Fuites de données récentes en France : la liste à jour
Résumer cet article avec :
Depuis 2024, plusieurs dizaines de millions de Français ont vu leurs données personnelles exposées lors de cyberattaques visant des opérateurs, des enseignes ou des administrations. Voici, fuite par fuite, ce qui s'est passé, les données concernées, et ce qu'il faut vérifier si vous êtes client de l'un de ces organismes.
Aucune de ces fuites ne signifie automatiquement que vous serez victime d'une arnaque. Mais chacune donne aux escrocs des informations réelles (nom, numéro de téléphone, numéro de contrat…) qui rendent leurs messages de phishing bien plus crédibles que les tentatives génériques.
Pour replacer ces fuites dans le paysage national (violations notifiées à la CNIL, sanctions, hausse des escroqueries), voyez nos chiffres clés des arnaques en France, avec leurs sources officielles.
Pour savoir si votre adresse email apparaît dans l'une de ces fuites (ou d'autres), utilisez le service gratuit haveibeenpwned.com.
Les fuites, de la plus récente à la plus ancienne
ANSSI et DINUM (Metabase)
Septembre 2026Ampleur : 118 comptes Metabase du laboratoire d'innovation de l'ANSSI et 2 instances Metabase à la DINUM, selon le rapport officiel du CERT-FR (30 septembre 2026)
Ce qu'il s'est passé : Une vulnérabilité de la plateforme Metabase a permis à des pirates de récupérer des accès à des comptes de l'ANSSI et de la DINUM. L'ANSSI a rendu public son rapport le 30 septembre 2026.
Source officielle : CERT-FR, point de situation du 30 septembre 2026
Données concernées : Identifiants, adresses email, mots de passe hachés, statistiques d'utilisation et informations administratives d'organismes publics. Pour la DINUM, l'ANSSI indique que les données compromises sont déjà publiques.
Si vous êtes concerné : Si vous avez un compte sur ces services, changez votre mot de passe (et ceux où il est réutilisé), activez la double authentification et méfiez-vous des emails se réclamant de l'ANSSI.
Association des maires de France
Septembre 2026Ampleur : L'AMF a confirmé l'incident sans publier de nombre (à la date du 30 septembre 2026)
Ce qu'il s'est passé : Le 4 septembre 2026, un pirate opérant sous le pseudonyme « Alduin » a revendiqué l'exploitation d'une injection SQL sur le site amf.asso.fr, confirmée le jour même par l'association. Une des tables divulguées contiendrait des mots de passe stockés en clair pour certains comptes de mairies.
Données concernées : Nom, prénom, commune ou intercommunalité, fonction, adresse email, type d'abonnement, hashs de mots de passe et, pour une partie des comptes, des mots de passe en clair.
Si vous êtes concerné : Si vous ou votre mairie disposez d'un compte AMF, changez le mot de passe immédiatement, ainsi que sur tout autre service où il aurait été réutilisé, en priorité la messagerie professionnelle.
Cloud de l'État (DINUM)
Août 2026Ampleur : La DINUM a confirmé l'incident sans publier de chiffre (à la date du 30 septembre 2026)
Ce qu'il s'est passé : Le 22 août 2026, un pirate opérant sous le pseudonyme « 0xSec » a publié des fichiers présentés comme provenant de cloud.numerique.gouv.fr, une plateforme de la Direction interministérielle du numérique (DINUM). Un lien avec une faille zero-day révélée début août 2026 n'a pas été formellement établi.
Données concernées : Métadonnées techniques, commentaires internes, informations liées à des commandes et adresses email d'agents publics et de fournisseurs. Pas de données grand public directement concernées.
Si vous êtes concerné : Cette fuite ne demande pas d'action immédiate pour le grand public, mais illustre pourquoi il faut rester méfiant face à tout message se présentant comme émanant d'un service de l'État.
DGFiP (impôts)
Août 2026Ampleur : 678 000 particuliers et professionnels selon Bercy (communiqué du 14 août 2026) ; une seconde intrusion, sur le serveur du cadastre, concerne environ 434 000 particuliers et 1 082 professionnels (CERT-FR)
Ce qu'il s'est passé : Un pirate opérant sous le pseudonyme « ZeroBytes » a revendiqué les 12 et 13 août 2026 l'extraction de données fiscales via des identifiants d'un agent et d'un tiers habilité détournés, lors d'accès non autorisés survenus en juin et juillet 2026. Bercy a confirmé l'incident, notifié la CNIL et annoncé porter plainte ; une cellule de crise interministérielle a été convoquée et un audit demandé à l'ANSSI.
Source officielle : Bercy, communiqué du 14 août 2026
Données concernées : Revenu fiscal de référence, taux de prélèvement à la source, quotient familial, adresse, et pour les professionnels le numéro SIREN. Les identifiants et mots de passe des espaces impots.gouv.fr ne sont pas concernés.
Si vous êtes concerné : Seul un email envoyé par no-reply@dgfip.finances.gouv.fr, sans aucun lien cliquable, est légitime. Ne cliquez sur aucun lien reçu par SMS ou email évoquant un remboursement ou une régularisation liée à cette fuite.
Intermarché Drive
Août 2026Ampleur : 287 605 clients du service Drive, selon Intermarché (communication du début août 2026)
Ce qu'il s'est passé : Début août 2026, le pirate « ZeroBytes » (également derrière l'affaire DGFiP) a revendiqué le vol d'une base de données liée au service Intermarché Drive. Le groupement Les Mousquetaires a confirmé l'incident, notifié la CNIL et porté plainte.
Données concernées : Nom, prénom, numéro de téléphone, adresse postale, date de naissance, numéro de carte de fidélité et informations de commande. Aucune donnée bancaire ni mot de passe n'est concerné.
Si vous êtes concerné : Méfiez-vous des SMS ou appels évoquant votre carte de fidélité ou une commande Drive : passez toujours par le site officiel en tapant l'adresse vous-même plutôt que de cliquer un lien reçu.
SFR
Juillet 2026 puis décembre 2025Ampleur : SFR a confirmé l'incident de juillet 2026 sans publier de nombre (à la date du 30 septembre 2026) ; un incident distinct a été signalé en décembre 2025
Ce qu'il s'est passé : SFR a détecté un accès non autorisé à un outil de gestion des raccordements fibre en juillet 2026. Un pirate a revendiqué l'extraction de données.Un incident distinct, touchant les clients Fibre et RED, avait déjà été confirmé en décembre 2025. L'opérateur a prévenu la CNIL et porté plainte.
Données concernées : Nom, prénom, adresse postale, numéro de téléphone, adresse email et numéro de contrat. Aucune coordonnée bancaire n'a fuité selon l'opérateur.
Si vous êtes concerné : Restez vigilant face à un appel ou SMS se présentant comme un « conseiller SFR » évoquant un problème de ligne ou de facturation : ne communiquez jamais de code reçu par SMS à un interlocuteur au téléphone.
ManoMano
Janvier 2026Ampleur : ManoMano a confirmé la fuite sans publier de nombre (à la date du 30 septembre 2026)
Ce qu'il s'est passé : Un compte d'agent chez un sous-traitant du service client de la plateforme de bricolage en ligne a été compromis, permettant une extraction non autorisée de données. ManoMano a bloqué l'accès compromis dès la découverte, révoqué les accès du prestataire, et informé la CNIL, l'ANSSI et Urgence Cyber Île-de-France.
Données concernées : Nom, prénom, adresse email, numéro de téléphone, et le cas échéant l'historique des échanges avec le service client. Les mots de passe ne sont pas concernés.
Si vous êtes concerné : Méfiez-vous des emails ou SMS se présentant comme ManoMano et demandant une action urgente (paiement, mise à jour de coordonnées) : vérifiez toujours en vous connectant directement sur le site officiel.
Auchan
Novembre 2024 puis août 2025Ampleur : De l'ordre de plusieurs centaines de milliers de comptes de fidélité concernés au total sur les deux incidents
Ce qu'il s'est passé : Auchan a été visé par deux cyberattaques distinctes ciblant les comptes de fidélité de ses clients, en novembre 2024 puis en août 2025. L'enseigne a averti les personnes concernées et la CNIL après chaque incident.
Données concernées : Civilité, statut client professionnel, nom, prénom, adresses email et postale, numéro de téléphone, numéro de carte de fidélité. Les données bancaires, mots de passe et codes PIN ne sont pas concernés.
Si vous êtes concerné : Un numéro de carte de fidélité associé à votre nom peut servir à personnaliser un message de phishing : vérifiez systématiquement l'adresse d'un email « Auchan » avant de cliquer sur un lien.
Free
Octobre 2024Ampleur : 24 millions de contrats d'abonnés, dont des IBAN pour les clients à la fois chez Free et Free Mobile (décisions de la CNIL du 8 janvier 2026, publiées le 13 janvier 2026)
Ce qu'il s'est passé : Une base de données de l'opérateur a été dérobée et proposée sur un forum spécialisé. La CNIL a ensuite infligé à Free et Free Mobile des amendes de 27 millions d'euros (Free Mobile) et 15 millions d'euros (Free) pour des mesures de sécurité jugées insuffisamment robustes (accès VPN des employés, détection d'intrusions).
Source officielle : CNIL, sanction Free et Free Mobile
Données concernées : Noms, prénoms, adresses postales, adresses email, numéros de téléphone et, pour une partie des clients, les IBAN (numéros de compte bancaire, sans le code permettant d'effectuer un prélèvement).
Si vous êtes concerné : Un IBAN seul ne permet pas de vider un compte, mais il peut servir à un faux conseiller bancaire pour paraître crédible : ne confirmez jamais un code reçu par SMS suite à un appel évoquant un remboursement ou un prélèvement.
Boulanger et Cultura
Septembre 2024Ampleur : Cultura a confirmé la fuite sans publier de nombre (à la date du 30 septembre 2026) ; Boulanger a confirmé l'incident
Ce qu'il s'est passé : Les deux enseignes ont été touchées par une attaque ayant visé un prestataire informatique partagé, également utilisé par d'autres enseignes comme Truffaut, Pepe Jeans ou GrosBill. Boulanger a indiqué que les données compromises concernaient notamment les adresses de livraison ; un pirate a par ailleurs revendiqué la mise en vente d'une base plus large sur un forum spécialisé.
Données concernées : Nom, prénom, adresse email, adresse postale, et pour Cultura également date de naissance, numéro de téléphone et détails sur les produits commandés.
Si vous êtes concerné : Ces données suffisent à construire un faux SMS de livraison très crédible : consultez notre guide sur l'arnaque au colis avant de cliquer sur un lien de suivi reçu par SMS.
France Travail (ex-Pôle emploi)
Mars 2024Ampleur : Jusqu'à 43 millions de personnes potentiellement concernées, nombre à confirmer selon la CNIL à l'époque
Ce qu'il s'est passé : Une cyberattaque entre le 6 février et le 5 mars 2024 a permis l'exfiltration de données de demandeurs d'emploi actuels et anciens. France Travail a notifié la CNIL le 8 mars 2024 et communiqué publiquement le 13 mars 2024.
Source officielle : CNIL, fuite de données France Travail (13 mars 2024)
Données concernées : Identité (nom, prénom, date et lieu de naissance), numéro de sécurité sociale (NIR), identifiant France Travail, adresses email et postales, numéros de téléphone. Les mots de passe et coordonnées bancaires n'étaient pas concernés.
Si vous êtes concerné : Le numéro de sécurité sociale est une donnée sensible et durable : restez vigilant sur le long terme face à toute demande non sollicitée évoquant vos droits, une formation (CPF) ou un remboursement de la Sécurité sociale.
Envie de savoir précisément quelles fuites vous concernent, sans chercher vous-même ?
Que faire si vos données ont fuité
Un appel ou un SMS évoque l'une de ces fuites ?
Utiliser nos outils gratuits3 erreurs à éviter après une fuite qui vous concerne
Questions fréquentes
Rendez-vous sur haveibeenpwned.com et saisissez votre adresse email : le site indique dans quelles fuites connues elle apparaît, avec la date et la nature de chaque incident. Vous pouvez aussi activer une alerte gratuite pour être prévenu automatiquement en cas de nouvelle fuite.
Le risque principal après ce type de fuite n'est pas le piratage direct d'un compte, mais le phishing ciblé : avec votre nom, votre numéro de téléphone ou votre numéro de contrat, un escroc peut rédiger un message beaucoup plus crédible. La vigilance reste nécessaire même sans mot de passe compromis.
Oui, en cas de risque élevé pour les personnes concernées, l'entreprise ou l'organisme a l'obligation d'informer les personnes concernées et de notifier la CNIL, conformément au RGPD.
Cela dépend du préjudice réellement subi et des suites judiciaires ou de médiation engagées. Ce n'est pas automatique : une plainte ou une action collective peut être envisagée en cas de préjudice avéré, avec l'aide d'un professionnel du droit.
Vous avez déjà été victime d'une arnaque suite à une fuite ?
Découvrez toutes les démarches à effectuer, dans l'ordre.
Voir le guide completPour aller plus loin
Article informatif recoupé avec la CNIL, cybermalveillance.gouv.fr et la presse spécialisée (it-connect.fr, Usine Digitale, Le Monde Informatique). Les chiffres cités sont ceux communiqués publiquement par les organismes concernés ou les autorités ; ils peuvent évoluer au fil de l'enquête. Cette page sera mise à jour au fil des nouvelles fuites significatives.