France : les cyberattaques changent d’échelle.

Des administrations centrales, des ministères et des opérateurs publics ont été directement visés. Les secteurs de la santé, de l’éducation, des télécommunications et de la finance restent aussi très exposés.

Ce dossier présente les principales cyberattaques ayant touché la France en 2025 et 2026. La chronologie 2026 couvre les événements connus jusqu’au 18 août 2026.

Important : une revendication publiée par un pirate ne constitue jamais une confirmation. Chaque affaire possède donc un statut précis.

👉 Cyberattaques en France : ce que révèle le bilan 2025

L’ANSSI a traité 3 586 événements de sécurité pendant l’année 2025. Parmi eux, elle a recensé 2 209 signalements et 1 366 incidents.

Quatre secteurs concentrent l’essentiel des attaques connues par l’agence.

Éducation et recherche : 34 %.
Ministères et collectivités territoriales : 24 %.
Santé : 10 %.
Télécommunications : 9 %.

L’ANSSI a également examiné 460 événements présentés comme de possibles fuites. Pourtant, seulement 42 % correspondaient à une exfiltration confirmée.

Ce chiffre rappelle une règle essentielle. Une annonce publiée sur un forum criminel peut réutiliser d’anciennes données.

De son côté, la CNIL a reçu 6 167 notifications de violations de données en 2025. Environ une violation sur deux provenait d’un piratage.

Cybermalveillance.gouv.fr a assisté plus de 500 000 victimes, soit une hausse annuelle de 20 %. Les demandes liées aux violations de données ont progressé de 107 %.

SÉCURITÉS

⚠️ SÉCURITÉS

⚠️ Sécurité Bitcoin

Liste des principales cyberattaques françaises de 2025

Cette chronologie 2025 reste synthétique. Elle rassemble les incidents les plus significatifs, sans prétendre recenser chaque attaque locale.

Janvier – Arsoé et Synel : une cyberattaque perturbe les services utilisés par environ 30 000 éleveurs. Certains doivent revenir aux déclarations sur papier. L’incident avait commencé en décembre 2024.
13 février – Caisse des Dépôts et Ircantec : des identifiants compromis permettent l’accès aux données de 70 000 affiliés. Des agents publics et plus de 1 000 élus figurent parmi les personnes concernées.
13 février – Chronopost : environ 210 000 clients sont concernés par une fuite distincte. Les données exposées permettent notamment des campagnes d’hameçonnage imitant les livraisons.
17 février – Fédération française de football : une intrusion par compte compromis touche plusieurs millions de licenciés, bénévoles et joueurs. Le chiffre de trois millions a été rapporté, sans bilan public définitif de la FFF.
10 mars – Université de Rennes : l’établissement confirme une attaque sur un sous-réseau pédagogique. Le groupe FunkSec revendique 50 Go de données. Ce volume reste une déclaration de l’attaquant.
Juillet – France Travail et Kairos : une intrusion expose potentiellement les données de 340 000 demandeurs d’emploi. Les informations incluent les identités, coordonnées et identifiants France Travail.
25 juillet – Orange : l’opérateur détecte une cyberattaque sur un système d’information. Plusieurs services professionnels subissent des perturbations. Orange ne détecte alors aucune exfiltration de données clients.
4 août – Bouygues Telecom : un accès non autorisé expose les données de 6,4 millions de comptes clients. Les fichiers contiennent notamment des coordonnées, informations contractuelles et certains IBAN.
18 au 20 octobre – Fédération française de tir : l’intrusion concerne potentiellement 274 000 licenciés. Les données d’identité et coordonnées créent un risque physique particulier, malgré l’absence d’informations sur les armes détenues.
13 novembre – Eurofiber France : une vulnérabilité affecte la plateforme de ticketing et un portail cloud. L’attaquant exfiltre des données et tente d’exercer un chantage.
26 novembre – Fédération française de football : un nouveau compte compromis permet un vol de données. La FFF ne communique pas le nombre exact de personnes touchées.
1er décembre – France Travail et Missions Locales : environ 1,6 million de jeunes sont concernés. Un compte d’agent compromis permet la création de deux comptes frauduleux.
11 décembre – Ministère de l’Intérieur : des serveurs de messagerie et des applications métiers sont compromis. Plusieurs dizaines de fichiers sensibles sont consultés. Les volumes beaucoup plus importants revendiqués restent non confirmés.
22 décembre – La Poste et La Banque Postale : une attaque DDoS rend plusieurs services numériques indisponibles. La Poste affirme qu’aucune donnée client n’a été compromise.

⚠️ Fraudes cryptos

Une attaque de La Poste à cheval sur deux années

L’attaque contre La Poste commence le 22 décembre 2025 et se poursuit jusqu’au 5 janvier 2026. Elle mérite donc d’apparaître dans les deux périodes.

La Banque Postale décrit cette séquence comme la plus grande attaque jamais subie par un système bancaire français. Cette affirmation concerne son intensité, pas un vol de données.

Le groupe pro-russe NoName057 a revendiqué cette campagne. Cependant, une revendication ne prouve pas seule l’attribution technique.

**toutes les actualités pertinentes du Bitcoin sur Internet !**

👉 Cyberattaques en France en 2026 : une année de rupture

L’année 2026 se distingue par la concentration des attaques contre les services publics. Plusieurs bases nationales ou interministérielles sont concernées.

Le 30 avril 2026, le Premier ministre décrit une situation grave. Il évoque une moyenne de trois vols de données par jour depuis janvier.

Le Gouvernement annonce alors 200 millions d’euros pour moderniser les applications et les outils de détection. Dès 2027, chaque ministère devra consacrer 5 % de son budget numérique à la cybersécurité.

1er janvier 2026 : les données de l’OFII apparaissent en ligne

Statut : vol confirmé, volume total non confirmé.

Des données liées à l’Office français de l’immigration et de l’intégration apparaissent sur un forum criminel. L’OFII confirme un vol provenant d’un opérateur extérieur.

Les informations concernent des étrangers engagés dans le contrat d’intégration républicaine. Elles incluent les identités, coordonnées, nationalités et motifs de séjour.

L’attaquant revendique environ 2,1 millions de lignes. Cependant, l’OFII ne confirme pas publiquement ce volume.

Des échantillons portant sur environ 1 600 personnes ont été diffusés. Le parquet de Paris a ouvert une enquête.

9 janvier 2026 : HubEE et 160 000 documents administratifs

Statut : confirmé par la DINUM.

La DINUM détecte une intrusion sur HubEE, une plateforme d’échange utilisée par plusieurs administrations. Le service intervient notamment dans certaines démarches de Service-Public.fr.

L’attaquant exfiltre environ 70 000 dossiers, représentant 160 000 documents. Certains contiennent des données personnelles.

Les administrations concernées incluent la DILA, la DGCS, la Direction générale de la Santé et la CNAF.

La DINUM bloque l’attaquant le 9 janvier. Elle rétablit pleinement le service le 12 janvier.

22 janvier 2026 : alerte sur les données des détenteurs de crypto-actifs

Statut : enquête officielle, périmètre encore inconnu.

Cybermalveillance.gouv.fr confirme plusieurs fuites chez des opérateurs du secteur des crypto-actifs. Une enquête préliminaire concerne notamment Waltio.

Le parquet de Paris confie les investigations à l’Unité nationale cyber de la Gendarmerie. Le volume et la nature exacte des données restent indéterminés.

Des utilisateurs reçoivent ensuite des appels de faux employés, banquiers ou policiers. Certains fraudeurs cherchent une seed ou un portefeuille physique.

Cybermalveillance.gouv.fr rappelle également un danger plus grave. Des enlèvements et séquestrations visant des détenteurs de crypto-actifs sont signalés en janvier 2026.

18 février 2026 : 1,2 million de comptes bancaires consultés dans FICOBA

Statut : confirmé par le ministère de l’Économie.

Un attaquant usurpe les identifiants d’un fonctionnaire habilité. Il accède ensuite au fichier national des comptes bancaires, appelé FICOBA.

La fuite concerne environ 1,2 million de comptes bancaires. Ce chiffre représente moins de 1 % des comptes enregistrés dans FICOBA.

Les données consultées incluent les RIB, IBAN, identités des titulaires et adresses. L’identifiant fiscal ne figure pas parmi les informations consultées.

Un IBAN seul ne permet pas de vider automatiquement un compte. Cependant, il renforce fortement les arnaques au faux conseiller.

20 février 2026 : 450 000 candidats exposés par FORÔMES

Statut : confirmé par le ministère des Sports.

Un compte légitime appartenant à un organisme de formation est piraté. L’attaquant accède au système FORÔMES du ministère des Sports.

Les données de 450 000 candidats sont exfiltrées. Elles comprennent les noms, coordonnées, dates de naissance et niveaux de diplôme.

Le ministère suspend temporairement le système. Il informe également l’ANSSI, la CNIL et les autorités judiciaires.

26 février 2026 : Cegedim Santé et 15,8 millions de dossiers administratifs

Statut : confirmé par Cegedim Santé.

Cegedim avait détecté des requêtes anormales fin 2025. L’attaque concernait le logiciel MLM, utilisé par 3 800 médecins.

Environ 1 500 médecins utilisateurs sont touchés. Le fichier publié contient 15,8 millions de dossiers administratifs après suppression des doublons.

Ces dossiers comportent des noms, prénoms et dates de naissance. Certains contiennent aussi une adresse, un téléphone ou un courriel.

Environ 165 000 dossiers contiennent une annotation personnelle sensible rédigée par un médecin. Ce volume représente environ 1 % du fichier.

Cegedim précise qu’aucun dossier médical structuré n’apparaît dans le fichier. Cependant, certaines annotations peuvent révéler une information médicale ou personnelle.

15 mars 2026 : 243 000 agents de l’Éducation nationale touchés

Statut : confirmé par le ministère de l’Éducation nationale.

Un attaquant usurpe un compte externe et accède au système COMPAS. Cette application gère les stagiaires des premier et second degrés.

Environ 243 000 agents, stagiaires ou titulaires, sont concernés. Les données incluent les identités, adresses, téléphones et périodes d’absence.

Les périodes d’absence ne comportent pas d’informations médicales. Les coordonnées professionnelles de certains tuteurs figurent aussi dans les fichiers.

21 mars 2026 : 1,5 million de personnes dans l’enseignement catholique

Statut : incident confirmé par le SGEC.

Une attaque cible une application de gestion du Secrétariat général de l’Enseignement catholique. Elle concerne les établissements du premier degré.

Le SGEC évoque environ 1,5 million de personnes. Le périmètre inclut 800 000 élèves, leurs familles et environ 40 000 enseignants.

Les données comprennent des informations d’identification et des coordonnées. La présence de mineurs renforce les risques d’hameçonnage familial.

23 mars 2026 : les données de 774 000 étudiants exfiltrées

Statut : confirmé par le Cnous.

L’attaque touche le site mesrdv.etudiant.gouv.fr. Cette plateforme sert aux rendez-vous sociaux et aux demandes liées au logement étudiant.

L’extraction concerne 774 000 personnes sur dix années. Pour 635 000 personnes, les données restent limitées.

Elles comprennent le nom, le prénom, le courriel, la date et l’objet du rendez-vous.

En revanche, 139 000 personnes avaient ajouté des pièces jointes. Ces documents peuvent contenir des justificatifs d’identité ou des informations sociales sensibles.

14 avril 2026 : une faille expose des données d’élèves

Statut : attaque confirmée, nombre d’élèves inconnu.

L’incident commence fin 2025 par l’usurpation du compte d’un personnel habilité. Une faille permet ensuite de télécharger des données supplémentaires.

Les données incluent les noms, identifiants ÉduConnect, établissements, classes et certaines adresses électroniques.

Des codes d’activation de comptes non encore activés figurent aussi dans les données. Le ministère réinitialise ces codes et bloque les comptes concernés.

Certains observateurs avancent environ 3,5 millions d’élèves. Toutefois, le ministère ne confirme pas ce chiffre au 18 août 2026.

15 avril 2026 : 11,7 millions de comptes ANTS concernés

Statut : confirmé par le ministère de l’Intérieur.

France Titres détecte un incident affectant le portail ants.gouv.fr. Environ 11,7 millions de comptes seraient concernés.

Les données comprennent les identifiants, noms, prénoms, courriels et dates de naissance. Certaines fiches contiennent aussi une adresse ou un téléphone.

Le ministère exclut la divulgation des pièces jointes et données biométriques. Les informations exposées ne permettent pas directement d’ouvrir les comptes.

Un pirate revendiquait entre 18 et 19 millions d’enregistrements. Le chiffre officiel reste donc limité à 11,7 millions de comptes potentiellement concernés.

7 juin 2026 : un compte Tchap compromis

Statut : confirmé par la DINUM.

Un attaquant usurpe un compte utilisateur de Tchap, la messagerie instantanée de l’État. La plateforme compte plus de 825 000 agents inscrits.

Les données d’environ 73 467 agents peuvent avoir été consultées. Elles incluent les noms, courriels et organismes d’appartenance.

Les échanges privés restent chiffrés et inaccessibles. En revanche, l’attaquant pouvait consulter certaines conversations publiques.

15 juin 2026 : 550 000 comptes JeVeuxAider.gouv.fr

Statut : confirmé par le ministère des Sports.

Un attaquant exploite une vulnérabilité de la plateforme JeVeuxAider.gouv.fr. Il extrait les données d’environ 550 000 comptes.

Les informations peuvent contenir les noms, courriels, téléphones, dates de naissance et historiques d’engagement associatif.

Aucun mot de passe, document d’identité ou renseignement bancaire n’est compromis. La plateforme corrige la vulnérabilité et reste accessible.

13 juillet 2026 : la France attribue des opérations d’espionnage au FSB russe

Statut : attribution officielle française et européenne.

L’ANSSI décrit des compromissions liées au mode opératoire Turla. La France attribue ces activités au 16e centre du FSB russe.

Les cibles françaises incluent des ministères et des organismes diplomatiques. Les secteurs de la défense, de la justice et des technologies sont également concernés.

Ces opérations cherchent principalement du renseignement stratégique. Elles diffèrent donc des vols de données destinés à la revente.

25 juillet 2026 : nouvelle intrusion dans l’Éducation nationale

Statut : intrusion confirmée, ampleur exacte encore inconnue.

Un attaquant usurpe un compte professionnel dans la nuit du 25 juillet. Il vise le système consacré à la formation des personnels.

Les données concernent potentiellement les agents ayant exercé en académie depuis 2001. Elles incluent les identités, statuts et fonctions.

Certains dossiers contiennent aussi les adresses, téléphones et numéros de sécurité sociale. Le ministère exclut les données bancaires et les mots de passe.

La revendication de ZeroBytes reste beaucoup plus large

Le 17 août, ZeroBytes revendique environ 43 Go répartis dans près de 2 500 fichiers.

Le pirate évoque 346 178 591 lignes brutes. Ce chiffre ne représente pas 346 millions de personnes différentes.

Une même personne peut apparaître plusieurs fois dans les bases. Les fichiers seraient aussi non dédupliqués.

La revendication mentionne des élèves, parents et personnels. Pourtant, le communiqué officiel du 31 juillet excluait les données d’élèves du système touché.

Au 18 août 2026, le ministère n’a pas confirmé les 43 Go, les 2 500 fichiers ou les 346 millions de lignes.

12 août 2026 : trois millions de numéros extraits via Bloctel

Statut : confirmé par la DGCCRF.

Un accès frauduleux à un compte professionnel permet l’extraction de trois millions de numéros de téléphone.

Parmi eux, 600 000 numéros appartiennent à des personnes inscrites sur Bloctel. Aucun nom ou adresse n’a été exposé.

La base centrale de Bloctel n’a pas été directement compromise. L’attaquant a utilisé les droits associés au compte professionnel piraté.

13 août 2026 : un prestataire de Santé publique France touché

Statut : confirmé par Santé publique France.

Une plateforme de commande de documents de prévention subit une cyberattaque. Un prestataire extérieur héberge ce service.

Les données de contact d’environ 80 000 personnes sont concernées. La plateforme reste indépendante des autres systèmes de l’agence.

Aucune donnée médicale n’est annoncée dans cette fuite. Cependant, les coordonnées peuvent alimenter des messages imitant l’Assurance maladie.

14 août 2026 : la DGFiP confirme le vol de données fiscales

Statut : confirmé par le ministère des Finances.

Des intrusions surviennent en juin et juillet 2026. Les attaquants usurpent les identifiants d’un agent et d’un tiers habilité.

La DGFiP bloque les comptes utilisés. Cependant, ses premiers contrôles ne détectent pas immédiatement les extractions.

Après une revendication publiée les 12 et 13 août, l’administration approfondit ses analyses. Elle confirme alors un vol concernant 678 000 particuliers et professionnels.

Les données incluent le revenu fiscal de référence, le quotient familial et le taux de prélèvement à la source.

Pour les entreprises, les fichiers comportent notamment la raison sociale et le numéro SIREN. Des informations cadastrales ont également été consultées.

Les espaces personnels sur impots.gouv.fr ne sont pas compromis. Les identifiants et mots de passe des contribuables ne figurent pas dans cette fuite.

La DGFiP poursuit ses investigations. Le nombre de personnes et le volume des données peuvent donc encore évoluer.

17 août 2026 : ZeroBytes revendique une fuite massive de l’Éducation nationale

Statut : intrusion confirmée, mais ampleur revendiquée non confirmée.

Le 17 août 2026, le pirate utilisant le pseudonyme ZeroBytes revendique une fuite massive liée à l’Éducation nationale.

Il affirme avoir extrait environ 43 Go de données. L’ensemble serait réparti dans près de 2 500 fichiers.

Au total, ZeroBytes annonce précisément 346 178 591 lignes brutes. Cependant, ce chiffre ne représente pas autant de personnes différentes.

Les fichiers seraient non dédupliqués. Ainsi, un élève ou un agent peut apparaître plusieurs fois dans différentes bases.

Quelles données ZeroBytes affirme-t-il avoir volées ?

Selon sa revendication, les fichiers proviendraient de plusieurs systèmes internes. Ils couvriraient plus de vingt années d’informations administratives et scolaires.

Noms, prénoms et dates de naissance.
Adresses postales, courriels et numéros de téléphone.
Informations concernant des élèves et leurs responsables légaux.
Données professionnelles d’enseignants et de personnels administratifs.
Affectations, grades, fonctions et historiques de carrière.
Données scolaires, évaluations, notes ou compétences.
Identifiants liés à plusieurs applications académiques.

Certains fichiers remonteraient au début des années 2000. Les données les plus récentes dateraient de 2026.

Une importante contradiction avec le communiqué officiel

Le ministère avait confirmé une intrusion survenue dans la nuit du 25 juillet 2026. Un compte professionnel usurpé avait servi de point d’entrée.

L’attaque avait visé un système consacré à la formation des personnels. Le ministère évoquait alors un nombre important d’agents potentiellement concernés.

Les données officielles comprenaient les identités, fonctions et statuts professionnels. Certains dossiers contenaient aussi des adresses, téléphones et numéros de sécurité sociale.

Cependant, le ministère affirmait que ce système ne contenait aucune donnée relative aux élèves. Il excluait aussi les mots de passe et données bancaires.

ZeroBytes décrit désormais un périmètre beaucoup plus étendu. Il affirme avoir atteint plusieurs environnements internes grâce à un accès VPN.

Cette différence peut indiquer une compromission plus large. Toutefois, elle peut aussi provenir de fichiers issus d’autres incidents ou d’anciennes fuites.

Au 18 août 2026, le ministère n’a pas confirmé les 43 Go, les 2 500 fichiers ou les 346 178 591 lignes.

Des risques particulièrement élevés pour les familles

La présence potentielle de données concernant des mineurs renforce la gravité de cette revendication.

Les criminels pourraient imiter un établissement, un rectorat ou un enseignant. Ils pourraient aussi cibler les parents avec des informations très précises.

Les données professionnelles exposeraient également les agents à l’usurpation d’identité. Les numéros de sécurité sociale augmentent encore ce risque.

Cette affaire reste donc placée en zone de vigilance renforcée. Une nouvelle communication officielle reste nécessaire pour confirmer son véritable périmètre.

⚠️ Pourquoi ces cyberattaques deviennent-elles si dangereuses ?

Des comptes légitimes ouvrent les portes

Plusieurs attaques utilisent des comptes réels compromis. Cette méthode apparaît chez FICOBA, FORÔMES, COMPAS, Tchap, Bloctel et la DGFiP.

L’attaquant n’a donc pas toujours besoin de casser une protection complexe. Il se connecte avec des droits déjà autorisés.

Les prestataires deviennent des chemins indirects

HubEE, l’OFII, Santé publique France et plusieurs services publics utilisent des partenaires extérieurs. Chaque connexion élargit la surface d’attaque.

La CNIL souligne cette tendance. Les violations massives impliquent souvent des sous-traitants ou des comptes partenaires.

Les données volées peuvent être recoupées

Une adresse seule présente un risque limité. Cependant, son association avec un IBAN, un revenu ou un téléphone change tout.

Les criminels peuvent assembler plusieurs fuites. Ils construisent alors un profil très crédible et personnalisé.

Un fraudeur peut connaître votre banque, votre opérateur et votre situation fiscale. Son appel semblera donc beaucoup plus convaincant.

Un danger renforcé pour les détenteurs de Bitcoin

Une fuite fiscale ou commerciale ne contient pas forcément une adresse Bitcoin. Cependant, son recoupement peut identifier un détenteur potentiel.

Les criminels peuvent ensuite lancer une fausse procédure de sécurité. Ils peuvent aussi usurper un policier, un fiscaliste ou un conseiller bancaire.

Dans les situations les plus graves, les données facilitent un repérage physique. La discrétion devient donc une véritable mesure de sécurité.

Comment se protéger après une fuite de données ?

Lisez attentivement la notification officielle. Elle précise normalement les informations réellement exposées.
Changez le mot de passe concerné. Faites-le aussi sur les services utilisant le même mot de passe.
Activez la double authentification. Préférez une application ou une clé physique lorsque le service le permet.
Surveillez vos comptes bancaires. Signalez rapidement toute opération ou demande de prélèvement inconnue.
Ne validez jamais une opération sous pression. Un vrai conseiller peut attendre votre vérification.
Rappelez vous-même l’organisme. Utilisez exclusivement un numéro trouvé sur son site officiel.
Conservez toutes les preuves. Gardez les messages, numéros, adresses, captures et horaires des appels.
Ne communiquez jamais votre seed. Aucun policier, fiscaliste, banquier ou fabricant de wallet ne doit la demander.
Évitez d’afficher publiquement vos avoirs. Cette prudence concerne aussi les événements, réseaux sociaux et groupes de discussion.
Utilisez 17Cyber en cas de doute. Ce service public oriente les victimes vers les démarches adaptées.

🔍 DUC, mon avis : La France ne fait plus face à quelques incidents isolés.

Elle subit désormais une campagne permanente contre ses données publiques et privées.

Le problème dépasse largement les mots de passe faibles. Les attaquants exploitent surtout les comptes partenaires, les prestataires et les accès trop étendus.

Pour les détenteurs de Bitcoin, cette situation impose une prudence supplémentaire. Une fuite numérique peut malheureusement préparer une menace physique.

Il faut donc protéger ses comptes, mais aussi son identité et sa discrétion. Une seed hors ligne ne protège pas contre un faux policier devant votre porte.

En Bref

L’année 2025 avait installé la menace. En revanche, 2026 révèle la profonde fragilité des systèmes publics français. L’État saura-t-il réagir ? Dispose-t-il des moyens, des compétences et de l’autorité nécessaires ? Même avec une réponse adaptée, les corrections prendront du temps. En attendant, chaque citoyen reste sa propre dernière ligne de défense.

📌 Comment ces cyberattaques ont-elles été sélectionnées ?

Cette liste reste volontairement sélective. Une attaque apparaît lorsqu’elle répond à au moins un critère majeur.

Elle concerne un grand nombre de personnes.
Elle expose des données sensibles ou hautement personnelles.
Elle perturbe un service public ou une infrastructure importante.
Elle présente un risque stratégique, économique ou physique.
Une autorité ou l’organisation visée l’a officiellement confirmée.

Trois niveaux de confirmation permettent de distinguer les informations.

Confirmé : l’organisation reconnaît l’intrusion ou l’extraction.
Périmètre en cours d’évaluation : l’incident est confirmé, mais son ampleur reste incertaine.
Revendiqué, non confirmé : le chiffre provient uniquement d’un acteur malveillant.

Malgré mes recherches, une information importante peut m’avoir échappé. Après vérification, je mettrai cet article à jour afin de garantir sa précision.

✍️ DUC

Les Sources