Deux ans de fuites, des mutuelles aux télécoms
La fuite France Travail n’est pas un cas isolé. En janvier et février 2024, deux opérateurs de tiers payant, Viamedis et Almerys, sont attaqués. Ils gèrent les remboursements santé des mutuelles. Plus de 33 millions d’assurés sont concernés, selon la CNIL 2. État civil, numéro de sécurité sociale, garanties du contrat. Le bancaire et le médical n’auraient pas été touchés, affirment les deux opérateurs 2.
En mars 2024, France Travail annonce sa fuite. Première annonce : 43 millions de personnes 3. La CNIL retiendra 36 820 828 en 2026 1. En octobre 2024, Free : 24 millions de contrats selon la CNIL 4. Environ 5 millions incluaient l’IBAN, le numéro qui sert aux prélèvements, selon l’annonce de Free 27. En août 2025, Bouygues Telecom : 6,4 millions de comptes, IBAN compris, ni carte bancaire ni mot de passe selon l’opérateur 5. SFR, deux fois. En septembre 2024 : environ 50 000 clients, références bancaires comprises. En décembre 2025 : « plusieurs millions », sans données bancaires cette fois, dit l’opérateur 6.
La distribution suit. En septembre 2024, Boulanger, Cultura, Truffaut et d’autres enseignes annoncent des fuites en série. Point commun : un même prestataire de vente en ligne, compromis 7. En novembre 2024, Auchan alerte les clients de sa carte de fidélité 8.
Un cas reste disputé. En décembre 2025, un fichier présenté comme des données de la CAF circule : 22,4 millions de lignes, jusqu’à 8,6 millions de personnes selon un chercheur indépendant 9. La Cnaf dément toute intrusion dans ses serveurs 9. L’hypothèse d’un portail tiers croisant plusieurs bases circule, sans être confirmée 9. Aucune source indépendante n’a tranché.
Ces décomptes ne s’additionnent pas : une même personne figure souvent dans plusieurs fichiers. Mais chaque point d’entrée établi se trouvait chez l’organisme ou chez son prestataire. Pas chez le client.
Par où les attaquants sont entrés
Pour le tiers payant santé, des pirates ont utilisé les codes d’accès de professionnels de santé, selon l’ordre des pharmaciens 2. Pour France Travail, des comptes de conseillers Cap emploi ont servi 1. Après enquête, la CNIL a établi les manquements. Un compte n’était bloqué qu’après 50 essais de mot de passe. 2 300 conseillers n’avaient pas de double vérification à la connexion. Et chaque compte pouvait lire toute la base, sans limite de zone 1. Selon la presse spécialisée, ces codes auraient été volés par des logiciels espions sur des postes personnels. Hypothèse jamais confirmée officiellement 11. Chez Free, la CNIL a désigné le point d’entrée : l’accès à distance au réseau interne, un VPN mal protégé 4.
L’ANSSI, l’agence de l’État pour la cybersécurité, décrit le prestataire comme une voie d’entrée majeure des attaques 12. En 2022 déjà, un prestataire de Pôle emploi avait laissé fuir les données de jusqu’à 10 millions de demandeurs d’emploi, revendues sur le darknet 10. Autre porte, selon l’agence : les équipements qui relient l’organisation à internet. Leurs failles sont connues. Les correctifs existent depuis 2023 ou 2024. Fin 2025, des milliers de ces équipements restaient vulnérables en France 12.
Le droit interdit de se défausser sur le prestataire. L’organisme qui confie les données, mutuelle, opérateur ou administration, doit s’assurer des garanties de son sous-traitant 13. L’obligation de sécurité pèse sur chaque maillon 13,17.
Qui est visé, avec quelles défenses
Les attaquants ne visent pas les particuliers un par un. Ils visent les organisations qui concentrent leurs données. Un rançongiciel bloque les fichiers et exige une rançon. En 2024, il a d’abord frappé les petites et moyennes entreprises : 37 % des victimes recensées par l’ANSSI, la catégorie la plus touchée 14. En 2025, l’éducation et la recherche concentrent 34 % des incidents, les ministères et collectivités 24 %, la santé 10 % 12. Des structures riches en données, souvent pauvres en moyens.
Le cas des hôpitaux est chiffré. La Cour des comptes a rendu son constat en janvier 2025. Le numérique reçoit environ 1,7 % de leur budget de fonctionnement. Près d’un quart des équipements réseau sont trop vieux pour être maintenus. 30 hôpitaux ont été rançonnés en 2022 et 2023 15. Une seule attaque peut coûter jusqu’à 30 millions d’euros 15. Le plan public de rattrapage promettait 750 millions d’euros sur cinq ans. 223 millions ont été alloués 15.
La menace est sérieuse, pas apocalyptique. L’ANSSI a traité 3 586 événements de sécurité en 2025, en baisse après le pic des Jeux olympiques. Les incidents confirmés restent stables : 1 366 12. Le vol de données, lui, monte : 196 fuites confirmées en 2025, contre 130 en 2024 12. Le bruit aussi est réel. À l’été 2024, l’agence a recensé plus de 15 fausses annonces de vol de données, des groupes se faisant passer pour des pirates connus. La même année, le parquet de Paris a constaté une baisse des attaques 14.
Le particulier, lui, subit le ricochet. La plateforme publique d’aide aux victimes, cybermalveillance.gouv.fr, a reçu 423 021 demandes en 2024, dont 94 % de particuliers 16. Leur premier problème : l’hameçonnage, le faux message qui imite une banque ou une administration, 33,7 % des demandes 16. Ces messages deviennent crédibles quand ils citent de vraies informations 22,23. Un faux conseiller bancaire connaît alors le nom, l’adresse et l’IBAN de la personne qu’il appelle. Son appel ne ressemble plus à une arnaque.
Ce que la loi oblige, et ce qu’elle a fait payer
Le règlement européen sur les données, le RGPD, oblige chaque organisme à protéger ce qu’il collecte. Il impose des mesures de sécurité adaptées au risque, au responsable comme à son sous-traitant 17. Une attaque réussie ne prouve pas à elle seule la faute : il faut établir que la protection était trop faible 17. En cas de fuite, l’organisme doit prévenir la CNIL sous 72 heures 18. Prévenir les personnes n’est imposé que si le risque est jugé « élevé ». Et c’est l’organisme lui-même qui évalue ce risque, sous un contrôle fait après coup par la CNIL 18. Une personne dont les données ont fui n’est donc pas toujours prévenue.
Les violations remontent en masse : 5 629 notifiées à la CNIL en 2024, en hausse de 20 % 20. Celles qui touchent plus d’un million de personnes ont doublé 20.
En janvier 2026, la CNIL a frappé deux fois. Le 8 janvier, Free et Free Mobile écopent de 42 millions d’euros d’amende pour la fuite d’octobre 2024. Quatre manquements : un VPN mal protégé, une détection inefficace, des clients mal informés, des données gardées trop longtemps (ce dernier point chez Free Mobile) 4. Plus de 2 500 personnes avaient porté plainte 4. Le 22 janvier, France Travail : 5 millions d’euros 1. Pour un défaut de sécurité, le plafond légal est de 10 millions d’euros ou 2 % du chiffre d’affaires mondial 19. Une directive européenne, NIS2, doit élargir ces obligations. Elle est en vigueur dans l’Union depuis octobre 2024, mais la France a manqué la date limite pour la traduire dans sa loi. Elle doit couvrir environ 15 000 entités en France, contre 500 aujourd’hui, sous-traitants compris, selon l’ANSSI 21.
Ce qui reste à la personne, une fois les données parties
Les amendes ne réparent rien pour les victimes. La CNIL sanctionne l’organisme, l’argent alimente le budget de l’État. Elle précise qu’elle ne peut pas « obtenir des dommages et intérêts » pour un plaignant 24.
Pour être indemnisée, la personne doit aller devant le juge. Le RGPD le permet, à trois conditions fixées par la justice européenne en mai 2023 25. Il faut une violation, un dommage, et un lien de cause à effet entre les deux. La simple présence dans un fichier volé ne suffit pas. Le préjudice doit être prouvé, et cette preuve pèse sur la victime 25. Aucun barème n’existe en France. Une action de groupe est possible depuis 2018, portée par des associations habilitées 26. Aucune indemnisation collective d’ampleur n’a abouti pour une fuite grand public.
Reste à protéger la suite. La CNIL conseille de changer les mots de passe importants, d’activer la double vérification et de surveiller ses comptes 22. Le fichier FICOBA permet de vérifier qu’aucun compte bancaire n’a été ouvert à son nom 22. La plateforme cybermalveillance.gouv.fr guide les victimes pas à pas 23. Ces gestes sont utiles. Ils ne retirent rien de ce qui a déjà fui. La CNIL le dit sans détour : elle « n’est pas en mesure » de confirmer à une personne que ses données figurent dans une fuite 22. Elle déconseille les sites qui prétendent le faire 22.
Un mot de passe volé se remplace en deux minutes. Un numéro de sécurité sociale ne se change pas. 36 820 828 personnes côté France Travail, plus de 33 millions côté tiers payant santé 1,2. Ces numéros pourront servir à des arnaques ciblées, sans limite de temps 22,23. L’amende, elle, a été payée une fois. Au Trésor public.