Les fuites de données ne sont plus des incidents périphériques du numérique. Elles touchent désormais l'identité, la fiscalité, la santé, les télécoms et les services publics. Les événements de 2026 montrent surtout que la question cyber se déplace : protéger un serveur ne suffit plus lorsque les identités, les prestataires, le cloud et les chaînes d'accès deviennent eux-mêmes des surfaces d'attaque.
En 2025, la CNIL a comptabilisé 6 167 violations de données après retraitement des notifications liées à deux incidents massifs, soit une hausse de 9,5 % en un an. Environ une violation déclarée sur deux relevait d'un piratage.
En 2026, les incidents ANTS, DGFiP et Bloctel, les sanctions prononcées contre Free et France Travail, le risque croissant lié aux sous-traitants et le retard français dans la transposition de NIS2 montrent que la cybersécurité devient une question de résilience systémique et non plus seulement de protection informatique.
Fuites de données : pourquoi confirmer avant d'attribuer est déjà un enjeu cyber
Les forums cybercriminels et certains canaux clandestins publient quotidiennement des revendications de piratage. Toutes ne correspondent pas à une nouvelle violation réelle.
Certaines réutilisent d'anciennes bases. D'autres agrègent plusieurs jeux de données. Certaines revendications sont fausses ou impossibles à confirmer.
L'ANSSI fournit un indicateur particulièrement utile : sur 460 événements caractérisés en 2025 comme de possibles fuites de données, seulement 42 % ont pu être reliés à une fuite effectivement avérée.
La présente étude privilégie par conséquent les données publiées par la CNIL, l'ANSSI, les ministères, la Commission européenne et les organisations ayant officiellement reconnu un incident.
6 167 violations en un an : ce que montrent réellement les chiffres de la CNIL
En 2025, la CNIL a reçu 17 802 notifications brutes de violations de données personnelles.
Mais deux attaques visant des éditeurs de logiciels avaient déclenché à elles seules plus de 11 000 notifications provenant de leurs nombreux clients. Afin de ne pas compter des milliers de fois les conséquences d'un même incident, la CNIL les a neutralisées dans son analyse de tendance.
Après retraitement, l'autorité retient 6 167 violations de données en 2025, soit une progression de 9,5 % par rapport à 2024.
Environ une violation déclarée sur deux résulte d'un piratage. La CNIL souligne également trois évolutions : aucune catégorie d'organisation n'est épargnée, les violations deviennent plus massives et les prestataires apparaissent fréquemment dans les incidents.
ANSSI : moins d'événements ne signifie pas moins de pression sur les données
L'ANSSI a traité 3 586 événements de sécurité en 2025, dont 1 366 incidents.
Le volume global est inférieur à celui de 2024, année exceptionnellement marquée par les Jeux olympiques et paralympiques. Mais cette baisse statistique ne correspond pas à une disparition de la menace.
L'Agence signale au contraire une recrudescence significative des incidents associés à des exfiltrations de données.
Les secteurs les plus représentés parmi les événements portés à sa connaissance étaient l'éducation et la recherche, les ministères et collectivités territoriales, la santé et les télécommunications.
Ces secteurs concentrent précisément certaines des données les plus utiles pour l'ingénierie sociale : identité, coordonnées, dossiers administratifs, informations professionnelles, informations de santé ou accès à des services essentiels.
ANTS, DGFiP, Bloctel, Free, France Travail : ce que révèlent les incidents français
| Organisation | Événement documenté | Enseignement cyber |
|---|---|---|
| ANTS / France Titres | Environ 11,7 millions de comptes particuliers potentiellement concernés. | Les plateformes d'identité constituent des actifs critiques. |
| DGFiP | 678 000 particuliers et professionnels concernés par des consultations et extractions de données. | Un compte légitime compromis peut contourner une partie des protections périmétriques. |
| Bloctel | Trois millions de numéros de téléphone récupérés via un compte professionnel compromis. | Le contrôle des accès professionnels est un enjeu de masse. |
| Free / Free Mobile | Données associées à 24 millions de contrats lors de l'incident de 2024 ; sanctions CNIL en 2026. | Authentification robuste, détection et minimisation des données restent fondamentales. |
| France Travail | Comptes de conseillers compromis par ingénierie sociale ; sanction CNIL de 5 M€ en 2026. | La sécurité dépend aussi de l'humain et de la gestion des identités. |
Dans le cas ANTS, les données concernées pouvaient inclure nom, prénoms, adresse électronique, date de naissance et, selon les comptes, adresse, lieu de naissance ou numéro de téléphone. Les investigations publiées à cette date excluaient toutefois les pièces jointes et données biométriques.
L'incident DGFiP est particulièrement instructif : il reposait sur des identifiants usurpés appartenant à un agent de la DGFiP et à un tiers habilité. Les espaces personnels des contribuables n'avaient pas eux-mêmes été compromis.
IAM, MFA et Zero Trust : pourquoi l'identité devient le nouveau périmètre de sécurité
Le modèle historique de la cybersécurité reposait largement sur une séparation entre un réseau interne réputé fiable et Internet considéré comme hostile.
Cloud, SaaS, API, télétravail, partenaires, comptes administrateurs, prestataires et services distribués ont progressivement réduit la pertinence de cette frontière.
La question ne devient plus seulement : « cet utilisateur possède-t-il le bon mot de passe ? »
Elle devient : cette identité doit-elle réellement accéder à cette ressource, depuis cet appareil, à cet instant, avec ce niveau de privilège et ce comportement ?
C'est la logique qui se trouve derrière IAM, authentification multifacteur, gestion des accès privilégiés, principe du moindre privilège et architectures Zero Trust.
Cyberattaque fournisseur : pourquoi votre sécurité dépend désormais de celle de vos prestataires
Le deuxième changement systémique concerne la chaîne de fournisseurs.
Une organisation peut sécuriser ses propres serveurs tout en restant exposée par un éditeur SaaS, un prestataire cloud, un sous-traitant RH, un intermédiaire santé ou un logiciel métier.
La CNIL considère désormais explicitement cette dépendance comme l'un des grands enseignements des violations récentes.
Elle devient « De qui dépendons-nous, quelles données ces tiers voient-ils et que se passe-t-il si l'un d'eux est compromis ? »
Le risque fournisseur impose donc une cartographie beaucoup plus fine des flux de données, des API, des accès privilégiés, des sous-traitants de rang deux et des mécanismes de continuité.
Free et France Travail : pourquoi les fondamentaux restent plus importants que le buzz technologique
Les discours cyber de 2026 sont dominés par l'intelligence artificielle, la sécurité autonome, les modèles avancés ou la cryptographie post-quantique.
Ces sujets sont importants. Mais les sanctions de la CNIL rappellent que des attaques massives continuent de réussir lorsque les contrôles fondamentaux sont insuffisants.
En janvier 2026, la CNIL a prononcé au total 42 millions d'euros d'amendes contre Free Mobile et Free après l'incident ayant concerné les données associées à 24 millions de contrats.
L'autorité a notamment relevé une authentification VPN insuffisamment robuste et des insuffisances dans les mécanismes de détection.
Quelques jours plus tard, France Travail a été sanctionné de 5 millions d'euros après une compromission reposant sur l'ingénierie sociale et l'usurpation de comptes de conseillers.
CNIL et ANSSI : le problème est-il réellement un manque de moyens ?
Cette question revient régulièrement dans le débat public.
En 2025, la CNIL disposait de 303 agents et d'un budget d'environ 30,2 millions d'euros.
Son propre rapport annuel souligne la nécessité de bénéficier de renforts matériels et humains pour assumer l'ensemble des missions qui lui sont confiées.
L'autorité doit simultanément gérer plaintes, accompagnement réglementaire, contrôle, sanctions, cybersécurité, intelligence artificielle et nouveaux règlements numériques.
Pour 2026, la CNIL a annoncé que 50 % de ses contrôles et de ses actions répressives seraient consacrés aux manquements en matière de cybersécurité.
Il est donc légitime de parler d'une forte tension entre l'expansion des missions et les capacités disponibles.
Mais déterminer scientifiquement quel serait le « bon » nombre d'agents exige davantage qu'une comparaison brute d'effectifs. La pénurie de talents cyber touche parallèlement administrations, entreprises et fournisseurs de services.
NIS2 France : pourquoi le retard réglementaire est devenu un problème européen
La directive européenne NIS2 doit relever le niveau de cybersécurité dans 18 secteurs critiques et étendre les obligations de gestion des risques, gouvernance, notification des incidents et sécurité des fournisseurs.
Les États membres devaient la transposer avant le 17 octobre 2024.
Le 8 juillet 2026, la Commission européenne a annoncé le renvoi de la France, de l'Espagne, de l'Irlande et des Pays-Bas devant la Cour de justice de l'Union européenne pour absence de notification d'une transposition complète.
La Commission a également demandé que puissent être prononcées des sanctions financières jusqu'à transposition complète.
200 millions d'euros, ARIANE, IA et stratégie cyber 2026-2030 : la réponse française change d'échelle
Il serait incorrect de conclure que la France reste inactive.
La Stratégie nationale de cybersécurité 2026-2030 fixe un objectif de résilience cyber collective et associe investissements technologiques, cyberdéfense, compétences et coopération.
Le gouvernement a également débloqué 200 millions d'euros pour accélérer l'élévation du niveau de sécurité numérique de l'État.
Une nouvelle autorité numérique de l'État, ARIANE, doit être créée afin de renforcer la standardisation et la sécurisation des infrastructures ministérielles aux côtés de l'ANSSI.
Parmi les axes annoncés figurent également l'utilisation accrue de l'intelligence artificielle pour la détection, des exercices d'auto-attaque et une augmentation structurelle de la part des budgets numériques consacrée à la sécurité.
La véritable question devient donc moins « la France agit-elle ? » que :
Cybersécurité entreprise : les dix priorités que les incidents français remettent au premier plan
1. Identités
MFA résistante au phishing, IAM, moindre privilège et gestion des comptes sensibles.
2. Journalisation
Centraliser les logs et détecter réellement les comportements anormaux.
3. Données
Minimiser ce qui est conservé et réduire la concentration inutile d'informations sensibles.
4. Fournisseurs
Cartographier sous-traitants, SaaS, cloud, API, accès et dépendances critiques.
5. Segmentation
Empêcher qu'une identité compromise donne automatiquement accès à l'ensemble du SI.
6. Sauvegarde
Maintenir des sauvegardes isolées et surtout tester régulièrement leur restauration.
7. Réponse à incident
Coordonner technique, juridique, conformité, communication et direction générale.
8. Sensibilisation
Former contre l'ingénierie sociale et simuler régulièrement des scénarios réalistes.
9. Continuité
Tester PRA et PCA dans des conditions proches d'une compromission réelle.
10. Gouvernance
Faire de la cyber un sujet de direction, de risque opérationnel et de compétitivité.
NEXUS TECH : pourquoi les fuites de données ne sont plus un sujet réservé aux RSSI
Les incidents français montrent que cybersécurité, data, cloud, identité, IA, GovTech et continuité ne peuvent plus être traités comme des domaines indépendants.
Une fuite de données de santé associe HealthTech, cloud, identité, conformité et sécurité.
Un incident fiscal associe GovTech, data, IAM, souveraineté et continuité.
Une compromission fournisseur associe cloud, supply chain, Zero Trust et gestion des tiers.
Cette convergence correspond directement au rôle attribué à TECH dans la matrice NEXUS : observer, protéger, automatiser et apprendre grâce à la data, l'IA, le cloud-native, la cybersécurité, le Zero Trust et la gouvernance numérique.
La cybersécurité n'est donc plus uniquement la fonction chargée de protéger les ordinateurs.
Elle devient progressivement l'infrastructure de confiance de l'économie numérique.
De la protection du SI à la cyber-résilience de l'écosystème
NEXUS TECH réunit à Tanger les acteurs de la cybersécurité, du cloud, de la data, de l'IA, des infrastructures numériques et du GovTech au sein de NEXUS Expo & Summit 2026.
Conclusion : la prochaine bataille cyber sera systémique
La multiplication des fuites de données en France ne peut pas être expliquée par une seule faiblesse.
Elle résulte de la rencontre de plusieurs transformations : davantage de données, davantage de cloud, davantage de prestataires, davantage d'identités numériques et des attaquants capables d'industrialiser leurs outils et leurs méthodes.
Renforcer les moyens de la CNIL et de l'ANSSI peut faire partie de la réponse. Mais aucune autorité publique ne pourra compenser seule des milliers d'organisations insuffisamment préparées.
La véritable résilience devra être distribuée entre administrations, entreprises, opérateurs, hôpitaux, éditeurs, fournisseurs, collectivités et infrastructures numériques.
La question décisive de 2026 n'est donc plus : « pouvons-nous éviter toute compromission ? »
Elle est : « lorsqu'une compromission se produit, notre architecture, notre gouvernance et notre écosystème empêchent-ils qu'elle devienne une crise systémique ? »
FAQ — Fuites de données, ANSSI, CNIL et NIS2
Combien de violations de données ont été notifiées à la CNIL en 2025 ?
Après retraitement de deux incidents ayant généré un très grand nombre de notifications de clients, la CNIL retient 6 167 violations en 2025, soit une hausse de 9,5 % par rapport à 2024.
Combien de comptes ont été concernés par l'incident ANTS en 2026 ?
Le ministère de l'Intérieur estimait en avril 2026 qu'environ 11,7 millions de comptes particuliers pouvaient être concernés. Les données biométriques et pièces jointes étaient exclues selon l'état des investigations publié à cette date.
Que s'est-il passé à la DGFiP en août 2026 ?
Des identifiants usurpés appartenant à un agent et à un tiers habilité ont été utilisés pour accéder à des systèmes de la DGFiP. Les investigations ont établi la consultation et l'extraction de données concernant 678 000 particuliers et professionnels.
La France a-t-elle transposé complètement NIS2 ?
Au 8 juillet 2026, la Commission européenne considérait que la France n'avait pas notifié une transposition complète et a décidé de saisir la Cour de justice de l'Union européenne.
Pourquoi les fournisseurs sont-ils devenus un risque cyber majeur ?
Parce qu'un prestataire cloud, SaaS ou métier peut traiter les données de nombreuses organisations. Sa compromission peut donc produire un incident en cascade chez plusieurs clients simultanément.
Pourquoi ce sujet concerne-t-il NEXUS TECH ?
Parce qu'il relie directement cybersécurité, cloud, data, intelligence artificielle, identité numérique, GovTech, conformité et souveraineté, qui constituent plusieurs piliers de l'écosystème NEXUS TECH.
Sources et références
- CNIL — Rapport annuel 2025, publié en mai 2026.
- CNIL — Sanctions Free Mobile et Free, janvier 2026.
- CNIL — Sanction France Travail, janvier 2026.
- ANSSI — Panorama de la cybermenace 2025, mars 2026.
- Ministère de l'Intérieur — Incident du portail ANTS, avril 2026.
- Ministère de l'Économie et des Finances — Incident DGFiP, août 2026.
- DGCCRF — Incident Bloctel, août 2026.
- Commission européenne — Transposition de NIS2, juillet 2026.
- Gouvernement français — Stratégie accélérée de sécurisation numérique de l'État, août 2026.
- ANSSI — Stratégie nationale de cybersécurité 2026-2030.
Note méthodologique : les volumes de données et de personnes sont ceux publiés par les autorités ou organismes concernés à la date de rédaction. Les enquêtes techniques pouvant évoluer, certaines estimations sont susceptibles d'être précisées ultérieurement.