Sécurité offensive
Gouvernance & conformité
Protection des données
43,4 millions de comptes français compromis en six mois. Le chiffre est tombé fin juillet, il a fait le tour des rédactions, et il place la France au deuxième rang mondial derrière les États-Unis.
Difficile de rester indifférent. Reste qu’un chiffre de cette taille dit l’ampleur du phénomène, pas ce qu’une organisation doit changer chez elle.
Sur le terrain, une fuite se ramène presque toujours à un fournisseur, un accès mal fermé, une donnée qui sort d’un endroit identifiable.
Le rapport annuel de la CNIL, publié deux mois plus tôt, contient justement un chiffre qui décrit cette réalité. Il est passé largement inaperçu.
D’où sort le chiffre de 43,4 millions
Le compteur vient de Surfshark, qui suit les fuites de données publiques depuis 2004. Sur janvier-juin 2026, il recense 43,4 millions de comptes français compromis, contre 26,7 millions au second semestre 2025. Une hausse de 62,3 % d’un semestre à l’autre, soit près de trois comptes par seconde.
La France se place au deuxième rang mondial derrière les États-Unis, et au premier rang européen.
Voici la trajectoire complète.
- Cumul depuis 2004 : 740,9 millions de comptes, pour 211,9 millions d’adresses uniques. Quatrième rang mondial.
- Année 2025 : 40,3 millions de comptes, deuxième rang mondial. Une densité de 605 comptes compromis pour 1 000 habitants, contre 118 au Royaume-Uni.
- Second semestre 2025 : 26,7 millions, dont 15,6 millions sur le seul troisième trimestre.
- Premier trimestre 2026 : 23,5 millions, en hausse de 108,6 % sur le trimestre précédent.
- Premier semestre 2026 : 43,4 millions.
Le point le plus parlant de cette série tient en une ligne : les six premiers mois de 2026 pèsent déjà plus lourd que l’année 2025 entière. C’est le seul indicateur qui ne dépende pas d’une comparaison entre pays, donc le seul qui résiste aux réserves qui suivent.
Les quatre réserves de méthode
Surfshark documente sa méthode, et c’est tout à son honneur. En la lisant, quatre réserves apparaissent. Aucune n’invalide l’étude, mais elles changent ce qu’on peut en conclure.
Un compte n’est pas une personne. Le tracker agrège environ 29 000 bases publiques et compte chaque adresse e-mail exposée dans une fuite comme un compte compromis. La même adresse présente dans quatre fuites vaut quatre comptes. Pour la France, cela donne 740,9 millions de comptes pour 211,9 millions d’adresses uniques, soit 3,5 occurrences par adresse. Les 43,4 millions du semestre ne correspondent donc pas à 43,4 millions de Français.
La date retenue est ensuite celle de la mise en circulation, pas celle de l’intrusion. Surfshark l’écrit noir sur blanc. Une base volée en 2019 et diffusée en mars 2026 alourdit le premier semestre 2026. La hausse de 62 % mesure donc autant le recyclage d’anciennes fuites sur les forums de revente que le nombre d’attaques réussies sur la période. C’est la réserve la plus lourde des quatre.
Le pays, lui, est déduit plutôt que connu. L’attribution repose sur le domaine de messagerie, l’adresse IP, le numéro de téléphone ou la devise, et Surfshark précise que 25,8 % des comptes compromis ne portent aucune information de pays. Les classements nationaux sont donc des estimations, structurellement sous-évaluées et sensibles à la méthode d’attribution.
Reste que Surfshark commercialise un VPN et un service de surveillance de fuites. L’explication qu’elle avance pour 2026, la progression de l’usage de l’IA en entreprise, est une hypothèse de corrélation présentée comme une cause. C’est le genre de raccourci qu’on ne se permettrait pas dans un rapport d’audit.
Ces quatre réserves ne s’annulent pas, elles se cumulent. Le compteur reste utile pour lire une tendance sur dix ans, mais il ne permet pas de dire ce qui s’est réellement passé sur un semestre donné, et encore moins d’en déduire quoi que ce soit sur l’exposition d’une organisation en particulier.
L’autre compteur, celui de la CNIL
Il existe un second compteur, qui n’a pas fait de titres. Il porte sur des organisations françaises identifiées et non sur des enregistrements qui circulent, ce qui le rend nettement plus exploitable pour qui doit décider de quelque chose.
Dans son rapport annuel 2025, publié le 18 mai 2026, la CNIL recense 6 167 notifications de violations de données. Un record, en hausse de 9,5 % sur 2024. Un incident sur deux relève d’un piratage.
Le chiffre qui compte est ailleurs, dans une note de méthode peu commentée. L’autorité a reçu 17 802 déclarations brutes en 2025. Elle en a écarté plus de 11 600 de son décompte officiel, parce qu’elles découlaient de deux incidents seulement, survenus chez deux éditeurs de solutions.
Autrement dit : deux failles, chez deux fournisseurs, ont contraint plus de onze mille organisations à notifier la CNIL pour des données dont elles restaient responsables. Ces organisations n’étaient pas visées et ne pouvaient pas voir venir l’incident depuis leur propre système d’information. Elles ont pourtant dû gérer une violation, informer leurs clients et rendre des comptes. Contrairement au précédent, ce chiffre se traduit directement en décision.
L’angle mort de la sous-traitance
Le réflexe naturel, quand une étude de ce genre sort, c’est de se demander si on est bien protégé. C’est la mauvaise question, parce qu’elle ne regarde que ce qu’on maîtrise déjà.
Le risque majeur pour une organisation française n’est plus l’attaque ciblée conduite contre elle. C’est la compromission d’un maillon de sa chaîne de sous-traitance, qui se propage à des milliers de clients d’un coup. Votre niveau de sécurité interne ne vous protège pas de ça. Il ne change rien à la posture de votre éditeur de paie, de votre prestataire RH ou de votre plateforme de gestion documentaire.
Le RGPD, lui, ne se propage pas. Le responsable de traitement reste responsable, y compris quand la faille est chez son prestataire. C’est à vous de vérifier ses garanties, et pas seulement dans le contrat.
Le reste des données va dans le même sens. Les secteurs les plus touchés en France sont l’internet et les télécommunications, à 20 % des comptes exposés, devant la finance à 12 %. Et les grandes fuites de 2025 ne sont pas nées de vulnérabilités inédites : accès mal protégés, interfaces exposées, comptes réutilisés. La plus lourde, chez Free Mobile, représente à elle seule 12,8 millions de comptes, dont 10,3 millions de Français.
Ce qu’on regarde chez nos clients
Sur une mission de ce type, nous prenons cinq points dans cet ordre.
- La cartographie des sous-traitants. Quel prestataire détient quelles données, sous quelle juridiction, avec quelles clauses de notification. C’est le point d’entrée du risque, et c’est presque toujours la partie la moins tenue du registre des traitements.
- La procédure de notification, écrite avant d’en avoir besoin. Le délai de 72 heures court à partir de la prise de connaissance, pas de l’intrusion. Des rôles nommés et un modèle prêt font la différence entre un incident géré et un second incident, réglementaire celui-là.
- L’authentification multifacteur et la revue des accès. Comptes dormants, comptes de service, accès prestataires. La CNIL en fait une recommandation de premier rang depuis deux exercices, et les fuites massives lui donnent raison.
- La surveillance de vos propres domaines. Apprendre par la presse que les identifiants de vos collaborateurs circulent dans un dump, c’est l’apprendre trop tard.
- Le test, plutôt que la supposition. Un test d’intrusion sur les interfaces exposées et un audit RGPD du SI répondent à la seule question qui vaille : si la fuite devait venir de chez vous, par où passerait-elle.
Sur la durée, un DPO externe permet de tenir ces obligations sans mobiliser une ressource interne à plein temps. Nous avions détaillé la même mécanique sur l’exercice précédent dans notre analyse des violations de données personnelles en 2024.
Ces cinq points se traitent indépendamment de tout classement mondial. Si vous voulez faire le point sur votre cartographie, contactez-nous.
Questions fréquentes
43,4 millions de comptes, cela veut-il dire 43,4 millions de Français touchés ?
Non. Le compteur mesure des adresses e-mail exposées dans des fuites, et une même adresse peut apparaître dans plusieurs fuites. En France, on compte en moyenne 3,5 occurrences par adresse.
Pourquoi la France est-elle si haut dans le classement ?
Trois facteurs se cumulent : quelques fuites de très grande ampleur chez des acteurs grand public, un taux d’équipement numérique élevé, et une méthode d’attribution géographique qui favorise les pays où les adresses sont facilement identifiables. C’est un ordre de grandeur, pas un palmarès exact.
Dois-je notifier la CNIL à chaque violation ?
Seulement celles susceptibles d’engendrer un risque pour les droits et libertés des personnes concernées. En cas de doute, notifier reste la position la plus sûre. Le délai est de 72 heures après la prise de connaissance.
Suis-je responsable si la fuite vient de mon prestataire ?
Oui, si vous êtes responsable de traitement. Le recours à un sous-traitant ne transfère pas la responsabilité. C’est à vous de vérifier ses garanties, contractuellement et dans les faits.
Comment savoir si les données de mon organisation ont fuité ?
Par une surveillance des identifiants associés à vos noms de domaine, complétée par un inventaire des services tiers où vos collaborateurs ont créé des comptes professionnels. Les deux sont nécessaires : le premier repère la fuite, le second dit ce qu’elle expose.
Ces chiffres seront-ils mis à jour ?
Oui. Cette page est actualisée à chaque publication semestrielle du tracker et à chaque rapport annuel de la CNIL.