Services publics piratés en 2026 : 43 millions de comptes exposés
ANTS, DGFiP, Insee, Tchap, France Travail, Bloctel. Depuis janvier 2026, plus de 300 services publics français ont été compromis. 43 millions de comptes exposés en six mois. La France est devenue le deuxième pays le plus piraté au monde, juste derrière les États-Unis. Ce n'est plus une succession d'incidents isolés, c'est une crise systémique. Et vos données sont dedans.
Les chiffres de la crise cyber française en 2026
Les chiffres donnent le vertige. Selon l'étude Surfshark publiée en juillet 2026, 43,4 millions de comptes associés à la France ont été compromis entre janvier et juin 2026. Cela représente une hausse de 62,3 % par rapport au second semestre 2025. La France concentre à elle seule 58 % des comptes compromis en Europe et se classe deuxième pays le plus touché au monde, derrière les États-Unis (90,8 millions).
Pour mettre ce dernier chiffre en perspective : 758 millions de comptes compromis depuis 2004 pour 68 millions d'habitants, ça représente environ 11 violations par Français en moyenne. Vos données ont probablement fuité plusieurs fois sans que vous le sachiez.
La chronologie des attaques majeures
Voici les principaux services publics touchés depuis le début de l'année. Cette liste ne recense que les incidents d'ampleur rendus publics. La réalité est probablement plus large.
Le fichier national des comptes bancaires est compromis. 1,2 million de comptes exposés avec des informations bancaires sensibles.
11,7 millions de comptes exposés via une faille IDOR. Cartes d'identité, passeports, permis de conduire. Le pirate « breach3d » revendique jusqu'à 19 millions d'enregistrements.
3,5 millions de comptes d'élèves compromis. Des données de mineurs dans la nature.
774 000 étudiants touchés. Passeports et documents d'identité inclus dans les données exposées.
73 467 agents de l'État exposés sur 825 000 inscrits. L'accès provient d'un compte de l'Éducation nationale compromis. Les conversations des salons publics sur 3 ans accessibles.
678 000 contribuables touchés. Données fiscales en vente sur le dark web. L'administration a mis 48 jours avant de communiquer, un délai incompatible avec les 72h imposées par le RGPD.
12 800 agents exposés. Identités et coordonnées professionnelles de l'annuaire interne compromises.
Le service dédié aux données cadastrales (SPDC) est ciblé dans une attaque distincte de la première.
Et cette liste ne comprend pas France Travail, Bloctel, le ministère de la Culture, Jeveuxaider.gouv.fr, l'Agence du service civique, et des dizaines d'autres services de moindre envergure. Le Premier ministre a lui-même reconnu le problème : infrastructures vieillissantes, systèmes hérités des années 90, organisations fragmentées. Une enveloppe de 200 millions d'euros issue de France 2030 a été annoncée, mais c'est présenté comme un rattrapage, pas une avance.
L'asymétrie juridique
Si votre entreprise subissait la même intrusion que la DGFiP et mettait 48 jours à communiquer, vous risqueriez une amende de la CNIL pouvant atteindre 4 % de votre CA. L'État, lui, est exempté des amendes administratives de la CNIL par la loi Informatique et Libertés. Deux poids, deux mesures.
Comment les pirates s'y prennent
Quand on regarde les modes opératoires de ces attaques, un constat revient : ce ne sont pas des techniques sophistiquées. La majorité exploite des failles connues et des erreurs basiques de configuration. C'est un sujet qu'on connaît bien dans notre activité cybersécurité.
Failles IDOR
C'est la faille qui a touché l'ANTS. L'application ne vérifie pas que l'utilisateur a le droit d'accéder à une ressource. En changeant un simple numéro dans l'URL, le pirate accède aux données de tous les autres utilisateurs. C'est dans le top 10 de l'OWASP, c'est connu, c'est évitable.
Usurpation d'identité
C'est le vecteur de l'attaque sur Tchap et sur la DGFiP. Le pirate se fait passer pour un agent légitime et accède aux systèmes avec des identifiants volés ou devinés. Le phishing reste le point d'entrée numéro un.
Ransomware-as-a-Service
Des kits de ransomware clé en main que n'importe qui peut acheter et utiliser. Le groupe Akira peut compromettre et chiffrer un système en moins d'une heure. Plus besoin d'être expert pour attaquer.
Effet domino entre administrations
Les administrations sont interconnectées. Un compte compromis à l'Éducation nationale permet d'accéder à Tchap. Des identifiants volés chez France Travail servent à se connecter à d'autres services publics. Chaque fuite alimente la suivante.
Notre constat terrain
Quand on réalise des tests d'intrusion pour nos clients, on retrouve souvent les mêmes failles que celles exploitées contre les services publics : contrôles d'accès insuffisants, mots de passe réutilisés, absence de double authentification, serveurs non mis à jour. Ce ne sont pas des attaques de génie, ce sont des portes laissées ouvertes.
Vos données sont probablement dans la nature
Soyons directs. Si vous avez utilisé un service public numérique en France ces dernières années (impôts en ligne, carte d'identité, Pôle Emploi, CROUS, ÉduConnect), il y a une forte probabilité que certaines de vos données personnelles circulent sur des forums spécialisés ou sur le dark web.
Le problème, c'est l'accumulation. Chaque fuite prise isolément peut sembler limitée. Mais les pirates recoupent les bases entre elles. Avec le nom et l'email de la fuite A, le numéro de téléphone de la fuite B et les données fiscales de la fuite C, ils reconstituent un profil complet qui leur permet de lancer des attaques ciblées.
Ce qui circule sur vous
- Données d'identité : nom, prénom, date de naissance, numéro de carte d'identité, passeport (ANTS, CROUS).
- Données fiscales : revenus, adresse, situation familiale, numéro fiscal (DGFiP, FICOBA).
- Données bancaires : IBAN, BIC, numéro de compte (FICOBA).
- Données de contact : email, téléphone, adresse postale (France Travail, ÉduConnect, Bloctel).
- Données de mineurs : 3,5 millions d'élèves via ÉduConnect.
Ces données ne disparaissent pas. Même si elles ne sont pas exploitées immédiatement, elles peuvent resurgir des années plus tard pour du phishing ciblé, de l'arnaque au faux virement ou de l'usurpation d'identité.
Pourquoi votre PME est directement concernée
Vous pourriez penser que ces fuites de services publics ne concernent que les citoyens, pas les entreprises. C'est faux, et voici pourquoi.
Vos données d'entreprise sont dans ces bases
Votre entreprise déclare ses impôts via la DGFiP. Vos salariés sont inscrits à France Travail. Vos données bancaires professionnelles sont dans FICOBA. Quand ces services sont piratés, ce sont aussi vos données d'entreprise qui fuient.
Les données volées servent à vous attaquer
Un pirate qui connaît le nom de votre comptable, votre numéro de SIRET, le nom de votre banque et votre adresse peut construire un email de phishing parfaitement crédible. Ou une arnaque au faux virement qui référence de vrais montants et de vrais fournisseurs. Ces attaques dérivées sont en explosion en 2026.
60 % des PME victimes déposent le bilan
Le coût moyen d'une attaque par ransomware pour une PME dépasse 500 000 euros en 2026 (rançon, arrêt de production, remédiation, pénalités RGPD, perte de réputation). Et 60 % des PME victimes d'une cyberattaque majeure déposent le bilan dans les 18 mois.
Le RGPD ne fait pas de cadeau aux PME
Si les données personnelles de vos clients fuient parce que vous avez été piraté, c'est vous qui êtes responsable. 72 heures pour notifier la CNIL. Jusqu'à 4 % du CA en amende. Contrairement à l'État, votre PME n'est pas exemptée des sanctions. Notre checklist de conformité RGPD détaille les 10 obligations que la CNIL vérifie.
Comment protéger votre entreprise
Face à cette réalité, la bonne nouvelle c'est que les attaques qui touchent les services publics exploitent des failles évitables. La mauvaise, c'est que la plupart des PME ont exactement les mêmes failles. Voici les actions prioritaires.
1. Faites un diagnostic de votre exposition
Avant de corriger, il faut savoir où vous en êtes. Un diagnostic cybersécurité MonAideCyber (gratuit) ou un audit de cybersécurité identifie vos failles et priorise les corrections. C'est le point de départ.
2. Activez la double authentification partout
La majorité des intrusions sur les services publics reposent sur des identifiants volés ou usurpés. Avec la double authentification (2FA), même un mot de passe compromis ne suffit plus. Activez-la sur votre messagerie, votre CRM, vos accès bancaires, votre hébergement, vos outils SaaS. Tous.
3. Formez vos équipes au phishing
Le phishing est le point d'entrée numéro un. Et avec les données personnelles qui circulent, les mails frauduleux deviennent de plus en plus crédibles. Sensibilisez vos équipes avec des simulations régulières, pas juste une formation une fois par an.
4. Vérifiez vos contrôles d'accès
La faille IDOR qui a touché l'ANTS est un problème de contrôle d'accès basique. Vos applications web, vos API, vos portails clients ont-ils les mêmes failles ? Un test d'intrusion permet de le vérifier avant qu'un pirate le fasse.
5. Préparez votre plan de réponse à incident
La question n'est pas si vous serez attaqué, mais quand. Quand ça arrivera, vous devez savoir qui fait quoi, comment isoler la menace, comment notifier la CNIL dans les 72h et comment communiquer. Ce plan doit être écrit et testé avant l'incident. Pas rédigé dans l'urgence. Cleeck propose un accompagnement en cas d'incident cyber.
6. Sécurisez vos sauvegardes
Si un ransomware chiffre vos données, votre sauvegarde est votre seul recours. Mais une sauvegarde sur un disque connecté au réseau, c'est une sauvegarde qui sera chiffrée aussi. Règle 3-2-1 : 3 copies, 2 supports différents, 1 hors site. Et surtout : testez vos restaurations. Une sauvegarde non testée n'existe pas.
- Double authentification activée sur tous les outils critiques (messagerie, banque, CRM, hébergement).
- Mots de passe uniques pour chaque service. Utilisez un gestionnaire de mots de passe.
- Mises à jour automatiques activées sur tous les systèmes, serveurs et applications.
- Sauvegardes déconnectées et testées au moins une fois par trimestre.
- Plan de réponse à incident rédigé et connu de l'équipe.
- Formation phishing pour tous les collaborateurs, avec simulations régulières.
- Audit de vulnérabilité annuel sur vos applications web et votre infrastructure.
- Conformité RGPD vérifiée : registre des traitements, notification 72h, contrats sous-traitants.
Ne soyez pas la prochaine ligne de cette chronologie
Diagnostic cybersécurité gratuit MonAideCyber, audit de vulnérabilité, test d'intrusion. Votre contact technique à Amiens pour sécuriser votre PME.
Demander un diagnostic gratuit Cleeck · contact@cleeck.fr · 03 74 47 55 75FAQ : piratage des services publics et protection des PME
Quels services publics français ont été piratés en 2026 ?
Depuis janvier 2026 : ANTS (11,7 millions de comptes), ÉduConnect (3,5 millions d'élèves), CROUS (774 000 étudiants), FICOBA (comptes bancaires), DGFiP (678 000 contribuables), Insee (12 800 agents), Tchap, Bloctel, France Travail, ministère de la Culture, et bien d'autres. Plus de 300 services au total.
Combien de comptes français ont été compromis en 2026 ?
43,4 millions de comptes au premier semestre 2026 selon Surfshark. La France est le deuxième pays le plus touché au monde derrière les États-Unis (90,8 millions). Depuis 2004, 758 millions de comptes ont été compromis en France.
Mes données personnelles sont-elles dans la nature ?
Si vous avez utilisé un service public numérique (impôts, carte d'identité, Pôle Emploi, CROUS, ÉduConnect), il y a une forte probabilité que certaines de vos données circulent. En moyenne, chaque Français a subi 11 violations de données depuis 2004.
Que faire si mes données ont fuité ?
Changez vos mots de passe sur les services concernés et partout où vous utilisez le même. Activez la double authentification. Surveillez vos comptes bancaires. Déposez une pré-plainte en ligne si vous constatez une usurpation. Signalez sur cybermalveillance.gouv.fr.
Ma PME est-elle concernée par ces fuites ?
Oui. Vos données d'entreprise transitent par les services publics piratés (DGFiP, URSSAF, France Travail). Et les données volées servent à des attaques de phishing ciblées et des arnaques au faux virement contre les PME. Vous êtes concerné à double titre.
Quelles obligations RGPD en cas de fuite de données ?
72 heures pour notifier la CNIL. Information individuelle des personnes si le risque est élevé. Jusqu'à 4 % du CA ou 20 millions d'euros d'amende en cas de manquement. Notre checklist RGPD pour PME détaille les 10 obligations.