contrôle strict côté serveur » ^[45]. Selon le chercheur en cybersécurité Léo Gonzalez ^[46], des vulnérabilités connues avaient été signalées à l’ANTS sans correction ^[47]. Une faille était toujours active au moment de l’attaque ^[48]. Le hacker affirme que certaines données récupérées seraient toujours exploitables ^[49]. Sollicitées par plusieurs rédactions, ni l’ANTS ni l’ANSSI n’ont à ce jour communiqué publiquement sur le délai de correction de ces failles signalées.

Dit autrement: la fuite n’est pas un coup de génie criminel. C’est l’exploitation patiente d’une vulnérabilité signalée et non corrigée. L’article 226-17 du Code pénal punit pourtant de cinq ans d’emprisonnement et 300 000 euros d’amende le fait de traiter des données personnelles sans mettre en œuvre les mesures techniques de sécurité prescrites. Côté attaquants, l’article 323-1 du même code réprime l’accès frauduleux à un système de traitement automatisé de données par une peine de base de trois ans d’emprisonnement et 100 000 euros d’amende, peine portée à sept ans et 300 000 euros lorsque le système est mis en œuvre par l’État. Le RGPD, dans son article 83, autorise la CNIL à prononcer des amendes administratives pouvant atteindre 20 millions d’euros ou 4% du chiffre d’affaires mondial.

Données sensibles: la hiérarchie des risques

Toutes les fuites ne se valent pas. Au sommet de l’échelle de sensibilité, les données de santé, qualifiées de catégorie particulière par l’article 9 du RGPD. Le piratage de Cegedim, fin 2025 ^[50], a exposé les dossiers de 11 à 15 millions de Français ^[51], dont 169 000 informations particulièrement sensibles: commentaires de médecins sur des traumatismes, violences sexuelles ou troubles psy ^[52]. Cegedim édite des logiciels pour 25 000 cabinets médicaux et 500 centres de santé ^[53]. Le risque pour les victimes: phishing ciblé, chantage, discrimination assurantielle.

Viennent ensuite les données de mineurs. L’UNSS, principale fédération du sport scolaire ^[54], a vu fuiter les données de 1,5 million de collégiens et lycéens âgés de 11 à 18 ans ^[55]. La Fédération Française de Gymnastique a perdu les fichiers de 2,9 millions de licenciés ^[56]. Pour ces publics, l’exposition crée un risque d’usurpation d’identité de longue durée et un terrain favorable aux escroqueries familiales.

Enfin, les données régaliennes. Les clés API FranceConnect détenues par breach3d ^[43], si elles sont authentiques, ouvriraient potentiellement la porte à l’usurpation d’identité numérique de citoyens auprès de centaines de services publics. La cyberattaque contre le Système d’information sur les armes a permis l’exfiltration des données de plus de 62 000 armes à feu ^[57] - un fichier dont la mise en circulation représente un risque sécuritaire direct. Le Cnous a perdu les données de 774 000 étudiants et ex-étudiants sur dix ans ^[58]. L’Olympique de Marseille, plus prosaïquement, celles de 400 000 supporters ^[59].

Le coût économique: 118 milliards et une explosion des sanctions

Au-delà des décomptes, l’addition est massive. Le coût annuel de la cybercriminalité pour la France est estimé à plus de 118 milliards d’euros pour 2024 ^[60] selon Statista ^[61], soit environ 129 milliards de dollars ^[62] - à comparer aux cinq milliards de dollars de 2016 ^[63], une multiplication par plus de 25 en huit ans. Ce coût agrège les rançons versées, les pertes d’exploitation, les dépenses de remédiation et les sanctions régulatoires. La France se classe au quatrième rang européen et au douzième rang mondial ^[64][65] des pays où les clients Microsoft sont les plus touchés par une activité cyber.

Côté sanctions, l’année 2025 a battu un record: 486,8 millions d’euros d’amendes cumulées par la CNIL ^[66]. En janvier 2026, France Travail s’est vu infliger 5 millions d’euros ^[67] pour manquement à la sécurité des données - une sanction prononcée sur le fondement de l’article 32 du RGPD (obligation de sécurité) et de l’article 83 (échelle des amendes). La densité française de violations, douze fois supérieure à la moyenne mondiale ^[29], explique en partie cette judiciarisation accélérée: la CNIL transforme désormais systématiquement les fuites massives en procédures de sanction.

Le talon d’Achille: les petites structures

Strubel l’admet à demi-mot: « la nouvelle dimension, c’est d’apporter de la sécurité à tout le reste, aux plus petites entreprises, aux administrations au sens large, aux collectivités » ^[68]. Plus de 320 collectivités françaises ont été victimes de cyberattaques significatives depuis le début de 2026 ^[69]. Acrimed entre dans cette catégorie. Une boutique associative dont la mise hors ligne sert à analyser l’incident et renforcer la sécurité ^[70]. La phrase, anodine, dit l’évidence: la sécurité n’était pas au niveau requis. « Même chiffrés, les mots de passe exposés peuvent représenter un risque selon leur niveau de protection et leur réutilisation éventuelle sur d’autres services » ^[71], reconnaît l’organisation. Pour les utilisateurs concernés, le réflexe à adopter est documenté: changer les mots de passe identiques utilisés sur d’autres plateformes ^[5].

Ce que les sources ne disent pas

Aucune des sources consultées ne quantifie précisément le coût réel pour les petites structures victimes. Aucune ne précise non plus le sort réservé à FrenchBreaches par les autorités: la plateforme sert l’intérêt général en documentant les fuites, mais elle agrège aussi des bases vendues sur des forums comme BreachForums ^[72], aujourd’hui disparu. La frontière juridique entre veille citoyenne et complicité reste floue - l’article 323-3 du Code pénal punit en effet de sept ans d’emprisonnement et 300 000 euros d’amende le fait d’extraire ou de détenir frauduleusement des données issues d’un STAD.

L’ANSSI admet, par la voix de son directeur, que « personne n’est réellement à la hauteur » ^[73] pour lutter contre l’explosion des fuites. La phrase tranche avec le discours rassurant sur la stabilité du nombre d’incidents traités. C’est un aveu. Et le chiffre des 196 exfiltrations ^[8], +51% en un an, le confirme noir sur blanc dans le rapport officiel. Sanctionner ne suffit plus. Corriger les failles signalées, oui.

► Lire aussi: Cybersécurité en France: le bilan complet de 2025