Cyberattaques en France en 2026 : la liste complète à jour

Quelles sont les principales cyberattaques en France en 2026 ?

En 2026, les cyberattaques en France ont atteint un niveau sans précédent, avec plus de 54 000 incidents de sécurité enregistrés au premier trimestre (+37 % vs 2025). Les cinq attaques majeures sont : ANTS / France Titres (11,7 millions de comptes), Cegedim Santé (15 millions de patients), ÉduConnect (3,5 millions d’élèves), FICOBA-DGFiP (1,2 million de comptes bancaires) et la sanction CNIL Free Mobile à 42 millions d’euros

Par Mohamed Ali Ksouri, Directeur Associé d’i-lead Consulting / i-lead Sentinel

🔄 ARTICLE MIS À JOUR CHAQUE MOIS Dernière mise à jour : 26 avril 2026  •  Prochaine MAJ : fin mai 2026 Lecture : 18 min  •  Sources principales : Ministère de l’Intérieur, ANSSI, CNIL, DGFiP, Cegedim, FBF, presse spécialisée

📌 L’essentiel en 60 secondes • ANTS / France Titres : 11,7 millions de comptes confirmés par le ministère de l’Intérieur le 21 avril 2026 (jusqu’à 19 M revendiqués par le hacker) (source : Ministère de l’Intérieur). • Cegedim Santé : 15 millions de patients exposés via le logiciel MLM (révélé 26 février 2026) (source : communiqué Cegedim). • Éducation nationale / ÉduConnect : 3,5 millions d’élèves exposés par faille IDOR (confirmé 14 avril 2026) (source : 01net). • FICOBA / DGFiP : 1,2 million de comptes bancaires consultés illégitimement (annoncé 18 février 2026) (source : Ministère de l’Économie). • Free Mobile et Free sanctionnés à 42 millions d’euros par la CNIL (14 janvier 2026) (source : délibération CNIL). • Plus de 90 millions de comptes français compromis sur le seul mois de janvier 2026 selon les estimations relayées par la presse spécialisée (source : recensement Jedha). • Plus de 54 000 incidents de sécurité signalés au seul T1 2026, en hausse de 37 % vs 2025 (source : RM3A — analyse T1 2026).

Chiffres clés 2026 : la France sous tension cyber

Le contexte 2026 est sans précédent. Selon une analyse publiée en avril 2026 par RM3A et reprise par plusieurs médias spécialisés, plus de 54 000 incidents de sécurité ont été signalés en France au seul premier trimestre 2026, soit une hausse d’environ 37 % par rapport à la même période en 2025(source : RM3A).

La progression de la menace est mesurable, documentée et reconnue par les autorités.

Selon la Commission nationale de l’informatique et des libertés, 5 629 violations de données ont été notifiées en 2024, soit en moyenne quinze notifications par jour(source : CNIL — Bilan 2024). Depuis la création de l’autorité en 2018, plus de 23 000 déclarations ont été enregistrées.

Le secteur de l’administration publique concentre environ dix-sept pour cent des notifications, suivi par le commerce, la réparation automobile et la santé.

Le coût annuel de la cybercriminalité pour la France est estimé à plus de 118 milliards d’euros pour l’année 2024 (équivalent d’environ 129 milliards de dollars)(source : Statista). Ce chiffre traduit une multiplication par vingt-trois en huit ans : la cybercriminalité coûtait environ cinq milliards de dollars à la France en 2016.

Selon le Microsoft Digital Defense Report cité par Guardia Cybersecurity School, la France se classe au quatrième rang européen des pays où les clients Microsoft sont les plus touchés par une activité cyber, et au douzième rang mondial(source : Microsoft Digital Defense Report).

Plus de 320 collectivités françaises ont été victimes de cyberattaques significatives depuis le début de 2026 selon les analyses de RM3A(source : RM3A — collectivités). Mairies, conseils départementaux et régionaux constituent la deuxième catégorie la plus ciblée après le secteur santé : données massives, budgets IT limités, équipes techniques sous-dimensionnées — un profil idéal pour les groupes ransomware.

Les attaques contre les collectivités suivent généralement un schéma répété : phishing ciblé sur un agent administratif, déploiement d’un ransomware qui chiffre les serveurs, demande de rançon.

À l’échelle globale, les estimations indépendantes situent le volume total à environ 350 000 cyberattaques par an en France toutes typologies confondues (réussies, tentées, médiatisées ou non)(source : Independant.io — 24 stats 2026).

L’école Jedha, qui maintient un recensement à jour des incidents publics, référence plus de 130 cyberattaques rendues publiques entre 2024 et 2026(source : Jedha — recensement)

Tableau de synthèse — chiffres clés 2026

Indicateur	Valeur
Incidents de sécurité signalés — T1 2026	54 000+ (+37 % vs 2025)
Violations notifiées à la CNIL en 2024	5 629 (≈ 15 / jour)
Coût annuel cybercriminalité France 2024	≈ 118 Mds €
Rang européen Microsoft Digital Defense Report	4ᵉ
Collectivités françaises victimes en 2026	320+
Comptes français compromis — janvier 2026	≈ 90 M (estimations)
Cyberattaques recensées Jedha 2024-2026	130+ rendues publiques
Cyberattaques estimées par an en France	≈ 350 000
Coût moyen rançon 2025	> 500 000 €
Phishing dans l’origine des attaques	≈ 60 %

Tableau de suivi : Date / Incident / Source officielle

Ce tableau centralise les incidents majeurs avec leur source officielle vérifiable. Mis à jour à chaque revue mensuelle.

Date révélation	Incident	Ampleur	Source officielle
20-21 avril 2026	ANTS / France Titres (portail ants.gouv.fr)	11,7 M comptes (revendiqué : 18-19 M)	Ministère de l’Intérieur
14 janvier 2026	Sanction CNIL Free Mobile + Free	42 M€ (24 M abonnés)	CNIL — délibération
18 février 2026	FICOBA / DGFiP	1,2 M comptes bancaires	Ministère de l’Économie
19 février 2026	Alerte FBF post-FICOBA	Vigilance prélèvements SEPA	Fédération bancaire française
20 février 2026	Recommandations Banque de France	Liste blanche SEPA	Banque de France
26 février 2026	Cegedim Santé / MLM	15 M patients (164 k sensibles)	Communiqué Cegedim
27 février 2026	Enquête parquet de Paris	Ouverte sur Cegedim	Nice-Matin / AFP
12 mars 2026	Question écrite Sénat	Cyberattaques administrations	JO Sénat
24 mars 2026	Compas — Éducation nationale	243 000 enseignants	Le Monde
11 avril 2026	Alinto (sous-traitant emailing)	40 M métadonnées	Libr’Expression
13 avril 2026	Basic-Fit (6 pays)	1 M membres	Le Monde
14 avril 2026	ÉduConnect — Éducation nationale	3,5 M élèves mineurs	01net / DumpSec
Avril 2026	AlumnForce (alumni)	2,7 M profils	Libr’Expression
Avril 2026	FFR — Fédération française de rugby	500 000+ licenciés	Libr’Expression
Avril 2026	CROUS	774 000 étudiants	Science & Vie

Liste chronologique des cyberattaques majeures en France en 2026

Le tableau ci-dessous regroupe les vingt-cinq incidents les plus marquants recensés depuis le début de l’année 2026. Il ne prétend pas à l’exhaustivité — l’école Jedha référence plus de 130 cyberattaques publiées entre 2024 et 2026 (source : Jedha) et de nombreuses attaques contre PME et collectivités ne sont pas médiatisées — mais couvre les événements majeurs ayant fait l’objet d’une communication officielle, d’une dépêche d’agence ou d’un reportage de presse vérifiable.

Date	Cible	Ampleur	Type / acteur
22 déc. 2025	La Poste / Banque Postale	Services en ligne paralysés	DDoS NoName057
1er janv. 2026	La Poste (groupe)	Site et services ko	DDoS Nouvel An — NoName057
1er janv. 2026	OFII	2,1 M dossiers étrangers	Vente sur dark web
8 janv. 2026	CRIJ Bourgogne-Franche-Comté	283 000 cartes jeunes	Mise en vente dark web
12 janv. 2026	Hénin-Carvin (agglomération)	En cours d’évaluation	Cyberattaque collectivité
12 janv. 2026	FFT (tennis)	Adhérents — non communiqué	Plainte déposée
14 janv. 2026	Free Mobile + Free (sanction CNIL)	24 M abonnés (incident oct. 2024)	42 M€ d’amendes CNIL
19 janv. 2026	URSSAF	Salariés — estimations à confirmer	Accès frauduleux
20 janv. 2026	FN chasseurs	≈ 1 M chasseurs	Fuite — guichet unique permis
30 janv. 2026	ManoMano	Clients — non communiqué	Compromission sous-traitant
18 fév. 2026	FICOBA — DGFiP	1,2 M comptes bancaires	Usurpation identifiants fonctionnaire
26 fév. 2026	Cegedim Santé — MLM	15 M patients (164 k sensibles)	Compromission applicative
Mars 2026	Vivaticket — billetteries musées	Données utilisateurs	Compromission service numérique
24 mars 2026	Compas — Éducation nationale	243 000 enseignants	Exfiltration coordonnées
Avril 2026	Carte Jeune Occitanie	Bénéficiaires — non chiffré	Fuite de données
Avril 2026	CROUS	774 000 étudiants	Extraction de données
11 avril 2026	Alinto (sous-traitant emailing)	40 M métadonnées	Fuite massive supply chain
13 avril 2026	Basic-Fit	1 M membres (FR, BE, DE, ES, LU, NL)	Coordonnées bancaires compromises
Avril 2026	FFR (rugby)	500 000+ licenciés (campagne)	Phishing
14 avril 2026	ÉduConnect — Éducation nationale	3,5 M élèves mineurs	Faille IDOR — DumpSec
15 avril 2026 (révélé 20 avril)	ANTS / France Titres (ants.gouv.fr)	11,7 M comptes confirmés (jusqu’à 19 M revendiqués)	Faille IDOR — breach3d
Avril 2026	AlumnForce	2,7 M profils (1,83 M emails)	Exfiltration plateforme alumni
Mes Rendez-Vous	Plateforme RDV	774 000 dont 139 k passeports/CNI	Pièces jointes dérobées
Déc. 2025-mars 2026	Fédérations sportives en série	Plusieurs millions licenciés	UNSS, FFG, FFA, voile, natation, golf
Début 2026	Service-public.fr	Non communiqué	Fuite usagers
Fin 2025 (révélé 2026)	Ministère de l’Intérieur	Boîtes mail police	Mots de passe partagés en clair

Cegedim Santé : 15 millions de Français exposés via le logiciel MLM

Chronologie de l’incident

L’attaque visant Cegedim Santé constitue, par son ampleur, la plus importante fuite de données médicales révélée en France à ce jour. Selon le communiqué officiel de Cegedim daté du 26 février 2026 (source : Cegedim), l’éditeur a identifié fin 2025 un comportement anormal de requêtes applicatives sur des comptes médecins utilisateurs du logiciel MLM (MonLogicielMédical.com).

Le logiciel MLM est utilisé par 3 800 médecins généralistes en France, dont 1 500 ont été directement concernés. Cegedim indique avoir contacté tous les médecins concernés début janvier 2026 et les avoir accompagnés dans leurs démarches de notification à la CNIL et d’information de leurs patients, conformément aux obligations du Règlement général sur la protection des données.

L’affaire a éclaté publiquement à la suite d’un reportage diffusé au journal de 20 heures de France 2 le 26 février 2026, qui a révélé qu’une base de données contenant des informations issues du logiciel MLM circulait en libre accès sur Internet.

La ministre déléguée chargée de la Santé Stéphanie Rist confirmait sur X qu’environ quinze millions de personnes pouvaient être concernées et qu’environ 164 000 incluraient des données sensibles(source : HuffPost / AFP).

Nature des données exposées

Selon Cegedim, les informations consultées proviennent du dossier administratif des patients : identité, coordonnées, et un champ de commentaire administratif en texte libre. L’éditeur soutient que les dossiers médicaux structurés sont restés intègres.

Toutefois, le champ de texte libre a pu contenir, pour un nombre limité de patients, des annotations sensibles — pathologies graves, statut sérologique, addictions, situations de violences sexuelles.

Suites judiciaires et réglementaires

Cegedim a notifié l’incident à la CNIL, à l’ANSSI et au CERT Santé, et a déposé plainte auprès du procureur de la République. Le parquet de Paris a ouvert une enquête, comme l’a rapporté Nice-Matin le 27 février 2026.

La CNIL avait déjà sanctionné Cegedim Santé d’une amende de 800 000 euros le 5 septembre 2024 pour traitement non autorisé de données de santé via un autre logiciel (Crossway)(source : CNIL — Sanction Cegedim 2024). Cette antériorité pèse dans l’évaluation des suites possibles.

ANTS / France Titres : 11,7 millions de comptes — la plus grande fuite administrative de 2026

Chronologie de l’incident

L’attaque visant l’Agence nationale des titres sécurisés (ANTS, renommée France Titres en 2024) constitue, par son volume, la plus grande fuite de données administratives jamais publiquement attribuée à un service de l’État français. L’agence gère les passeports, cartes nationales d’identité, permis de conduire et cartes grises de millions d’usagers via le portail ants.gouv.fr.

Selon le communiqué officiel publié sur le site du ministère de l’Intérieur(source : Ministère de l’Intérieur — communiqué), l’ANTS a détecté le mercredi 15 avril 2026 un incident de sécurité « pouvant impliquer une divulgation de données » issues de comptes particuliers et professionnels.

L’agence a annoncé publiquement la cyberattaque le lundi 20 avril 2026, puis le ministère de l’Intérieur a confirmé le 21 avril 2026 que 11,7 millions de comptes seraient concernés(source : franceinfo — 21 avril 2026). Un point d’étape complémentaire a été publié le 24 avril 2026.

Volume revendiqué et écart avec le chiffre officiel

Dès le 16 avril 2026, un acteur se présentant sous le pseudonyme « breach3d » a mis en vente sur un forum cybercriminel ce qu’il présente comme une base issue des systèmes de l’ANTS, contenant entre 18 et 19 millions d’enregistrements(source : franceinfo — 20 avril 2026).

L’écart entre le chiffre officiel (11,7 M comptes) et le chiffre revendiqué (jusqu’à 19 M enregistrements) s’explique en partie par les doublons et les profils incomplets. Les investigations techniques sont toujours en cours à la date de mise à jour de cet article.

Mécanisme : faille IDOR — la même que sur ÉduConnect

Selon les déclarations de l’attaquant rapportées par FrenchBreaches — non encore confirmées officiellement par l’ANTS — la faille exploitée serait de type IDOR (Insecure Direct Object Reference). Il suffisait de modifier un identifiant dans une requête pour accéder aux données d’un autre utilisateur, sans contrôle d’autorisation côté serveur.

C’est exactement le même mécanisme qui avait permis l’attaque ÉduConnect en avril 2026 — deux des plus grandes fuites administratives de 2026 reposent ainsi sur la même classe de vulnérabilité applicative, dans deux portails de service public à fort volume.

Données exposées et risques pour les usagers

Les données potentiellement compromises incluent : nom, prénom, date de naissance, adresse postale, adresse e-mail, numéro de téléphone. Le ministère de l’Intérieur précise que ces données « ne permettent pas d’accès illégitime au compte nominatif sur le portail » — autrement dit, les mots de passe ne sont pas concernés.

En revanche, le jeu de données est suffisant pour construire des campagnes de phishing ultra-ciblées et alimenter des tentatives d’usurpation d’identité, particulièrement préoccupantes s’agissant d’un service qui gère justement les titres officiels d’identité.

Suites judiciaires et institutionnelles

France Titres a notifié l’incident à la CNIL et à l’ANSSI, et a effectué un signalement à la procureure de la République de Paris en application de l’article 40 du Code de procédure pénale. Le parquet de Paris a confirmé à l’AFP avoir confié les investigations à l’Office anti-cybercriminalité (OFAC).

Le ministre de l’Intérieur, Laurent Nuñez, a saisi en parallèle l’Inspection générale de l’administration (IGA) pour établir la chaîne de responsabilité dans cet incident.

Que doivent faire les usagers concernés

• Vigilance phishing renforcée : tout e-mail ou SMS prétendant venir de l’ANTS, France Titres, ou d’un service public concernant un titre d’identité doit être vérifié via le canal officiel ants.gouv.fr et jamais via les liens reçus.
• Surveiller les notifications officielles : les usagers concernés sont contactés directement par e-mail par France Titres. En cas de doute sur l’authenticité, contacter le service via le portail officiel.
• Activer la double authentification sur tous les comptes administratifs (FranceConnect, impots.gouv.fr, ameli.fr) et changer les mots de passe partagés.

Conserver toutes les preuves de notification reçues : elles peuvent fonder une action en réparation, comme cela a été le cas pour FICOBA.

FICOBA : 1,2 million de comptes bancaires compromis à la DGFiP

Le fichier national des comptes bancaires

Le FICOBA — Fichier des comptes bancaires et assimilés — recense l’ensemble des comptes bancaires ouverts dans les établissements français. Administré par la DGFiP, il centralise environ trois cents millions de comptes. Il constitue une infrastructure critique de l’État, utilisée par l’administration fiscale et certaines autorités dans le cadre de missions encadrées par la loi.

Modalités de l’attaque

Selon le communiqué officiel du Ministère de l’Économie publié le 18 février 2026(source : Ministère de l’Économie), un acteur malveillant a usurpé les identifiants d’un fonctionnaire disposant d’accès au fichier dans le cadre d’échanges d’information entre ministères.

À compter de fin janvier 2026, cet acteur a pu consulter une partie du fichier. La période d’intrusion s’est étendue, selon les analyses publiées, du 28 janvier au 13 février 2026, soit environ seize jours avant détection.

Les données exposées comprennent les coordonnées bancaires (RIB et IBAN), l’identité du titulaire et son adresse postale. L’identifiant fiscal n’a pas été consulté selon le communiqué.

La fuite concerne approximativement 1,2 million de comptes, soit moins d’un pour cent du contenu total du fichier FICOBA(source : DGFiP).

Conséquences pour les usagers

La Fédération bancaire française, dans son communiqué du 19 février 2026(source : FBF), a appelé à la vigilance. Si les seules données IBAN, identité et adresse ne suffisent pas à effectuer un virement direct, elles peuvent être utilisées pour des mandats de prélèvement frauduleux.

La Banque de France a recommandé, dans son communiqué du 20 février 2026, l’activation d’une liste blanche SEPA permettant de filtrer les créanciers autorisés à prélever sur un compte(source : Banque de France).

Éducation nationale : ÉduConnect, Compas et CROUS

Le secteur éducatif français a été particulièrement touché en 2026. Trois incidents majeurs se sont enchaînés, révélant la fragilité des systèmes d’information de l’Éducation nationale et de l’enseignement supérieur.

ÉduConnect — 3,5 millions d’élèves mineurs exposés

Le ministère de l’Éducation nationale a confirmé le 14 avril 2026 une cyberattaque survenue fin décembre 2025 via la plateforme ÉduConnect(source : 01net). Près de 3,5 millions d’élèves mineurs sont concernés selon les informations du groupe DumpSec.

Le périmètre est lourd : plus de 7 200 000 bulletins scolaires volés, environ 400 000 rapports ASSR2 compromis. L’attaquant a usurpé l’identité d’un agent administratif et exploité une faille IDOR — Insecure Direct Object Reference — en modifiant un simple numéro dans la barre d’adresse pour consulter les dossiers d’autres établissements sans que le système ne bloque la requête.

Compas — 243 000 enseignants exposés

Fin mars 2026, l’application Compas a permis l’exfiltration des données de 243 000 agents — noms, prénoms, adresses et numéros de téléphone d’enseignants de toute la France mis en ligne sur des sites de revente, comme l’a rapporté Le Monde le 24 mars 2026 (source : Le Monde). C’est la deuxième attaque en un mois pour l’Éducation nationale.

CROUS — 774 000 étudiants

Une extraction de données du Centre régional des œuvres universitaires et scolaires a exposé les informations de 774 000 étudiants en avril 2026. Selon Science & Vie (source : Science & Vie), parmi les 774 000 personnes concernées, 139 000 ont vu des pièces jointes dérobées (passeports, cartes nationales d’identité). Cette fuite alimente directement les marchés noirs de l’usurpation d’identité.

Sanctions CNIL 2026 : Free Mobile et Free condamnés à 42 millions d’euros

Au-delà du recensement des incidents, l’année 2026 marque un renforcement notable de l’action répressive de la CNIL. La sanction la plus marquante a été prononcée le 14 janvier 2026 contre Free Mobile et Free.

La sanction du 14 janvier 2026

Selon la sanction officielle publiée par la CNIL (source : CNIL — délibération du 14 janvier 2026), Free Mobile a été condamnée à 27 millions d’euros et Free à 15 millions d’euros, soit un total cumulé de 42 millions d’euros.

La sanction fait suite à une violation de données personnelles survenue en octobre 2024 et touchant 24 millions d’abonnés. Plus de 2 500 plaintes ont été déposées dans le cadre de la procédure.

Cette sanction témoigne de l’évolution de la doctrine répressive de la CNIL : les amendes franchissent désormais le seuil symbolique des 25 millions d’euros, et les volumes d’utilisateurs concernés (24 millions ici) deviennent un facteur aggravant explicite.

La répétition de manquements et la qualité des mesures correctives mises en œuvre par les opérateurs sont désormais des paramètres centraux de la calibration des sanctions.

Implications pour les organisations

Pour les directions juridiques, RSSI et DPO, la sanction Free a valeur de jurisprudence opérationnelle. Trois enseignements pratiques : (1) le délai de notification CNIL de 72 heures n’est pas négociable et doit être documenté, (2) la cartographie des données et la matrice de gravité par typologie de fuite doivent être prêtes en amont d’un incident, (3) les mesures techniques et organisationnelles doivent être démontrables — pas seulement déclarées.

Fédérations sportives : une série systémique

Entre décembre 2025 et avril 2026, une vague d’attaques sans précédent a frappé l’écosystème sportif français. Ces incidents témoignent d’une cible nouvelle pour les cybercriminels : les bases de données de licenciés sportifs, riches en informations exploitables pour le credential stuffing et les fraudes à l’identité.

Fédération nationale des chasseurs — 20 janvier 2026

L’attaque a ciblé le « guichet unique des validations des permis de chasser ». Selon les sources de presse spécialisée, les données d’environ un million de chasseurs ont fuité sur le dark web. Plainte déposée. Données exposées : identité, adresse, numéro de permis.

Risque secondaire : cambriolages ciblés (les fichiers chasseurs indiquent souvent la présence d’armes au domicile).

Fédération française de rugby — avril 2026

La Fédération française de rugby a fait état d’une cyberattaque issue d’une campagne de phishing visant certains licenciés. Plus de 500 000 personnes potentiellement concernées en plus de photographies et de nombreux documents, selon Libr’Expression (source : Libr’Expression).

Autres fédérations touchées

Sur la même période : Fédération française de tennis (FFT, attaque du 12 janvier 2026 avec plainte déposée), UNSS (Union nationale du sport scolaire), Fédération française de gymnastique, Fédération française d’athlétisme, fédérations de voile, de natation, de golf.

L’ampleur exacte de plusieurs incidents n’a pas été communiquée publiquement, mais les volumes cumulés se chiffrent en plusieurs millions de licenciés exposés.

Services publics : La Poste, URSSAF, OFII, Service-public.fr

La Poste — DDoS attribuée à NoName057

Entre décembre 2025 et janvier 2026, La Poste et la Banque Postale ont fait face à des attaques par déni de service distribué d’une ampleur exceptionnelle. Les sources de presse spécialisée ont rapporté que la première offensive du 22 décembre 2025 a été suivie d’une seconde le 1er janvier 2026, avec un arrêt complet du site et des services en ligne et plusieurs milliards de tentatives de connexion par seconde.

L’attaque a été attribuée au collectif pro-russe NoName057, qui revendique régulièrement des opérations contre des cibles européennes en lien avec le contexte géopolitique.

OFII — 2,1 millions de dossiers

Selon les recensements de Jedha publiés début 2026(source : Jedha), l’Office français de l’immigration et de l’intégration a subi le 1er janvier 2026 une cyberattaque ayant exposé les données personnelles de 2,1 millions de dossiers d’étrangers en France.

Les données ont été mises en vente sur le dark web. Population particulièrement vulnérable, ces personnes sont exposées à des escroqueries ciblées dans le cadre de procédures administratives.

URSSAF — janvier 2026

L’URSSAF a fait l’objet d’un accès frauduleux à des données personnelles de salariés le 19 janvier 2026 selon Jedha. Les estimations relayées par d’autres sources spécialisées ont évoqué jusqu’à douze millions de salariés potentiellement concernés (noms, dates de naissance, identifiants employeurs SIRET).

Cette estimation reste à confirmer par un communiqué officiel de l’URSSAF, qui n’avait pas publié de bilan détaillé à la date de cet article.

Service-public.fr et Ministère de l’Intérieur

Le portail Service-public.fr a fait l’objet d’une fuite de données usagers début 2026. Sur le périmètre du Ministère de l’Intérieur, des accès à des boîtes mail de la police nationale ont été révélés fin 2025, avec un constat alarmant : la pratique de partage de mots de passe en clair entre utilisateurs, qui a facilité l’intrusion.

Question parlementaire au Sénat

Le 12 mars 2026, une question écrite a été déposée au Sénat sur la multiplication des cyberattaques visant les administrations françaises (source : JO Sénat — 12 mars 2026).

Le parlementaire interpelle le Gouvernement sur la nécessité de faire de la cybersécurité une priorité de l’action publique et envisage un renforcement des obligations de sécurité applicables aux organismes traitant des données. Cette question, publiée au Journal Officiel du Sénat, témoigne de la prise de conscience institutionnelle.

Services publics : La Poste, URSSAF, OFII, Service-public.fr

La Poste — DDoS attribuée à NoName057

Entre décembre 2025 et janvier 2026, La Poste et la Banque Postale ont fait face à des attaques par déni de service distribué d’une ampleur exceptionnelle. Les sources de presse spécialisée ont rapporté que la première offensive du 22 décembre 2025 a été suivie d’une seconde le 1er janvier 2026, avec un arrêt complet du site et des services en ligne et plusieurs milliards de tentatives de connexion par seconde.

L’attaque a été attribuée au collectif pro-russe NoName057, qui revendique régulièrement des opérations contre des cibles européennes en lien avec le contexte géopolitique.

OFII — 2,1 millions de dossiers

Selon les recensements de Jedha publiés début 2026(source : Jedha), l’Office français de l’immigration et de l’intégration a subi le 1er janvier 2026 une cyberattaque ayant exposé les données personnelles de 2,1 millions de dossiers d’étrangers en France.

Les données ont été mises en vente sur le dark web. Population particulièrement vulnérable, ces personnes sont exposées à des escroqueries ciblées dans le cadre de procédures administratives.

URSSAF — janvier 2026

L’URSSAF a fait l’objet d’un accès frauduleux à des données personnelles de salariés le 19 janvier 2026 selon Jedha. Les estimations relayées par d’autres sources spécialisées ont évoqué jusqu’à douze millions de salariés potentiellement concernés (noms, dates de naissance, identifiants employeurs SIRET). Cette estimation reste à confirmer par un communiqué officiel de l’URSSAF, qui n’avait pas publié de bilan détaillé à la date de cet article.

Service-public.fr et Ministère de l’Intérieur

Le portail Service-public.fr a fait l’objet d’une fuite de données usagers début 2026. Sur le périmètre du Ministère de l’Intérieur, des accès à des boîtes mail de la police nationale ont été révélés fin 2025, avec un constat alarmant : la pratique de partage de mots de passe en clair entre utilisateurs, qui a facilité l’intrusion.

Question parlementaire au Sénat

Le 12 mars 2026, une question écrite a été déposée au Sénat sur la multiplication des cyberattaques visant les administrations françaises(source : JO Sénat — 12 mars 2026).

Le parlementaire interpelle le Gouvernement sur la nécessité de faire de la cybersécurité une priorité de l’action publique et envisage un renforcement des obligations de sécurité applicables aux organismes traitant

des données. Cette question, publiée au Journal Officiel du Sénat, témoigne de la prise de conscience institutionnelle.

Entreprises privées : Basic-Fit, ManoMano, AlumnForce, Alinto

Au-delà des institutions publiques, plusieurs entreprises privées françaises et européennes ont été victimes d’attaques majeures en 2026. Cette section recense les incidents les plus marquants.

Alinto — 40 millions de métadonnées exposées

Selon Libr’Expression (source : Libr’Expression), le 11 avril 2026 une fuite massive chez Alinto a exposé environ 40 millions de métadonnées d’emails. L’attaque a touché des grands comptes dont les services emailing étaient sous-traités via Alinto : L’Oréal, Renault, Carrefour, Hermès, parmi d’autres. Cette attaque illustre le risque supply chain à son paroxysme : compromettre un sous-traitant pour atteindre simultanément plusieurs grandes entreprises.

Basic-Fit — 1 million de membres européens

Le groupe Basic-Fit a subi le 13 avril 2026 selon Le Monde (source : Le Monde) un piratage concernant six pays : France, Belgique, Allemagne, Espagne, Luxembourg, Pays-Bas. Un million de membres avec leurs coordonnées bancaires compromises. L’incident illustre l’exposition transfrontalière des grandes chaînes : un seul incident peut générer six notifications réglementaires distinctes auprès des autorités nationales de protection des données.

AlumnForce — 2,7 millions de profils alumni

La plateforme AlumnForce, qui héberge les bases d’anciens élèves de nombreuses écoles françaises, a vu 2,7 millions de profils exfiltrés selon Libr’Expression. Le détail : 1,83 million d’emails uniques, 651 000 numéros de téléphone. Population à fort pouvoir d’achat et professionnels — cible idéale pour le spear phishing professionnel et la fraude au président.

ManoMano — sous-traitant compromis

Le 30 janvier 2026, ManoMano a déclaré une fuite de données chez un sous-traitant de service client après la compromission d’un compte agent. Données compromises : nom, prénom, adresse e-mail, numéro de téléphone et historique d’échanges avec le support des clients concernés. Selon le communiqué de la marketplace, aucun mot de passe ne serait concerné. L’incident illustre le maillon faible classique : l’externalisation du support client.

Vivaticket — billetteries de musées

L’éditeur de billetterie Vivaticket, dont les solutions équipent plusieurs musées français — notamment lyonnais — a subi un piratage en mars 2026 exposant les données utilisateurs de ses clients institutionnels. Cette attaque rappelle que les services numériques publics, même délégués à des éditeurs spécialisés, restent dans la responsabilité de l’institution donneuse d’ordre au sens du RGPD.

Tendances 2026 : IA agentique, deepfakes et attaques supply chain

Au-delà du recensement des incidents, l’analyse des modes opératoires observés en 2026 révèle trois transformations structurelles qui redéfinissent le paysage cyber français.

L’industrialisation par l’IA agentique

L’année 2026 marque, selon les analyses publiées par DigiTechnologie en janvier(source : DigiTechnologie), le basculement vers l’usage d’agents IA autonomes dans la cybercriminalité.

Ces systèmes peuvent cartographier une cible en quelques minutes, enchaîner l’exploitation de plusieurs vulnérabilités et générer des campagnes de phishing à très grande échelle, calibrées selon les données contextuelles disponibles.

Palo Alto Networks anticipe les premières actions en justice visant des dirigeants pour défaut de supervision de systèmes IA autonomes — un signal réglementaire fort.

L’explosion du Ransomware-as-a-Service (RaaS) accompagne ce mouvement. Les cinq groupes les plus actifs contre les entreprises françaises en 2025-2026 sont, selon i-lead Consulting, Akira (spécialisé PME-ETI via VPN non patchés), RansomHub, Qilin (santé et collectivités), DragonForce et Medusa.

Ces cinq familles concentreraient plus de la moitié des attaques mondiales contre les entreprises françaises. En mars 2026, le groupe Lazarus a utilisé le ransomware Medusa pour cibler le secteur de la santé selon dcod.ch.

Les deepfakes au niveau opérationnel

Les générateurs vidéo temps réel — au premier rang desquels Sora 2 — permettent désormais de produire des fausses visioconférences quasi indétectables.

Selon une enquête de Global Security Mag(source : Global Security Mag), environ une personne sur quatre déclare avoir été confrontée à une attaque par clonage vocal, soit personnellement, soit via un proche.

Les entreprises sont confrontées à des deepfakes professionnels utilisés pour détourner des fonds via de faux ordres de virement, imiter un dirigeant ou tromper un salarié.

Le scénario type rapporté par les acteurs du secteur — un opérateur recevant un appel vidéo de son prétendu directeur demandant l’ouverture d’un accès distant pour une « maintenance d’urgence », avec voix, apparence et tics de langage parfaitement imités — devient un mode opératoire standard.

La vérification multi-canaux et l’authentification forte des demandes critiques deviennent indispensables.

La pression supply chain

Les attaques par la chaîne d’approvisionnement se généralisent. Plutôt que de cibler directement une organisation protégée, les attaquants compromettent un fournisseur ou un éditeur de logiciels métier pour atteindre simultanément plusieurs clients.

Trois cas 2026 illustrent ce mécanisme : Cegedim (compromission d’un éditeur médical exposant 15 millions de patients), Alinto (40 millions de métadonnées exposant L’Oréal, Renault, Carrefour, Hermès), ManoMano (compromission d’un sous-traitant de support client).

La directive NIS2 prend explicitement en compte ce risque en imposant aux entités assujetties la sécurité de leur chaîne d’approvisionnement.

Le retour de la faille IDOR sur les portails publics à fort volume

Deux des plus grandes fuites administratives françaises de 2026 reposent sur la même classe de vulnérabilité applicative : ÉduConnect (3,5 M élèves, faille IDOR confirmée) le 14 avril 2026, et ANTS / France Titres (11,7 M comptes officiels, jusqu’à 19 M revendiqués, faille IDOR vraisemblable) le 15 avril 2026.

Soit, en 24 heures, deux portails publics à très fort volume compromis par le même mécanisme : un identifiant d’objet exposé dans la requête, sans contrôle d’autorisation côté serveur.

Pour les RSSI et DSI du secteur public, le signal est clair : audits IDOR systématiques sur tous les portails à authentification, tests d’intrusion ciblés sur les fonctions de consultation, et revue des logs applicatifs pour détecter les énumérations anormales d’identifiants.

Cadre réglementaire : NIS2 et stratégie nationale 2026-2030

La directive NIS2 — un changement d’échelle

La transposition de la directive européenne NIS2 en droit français modifie radicalement le cadre applicable. Là où la première directive NIS concernait environ trois cents opérateurs d’importance vitale, NIS2 touche plus de quinze mille entités réparties dans dix-huit secteurs : énergie, transport, santé, eau, numérique, infrastructures bancaires, administrations publiques, industrie manufacturière au-delà de certains seuils (source : ANSSI — NIS2).

Les obligations NIS2 portent sur la gouvernance (responsabilisation des dirigeants), la gestion des risques, la gestion des incidents (notification rapide à l’ANSSI), la sécurité de la chaîne d’approvisionnement, la cryptographie, la formation.

Les sanctions financières prévues sont substantielles, et la responsabilité personnelle des dirigeants peut être engagée.

La stratégie nationale cybersécurité 2026-2030

Présentée fin février 2026, la stratégie nationale cybersécurité 2026-2030 s’articule autour du renforcement des défenses étatiques, de la protection des chaînes d’approvisionnement critiques et de la sensibilisation citoyenne. L’État reconnaît la nécessité d’une approche coordonnée associant ANSSI, DGSI, COMCYBER, opérateurs publics et acteurs privés.

Le calendrier de transposition NIS2, les moyens alloués à l’ANSSI et les obligations applicables aux entités essentielles et importantes sont précisés dans les vagues d’arrêtés et de décrets en cours de publication.

Le rôle renforcé de la CNIL

La CNIL intervient en complément de l’ANSSI sur le volet protection des données personnelles. Toute violation doit lui être notifiée dans un délai de soixante-douze heures après détection. La sanction Free Mobile + Free de 42 millions d’euros du 14 janvier 2026 et l’amende de 800 000 euros à Cegedim Santé en 2024 illustrent que l’autorité utilise activement ses prérogatives, qui peuvent atteindre vingt millions d’euros ou quatre pour cent du chiffre d’affaires mondial (source : CNIL).

Comment se protéger : 10 actions immédiates

Face à cette intensité d’attaques, organisations et particuliers disposent de leviers concrets. Voici les dix actions prioritaires recommandées par i-lead Sentinel, alignées sur les bonnes pratiques de l’ANSSI et les recommandations issues des incidents 2026.

Pour les organisations

• Cartographier les actifs critiques. Inventorier les bases de données, applications métier, comptes à privilèges et sous-traitants ayant un accès aux systèmes.
• Activer l’authentification multi-facteurs partout. Le cas FICOBA — usurpation d’identifiants d’un fonctionnaire — démontre que le simple mot de passe ne tient plus. MFA obligatoire sur tous les accès, idéalement par application authenticator ou clé physique, jamais par SMS pour les comptes sensibles.
• Auditer les fournisseurs et éditeurs critiques. Les cas Cegedim, Alinto et ManoMano imposent une révision des conditions contractuelles : clauses de notification rapide, audits réguliers, plans de réversibilité, conformité ISO 27001 ou équivalent.
• Mettre en œuvre la segmentation réseau. Limiter la propagation latérale d’une compromission par une segmentation effective entre zones sensibles, IT bureautique et IT industrielle.
• Déployer une détection des comportements anormaux. Le cas Cegedim aurait pu être détecté plus tôt par un outil d’observation des requêtes applicatives. SOC, EDR, NDR, SIEM avec règles comportementales : l’investissement est devenu indispensable.
• Préparer la notification CNIL en amont. La sanction Free de 42 millions d’euros démontre que le délai de 72 heures n’est pas négociable. Procédures, contacts, modèles documentaires et exercice de crise doivent être prêts.

Pour les particuliers

• Vérifier ses fuites via Have I Been Pwned ou Firefox Monitor. Ces services gratuits indiquent si vos adresses email apparaissent dans des bases de données compromises.
• Activer l’authentification à deux facteurs sur les comptes sensibles : email principal, banque, administrations en ligne, réseaux sociaux. Privilégier passkeys ou applications authenticator aux SMS.
• Utiliser un gestionnaire de mots de passe (Bitwarden, 1Password, KeePass) pour générer et stocker des mots de passe uniques par site.

En cas de notification de fuite (FICOBA, etc.), mettre en place une liste blanche SEPA auprès de votre banque pour bloquer les prélèvements non autorisés, et surveiller les opérations bancaires hebdomadairement.

Évaluez votre exposition cyber en 15 minutes Questionnaire d’auto-évaluation gratuit i-lead Sentinel : 20 questions sur votre maturité cyber, votre exposition NIS2 et vos chaînes d’approvisionnement critiques. Restitution personnalisée par un consultant en 48 heures.

I-lead Sentinel : l’expertise cybersécurité d’i-lead Consulting

i-lead Sentinel est la marque cybersécurité d’i-lead Consulting, ESN généraliste française regroupant une cinquantaine de consultants à Lyon et en Île-de-France.

Nous accompagnons les organisations dans la prévention, la détection et la réponse aux incidents cyber, avec une approche pragmatique adaptée aux moyens et aux contraintes de chaque structure.

Notre offre

• RSSI externalisé pour les ETI et PME ne disposant pas de fonction interne dédiée.
• Audits de conformité ISO 27001, NIS2 et IEC 62443 (cybersécurité industrielle / OT).
• Mise en œuvre et opération de SOC managé, en partenariat avec les éditeurs de référence.
• Tests d’intrusion (pentest) et exercices Purple Teaming, animés par nos consultants offensifs certifiés.
• Accompagnement à la transposition NIS2 et à la gouvernance des risques cyber.
• Réponse à incident, gestion de crise et accompagnement post-incident.

Pourquoi i-lead Sentinel

Notre positionnement : ESN à taille humaine, généraliste, capable de mobiliser des compétences IT, OT et cyber sur un même projet. Nos consultants combinent certifications de référence (ISO 27001 Lead Auditor / Lead Implementer, GICSP, formations IEC 62443), expérience terrain et capacité à opérer dans des contextes industriels exigeants.

Décisions commerciales et opérationnelles prises en direct par les associés, pour une réactivité que les grandes ESN ne peuvent plus offrir.

Pour aller plus loin — analyses RSSI dédiées

Trois articles satellites approfondissent les sujets clés de ce dossier, sous angle décisionnel RSSI / DSI :

• Cyberattaque Cegedim : analyse et leçons RSSI — décryptage de la chaîne de compromission, signaux faibles à surveiller, plan d’action 30/60/90 jours pour les RSSI du secteur santé et logiciels métier. [/cegedim-analyse-rssi]
• FICOBA : que doivent faire les DSI ? — implications opérationnelles de la fuite DGFiP pour les DSI privés et publics, gestion des comptes à privilèges, traçabilité des accès inter-administrations, audit des sous-traitants fiscaux. [/ficoba-dsi]
• NIS2 : ce que les PME doivent préparer en 2026 — guide opérationnel pour les PME assujetties par effet de chaîne d’approvisionnement, seuils, échéances, premiers livrables, budget réaliste. [/nis2-pme-2026]

Maillage interne complémentaire : ransomwares les plus dangereux pour les entreprises françaises, ESN automatisme et IT/OT à Lyon, NIS2 et cybersécurité industrielle (IEC 62443), RSSI externalisé.

Foire aux questions

Vous voulez sécuriser votre organisation en 2026 ?

Le bilan 2026 est sans appel : la cybersécurité n’est plus une option, ni un sujet réservé aux grands groupes. Toutes les organisations — administrations, PME, ETI, hôpitaux, collectivités, fédérations, sous-traitants — sont des cibles. La question n’est plus si une attaque aura lieu, mais quand, et avec quel niveau de préparation.

I-lead Sentinel accompagne les organisations dans la prévention, la détection et la réponse aux incidents cyber. Notre approche est pragmatique, dimensionnée à votre maturité, et opérée par des consultants certifiés, en direct avec un associé sur chaque mission stratégique.

📞 Audit de maturité cyber — réponse sous 48 heures Premier contact direct avec un associé d’i-lead Consulting pour cadrer votre besoin, qualifier votre exposition NIS2 et proposer une feuille de route adaptée. Restitution écrite incluse. Mohamed Ali Ksouri Directeur Associé — I-lead Consulting / i-lead Sentinel mohamedali.ksouri@i-leadconsulting.com

À propos de l’auteur

Mohamed Ali Ksouri est Directeur Associé d’i-lead Consulting, ESN généraliste française regroupant une cinquantaine de consultants à Lyon et en Île-de-France. Il porte la marque i-lead Sentinel dédiée à la cybersécurité managée et accompagne au quotidien des dirigeants, RSSI et DSI dans la structuration de leur posture cyber. Ses publications portent sur la convergence IT/OT, la cybersécurité des systèmes industriels, la directive NIS2 et la gouvernance des risques numériques. Page auteur dédiée : /auteurs/mohamed-ali-ksouri.

Méthodologie de cet article

Cet article s’appuie sur une veille systématique des sources institutionnelles primaires (CNIL, ANSSI, DGFiP, Ministère de l’Économie, communiqués officiels des entités concernées) et sur la presse spécialisée vérifiable.

Les incidents listés répondent à au moins l’un des critères suivants : communication officielle de l’entité concernée, publication au Journal Officiel, dépêche d’agence, reportage de média de référence, ou recensement par une source experte indépendante (Jedha, Libr’Expression).

Toute donnée non confirmée par une source primaire est explicitement signalée comme estimation. L’article est mis à jour mensuellement. Pour signaler un incident manquant ou une correction factuelle : mohamedali.ksouri@i-leadconsulting.com. Dernière vérification des sources : 26 avril 2026.

Sources et références

Sources institutionnelles primaires

• Ministère de l’Intérieur — Communiqué incident ANTS, 20-21-24 avril 2026
• DGFiP — Communiqué FICOBA, 18 février 2026
• Ministère de l’Économie — Communiqué presse FICOBA
• Cegedim Santé — Communiqué officiel du 26 février 2026
• Fédération bancaire française — Communiqué du 19 février 2026
• Banque de France — Communiqué du 20 février 2026
• Sénat — Question écrite, JO Sénat du 12 mars 2026
• CNIL — Sanction Free Mobile + Free, délibération du 14 janvier 2026
• CNIL — Sanction Cegedim Santé, délibération du 5 septembre 2024
• CNIL — Bilan annuel des violations de données 2024-2025
• ANSSI — Recommandations cybersécurité
• Cybermalveillance.gouv.fr — Bulletins d’alerte 2026

Sources de presse spécialisée et experte

• franceinfo — Cyberattaque ANTS / France Titres (avril 2026)
• France 2 — JT 20h du 26 février 2026 sur Cegedim
• Le Monde — Compas (24 mars 2026), Basic-Fit (13 avril 2026)
• Le Parisien — Cyberattaque Cegedim (27 février 2026)
• Nice-Matin — Enquête parquet de Paris (27 février 2026)
• HuffPost / AFP — Confirmation gouvernementale Cegedim
• 01net — ÉduConnect (14 avril 2026)
• Science & Vie — CROUS et Mes Rendez-Vous
• Libr’Expression — Bilan T1 2026, Alinto, FFR, AlumnForce
• Jedha — Liste des organisations victimes 2026
• DigiTechnologie — Bilan cyber 2025 et tendances 2026
• RM3A — 5 secteurs ciblés en France 2026
• Guardia Cybersecurity School — Perspectives 2026
• Global Security Mag — Enquête deepfakes / clonage vocal
• Microsoft Digital Defense Report
• Statista — Coût cybercriminalité France

Autres sources

Top 20 des failles zero-day les plus dangereuses (2015–2025) : celles qui ont paralysé Internet et coûté des milliards

Top 20 des ransomwares les plus dangereux pour les entreprises en 2026

Ransomware 2026 : comment une ETI française se protège concrètement

RSSI externalisé pour ETI et PME : guide complet (coûts, délais, NIS2)

IA générative et cybersécurité : les 6 nouvelles attaques que vos équipes ne voient pas encore