Deux ans de fuites, des mutuelles aux télécoms

La fuite France Travail n’est pas un cas isolé. En janvier et février 2024, deux opérateurs de tiers payant, Viamedis et Almerys, sont attaqués. Ils gèrent les remboursements santé des mutuelles. Plus de 33 millions d’assurés sont concernés, selon la CNIL [2]. État civil, numéro de sécurité sociale, garanties du contrat. Le bancaire et le médical n’auraient pas été touchés, affirment les deux opérateurs [2].

En mars 2024, France Travail annonce sa fuite. Première annonce : 43 millions de personnes [3]. La CNIL retiendra 36 820 828 en 2026 [1]. En octobre 2024, Free : 24 millions de contrats selon la CNIL [4]. Environ 5 millions incluaient l’IBAN, le numéro qui sert aux prélèvements, selon l’annonce de Free [27]. En août 2025, Bouygues Telecom : 6,4 millions de comptes, IBAN compris, ni carte bancaire ni mot de passe selon l’opérateur [5]. SFR, deux fois. En septembre 2024 : environ 50 000 clients, références bancaires comprises. En décembre 2025 : « plusieurs millions », sans données bancaires cette fois, dit l’opérateur [6].

La distribution suit. En septembre 2024, Boulanger, Cultura, Truffaut et d’autres enseignes annoncent des fuites en série. Point commun : un même prestataire de vente en ligne, compromis [7]. En novembre 2024, Auchan alerte les clients de sa carte de fidélité [8].

Un cas reste disputé. En décembre 2025, un fichier présenté comme des données de la CAF circule : 22,4 millions de lignes, jusqu’à 8,6 millions de personnes selon un chercheur indépendant [9]. La Cnaf dément toute intrusion dans ses serveurs [9]. L’hypothèse d’un portail tiers croisant plusieurs bases circule, sans être confirmée [9]. Aucune source indépendante n’a tranché.

Ces décomptes ne s’additionnent pas : une même personne figure souvent dans plusieurs fichiers. Mais chaque point d’entrée établi se trouvait chez l’organisme ou chez son prestataire. Pas chez le client.

Par où les attaquants sont entrés

Pour le tiers payant santé, des pirates ont utilisé les codes d’accès de professionnels de santé, selon l’ordre des pharmaciens [2]. Pour France Travail, des comptes de conseillers Cap emploi ont servi [1]. Après enquête, la CNIL a établi les manquements. Un compte n’était bloqué qu’après 50 essais de mot de passe. 2 300 conseillers n’avaient pas de double vérification à la connexion. Et chaque compte pouvait lire toute la base, sans limite de zone [1]. Selon la presse spécialisée, ces codes auraient été volés par des logiciels espions sur des postes personnels. Hypothèse jamais confirmée officiellement [11]. Chez Free, la CNIL a désigné le point d’entrée : l’accès à distance au réseau interne, un VPN mal protégé [4].

L’ANSSI, l’agence de l’État pour la cybersécurité, décrit le prestataire comme une voie d’entrée majeure des attaques [12]. En 2022 déjà, un prestataire de Pôle emploi avait laissé fuir les données de jusqu’à 10 millions de demandeurs d’emploi, revendues sur le darknet [10]. Autre porte, selon l’agence : les équipements qui relient l’organisation à internet. Leurs failles sont connues. Les correctifs existent depuis 2023 ou 2024. Fin 2025, des milliers de ces équipements restaient vulnérables en France [12].

Le droit interdit de se défausser sur le prestataire. L’organisme qui confie les données, mutuelle, opérateur ou administration, doit s’assurer des garanties de son sous-traitant [13]. L’obligation de sécurité pèse sur chaque maillon [13, 17].

Qui est visé, avec quelles défenses

Les attaquants ne visent pas les particuliers un par un. Ils visent les organisations qui concentrent leurs données. Un rançongiciel bloque les fichiers et exige une rançon. En 2024, il a d’abord frappé les petites et moyennes entreprises : 37 % des victimes recensées par l’ANSSI, la catégorie la plus touchée [14]. En 2025, l’éducation et la recherche concentrent 34 % des incidents, les ministères et collectivités 24 %, la santé 10 % [12]. Des structures riches en données, souvent pauvres en moyens.

Le cas des hôpitaux est chiffré. La Cour des comptes a rendu son constat en janvier 2025. Le numérique reçoit environ 1,7 % de leur budget de fonctionnement. Près d’un quart des équipements réseau sont trop vieux pour être maintenus. 30 hôpitaux ont été rançonnés en 2022 et 2023 [15]. Une seule attaque peut coûter jusqu’à 30 millions d’euros [15]. Le plan public de rattrapage promettait 750 millions d’euros sur cinq ans. 223 millions ont été alloués [15].

La menace est sérieuse, pas apocalyptique. L’ANSSI a traité 3 586 événements de sécurité en 2025, en baisse après le pic des Jeux olympiques. Les incidents confirmés restent stables : 1 366 [12]. Le vol de données, lui, monte : 196 fuites confirmées en 2025, contre 130 en 2024 [12]. Le bruit aussi est réel. À l’été 2024, l’agence a recensé plus de 15 fausses annonces de vol de données, des groupes se faisant passer pour des pirates connus. La même année, le parquet de Paris a constaté une baisse des attaques [14].

Le particulier, lui, subit le ricochet. La plateforme publique d’aide aux victimes, cybermalveillance.gouv.fr, a reçu 423 021 demandes en 2024, dont 94 % de particuliers [16]. Leur premier problème : l’hameçonnage, le faux message qui imite une banque ou une administration, 33,7 % des demandes [16]. Ces messages deviennent crédibles quand ils citent de vraies informations [22, 23]. Un faux conseiller bancaire connaît alors le nom, l’adresse et l’IBAN de la personne qu’il appelle. Son appel ne ressemble plus à une arnaque.

Ce que la loi oblige, et ce qu’elle a fait payer

Le règlement européen sur les données, le RGPD, oblige chaque organisme à protéger ce qu’il collecte. Il impose des mesures de sécurité adaptées au risque, au responsable comme à son sous-traitant [17]. Une attaque réussie ne prouve pas à elle seule la faute : il faut établir que la protection était trop faible [17]. En cas de fuite, l’organisme doit prévenir la CNIL sous 72 heures [18]. Prévenir les personnes n’est imposé que si le risque est jugé « élevé ». Et c’est l’organisme lui-même qui évalue ce risque, sous un contrôle fait après coup par la CNIL [18]. Une personne dont les données ont fui n’est donc pas toujours prévenue.

Les violations remontent en masse : 5 629 notifiées à la CNIL en 2024, en hausse de 20 % [20]. Celles qui touchent plus d’un million de personnes ont doublé [20].

En janvier 2026, la CNIL a frappé deux fois. Le 8 janvier, Free et Free Mobile écopent de 42 millions d’euros d’amende pour la fuite d’octobre 2024. Quatre manquements : un VPN mal protégé, une détection inefficace, des clients mal informés, des données gardées trop longtemps (ce dernier point chez Free Mobile) [4]. Plus de 2 500 personnes avaient porté plainte [4]. Le 22 janvier, France Travail : 5 millions d’euros [1]. Pour un défaut de sécurité, le plafond légal est de 10 millions d’euros ou 2 % du chiffre d’affaires mondial [19]. Une directive européenne, NIS2, doit élargir ces obligations. Elle est en vigueur dans l’Union depuis octobre 2024, mais la France a manqué la date limite pour la traduire dans sa loi. Elle doit couvrir environ 15 000 entités en France, contre 500 aujourd’hui, sous-traitants compris, selon l’ANSSI [21].

Ce qui reste à la personne, une fois les données parties

Les amendes ne réparent rien pour les victimes. La CNIL sanctionne l’organisme, l’argent alimente le budget de l’État. Elle précise qu’elle ne peut pas « obtenir des dommages et intérêts » pour un plaignant [24].

Pour être indemnisée, la personne doit aller devant le juge. Le RGPD le permet, à trois conditions fixées par la justice européenne en mai 2023 [25]. Il faut une violation, un dommage, et un lien de cause à effet entre les deux. La simple présence dans un fichier volé ne suffit pas. Le préjudice doit être prouvé, et cette preuve pèse sur la victime [25]. Aucun barème n’existe en France. Une action de groupe est possible depuis 2018, portée par des associations habilitées [26]. Aucune indemnisation collective d’ampleur n’a abouti pour une fuite grand public.

Reste à protéger la suite. La CNIL conseille de changer les mots de passe importants, d’activer la double vérification et de surveiller ses comptes [22]. Le fichier FICOBA permet de vérifier qu’aucun compte bancaire n’a été ouvert à son nom [22]. La plateforme cybermalveillance.gouv.fr guide les victimes pas à pas [23]. Ces gestes sont utiles. Ils ne retirent rien de ce qui a déjà fui. La CNIL le dit sans détour : elle « n’est pas en mesure » de confirmer à une personne que ses données figurent dans une fuite [22]. Elle déconseille les sites qui prétendent le faire [22].

Un mot de passe volé se remplace en deux minutes. Un numéro de sécurité sociale ne se change pas. 36 820 828 personnes côté France Travail, plus de 33 millions côté tiers payant santé [1, 2]. Ces numéros pourront servir à des arnaques ciblées, sans limite de temps [22, 23]. L’amende, elle, a été payée une fois. Au Trésor public.

Sources

1. Délibération SAN-2026-003 du 22 janvier 2026 (sanction de France Travail). CNIL, publiée sur Légifrance (22 janvier 2026)
2. Violation de données de deux opérateurs de tiers payant : la CNIL ouvre une enquête. CNIL (février 2024)
3. France Travail : la CNIL enquête sur la fuite de données et donne des conseils pour se protéger. CNIL (mars 2024)
4. Violation de données : sanction de 42 millions d'euros à l'encontre des sociétés Free Mobile et Free. CNIL (8 janvier 2026)
5. Cyberattaque contre Bouygues Telecom : 6,4 millions de clients impactés, des IBAN dérobés. Next (août 2025)
6. SFR victime d'une nouvelle cyberattaque massive, un an après la précédente. Journal du Geek (18 décembre 2025)
7. Boulanger, Cultura et d'autres sites annoncent une fuite de données. MacGeneration (septembre 2024)
8. Encore piraté : Auchan alerte sur une fuite de données clients. Le Monde Informatique (novembre 2024)
9. La CAF victime d'une fuite massive de données de 8,6 millions de Français. Generation-NT (décembre 2025)
10. Un prestataire de Pôle Emploi laisse filer les données de 10 millions de personnes. Le Monde Informatique (août 2022)
11. Cyberattaque France Travail : état des lieux au 14 mars 2024. LeMagIT (14 mars 2024)
12. Panorama de la cybermenace 2025. ANSSI (CERT-FR) (2026)
13. RGPD : comment bien identifier son rôle (responsable de traitement, sous-traitant). CNIL (consultée le 9 août 2026)
14. Panorama de la cybermenace 2024. ANSSI (CERT-FR) (11 mars 2025)
15. Cybersécurité des hôpitaux : la Cour des comptes alerte sur un sous-financement chronique. Archimag, d'après le rapport de la Cour des comptes (8 janvier 2025)
16. Rapport d'activité et état de la menace 2024. Cybermalveillance.gouv.fr (GIP ACYMA) (2025)
17. Règlement (UE) 2016/679 (RGPD), article 32 : sécurité du traitement. Texte officiel, reproduit par la CNIL (2016)
18. Règlement (UE) 2016/679 (RGPD), articles 33 et 34 : notification d'une violation de données. Texte officiel, reproduit par la CNIL (2016)
19. Règlement (UE) 2016/679 (RGPD), article 83 : amendes administratives. Texte officiel, reproduit par la CNIL (2016)
20. Rapport annuel 2024. CNIL (2025)
21. NIS2 : portail officiel de la directive en France. ANSSI (consultée le 9 août 2026)
22. Fuite ou vol de données : comment savoir si cela vous concerne et que pouvez-vous faire ?. CNIL (consultée le 9 août 2026)
23. Violation ou fuite de données personnelles, que faire ?. Cybermalveillance.gouv.fr (consultée le 9 août 2026)
24. Adresser une plainte à la CNIL. CNIL (consultée le 9 août 2026)
25. Indemnisation en cas de violation du RGPD : la CJUE confirme sa jurisprudence (article 82). Lefebvre Dalloz (2023)
26. Action de groupe en matière de données personnelles (article 80 du RGPD, loi du 20 juin 2018). donneespersonnelles.fr (consultée le 9 août 2026)
27. Fuite de données chez Free : 19 millions de clients affectés, 5 millions d'IBAN inclus. Siècle Digital, d'après la communication de Free (7 novembre 2024)