Mis à jour le
Fuites de données en France : vérifiez si vous êtes concerné
Tapez le nom de votre opérateur, de votre mutuelle, d'un magasin ou d'un service public. Vous saurez s'il a fuité, ce qui en est sorti et quoi faire.
Depuis mai 2026 : 58 fuites et 56 millions de données personnelles exposées, dont 22 fuites ces 30 derniers jours. Les trois gestes à faire maintenant
Que faire après une fuite de données
Trois gestes à faire aujourd'hui
Même si vous ne savez pas quelle fuite vous concerne. Un quart d'heure suffit, et ces gestes protègent contre l'essentiel des arnaques qui suivent une fuite.
Sécurisez votre boîte e-mail
Nouveau mot de passe, jamais utilisé ailleurs, et double authentification. C'est la clé de tous vos autres comptes : avec elle, on réinitialise le reste.
10 minutes
Ne répondez à aucun contact qui cite la fuite
Un appel, un SMS ou un e-mail qui connaît votre nom, votre banque ou votre mutuelle n'est pas pour autant votre banque ou votre mutuelle. Raccrochez, puis rappelez le numéro officiel. Jamais de code, de mot de passe ni de virement au téléphone.
À partir de maintenant
Surveillez vos comptes
Activez les alertes de votre banque et relisez vos relevés. Un prélèvement que vous n'avez pas autorisé se conteste pendant 13 mois.
2 minutes
Ensuite, selon ce qui a fuité
La recherche vous indique les données exposées par chaque fuite. Ouvrez la ligne qui correspond : le risque réel, puis les gestes, du plus urgent au plus durable.
Une pièce d'identité ou un selfie
C'est le cas le plus sérieux. Avec la copie d'une pièce d'identité et un justificatif, un escroc peut ouvrir un crédit, un compte ou un abonnement à votre nom.
- Consultez gratuitement le FICP de la Banque de France, en ligne avec FranceConnect, pour vérifier qu'aucun crédit n'a été ouvert à votre nom. Recommencez dans quelques mois.
- Méfiez-vous des demandes de « vérification d'identité » par lien ou par vidéo : un selfie volé sert précisément à les contourner.
- En cas d'usurpation, déposez plainte, prévenez chaque organisme concerné et gardez le récépissé.
Banque de France : agir face à l'usurpationFiche usurpation d'identité (Cybermalveillance)
Votre IBAN ou votre carte bancaire
Un IBAN seul ne permet pas de vider un compte, mais il sert à créer de faux prélèvements et à rendre une arnaque crédible. Un numéro de carte complet, lui, permet de payer en ligne.
- Activez les alertes de votre banque et relisez vos relevés chaque semaine pendant quelques mois.
- Contestez tout prélèvement inconnu auprès de votre banque : jusqu'à 13 mois s'il n'a jamais été autorisé, 8 semaines sinon.
- Demandez à votre banque de bloquer les prélèvements des créanciers que vous ne connaissez pas (liste blanche ou liste noire, un droit prévu par la réglementation SEPA).
- Carte bancaire : faites opposition si le numéro complet a fuité, et signalez toute fraude sur Perceval.
Un mot de passe ou des identifiants
Les identifiants volés sont essayés automatiquement sur des milliers de sites. Si vous avez réutilisé ce mot de passe ailleurs, ces comptes-là sont exposés aussi.
- Changez ce mot de passe tout de suite, puis partout où vous l'aviez réutilisé.
- Un mot de passe différent par site : le gestionnaire intégré à votre navigateur ou à votre téléphone les retient pour vous.
- Activez la double authentification, en commençant par votre e-mail, votre banque et vos réseaux sociaux.
Vos revenus ou vos données fiscales
Faux remboursements d'impôt, faux redressements, offres de placement taillées pour votre niveau de revenus.
- Les impôts n'envoient jamais de lien pour un remboursement : connectez-vous vous-même à impots.gouv.fr.
- Méfiez-vous des offres de placement ou de défiscalisation que vous n'avez pas demandées, surtout si elles citent votre situation.
Votre numéro de téléphone
Faux conseillers bancaires, faux livreurs, faux SMS de l'Assurance Maladie ou de votre opérateur : ils connaissent déjà votre nom.
- Votre banque ne vous demandera jamais un code reçu par SMS pour « annuler » une opération. Raccrochez et rappelez le numéro inscrit au dos de votre carte.
- Ne rappelez jamais un numéro laissé par SMS ou sur votre messagerie.
- Transférez les SMS frauduleux au 33700.
Votre adresse e-mail
Attendez-vous à des e-mails d'hameçonnage qui citent votre nom et l'entreprise concernée, parfois déguisés en alerte de fuite.
- Ne cliquez sur aucun lien d'un e-mail inattendu : ouvrez le site ou l'application en tapant vous-même l'adresse.
- Transférez les e-mails frauduleux à Signal Spam.
- Pour vos nouveaux comptes, utilisez un alias par service : une fuite ne touche plus que cet alias.
Votre nom, votre adresse, votre date de naissance
Seules, ces informations ne vident pas un compte. Combinées, elles rendent une arnaque crédible : l'escroc « prouve » qu'il vous connaît.
- Quelqu'un qui connaît votre nom et votre adresse n'est pas forcément qui il prétend être : recontactez l'organisme par ses coordonnées officielles.
- N'utilisez ni votre date de naissance ni votre adresse comme mot de passe ou réponse secrète.
- Faux livreurs, faux courriers : ne payez jamais de « frais » par un lien reçu.
Où signaler, où se faire aider
Des services gratuits, publics pour la plupart. Aucun ne vous demandera de payer.
- 17CyberLe service officiel de la Police et de la Gendarmerie nationales : un diagnostic en quelques questions et les démarches adaptées à votre cas.
- Cybermalveillance.gouv.frDes fiches claires sur chaque arnaque : hameçonnage, piratage de compte, usurpation.
- THESEEPorter plainte en ligne pour une arnaque sur Internet, avec FranceConnect.
- PercevalSignaler un paiement frauduleux avec votre carte bancaire.
- 33700Signaler un SMS frauduleux en le transférant au 33700, ou un appel indésirable sur le site.
- Signal SpamSignaler un e-mail d'hameçonnage.
- CNILPorter plainte contre un organisme qui ne vous a pas prévenu ou ne répond pas à vos demandes.
- Have I Been PwnedVérifier si votre adresse e-mail figure dans des fuites connues (base internationale, incomplète pour la France).
Actualité
Dernières fuites de données
Confirmée reconnue par l'organisme
Revendiquée annoncée par des pirates, pas encore confirmée
VitalAire
Prestataire de santé à domicile : identité, date de naissance, n° de sécurité sociale, coordonnées.
- N° de sécurité sociale
- Téléphone
- Date de naissance
- Nom et prénom
volume inconnuConfirméeTotalEnergies (Le Club)
Programme de fidélité Le Club : données dérobées chez un prestataire.
- Nom et prénom
volume inconnuConfirméeAFPA
Outil externe de gestion des hébergements compromis : près de 1,7 million d'usagers (identités, adresses, téléphones). Pas de données bancaires ni de numéros de sécurité sociale.
- Téléphone
- Adresse postale
- Nom et prénom
1,7 millionConfirméePoint Vision
Centres d'ophtalmologie : identité, date de naissance, coordonnées, n° de sécurité sociale.
- N° de sécurité sociale
- Téléphone
- Date de naissance
- Adresse postale
volume inconnuConfirmée- volume inconnuConfirmée
Groupe MGEL
Le groupe confirme un piratage ; investigations en cours.
volume inconnuConfirméeRevolut
Revolut a transmis à des escrocs se faisant passer pour une administration publique des données de clients : pièces d'identité, selfies de vérification, IBAN, adresses, historique d'activité. 680 clients contactés dans le monde ; nombre de clients en France non communiqué.
- Pièce d'identité
- IBAN
- Revenus, fiscalité
- Date de naissance
- Adresse postale
volume inconnuConfirméeNaturaBuy
Marketplace chasse, tir et pêche : nom, e-mail, adresse, téléphone, identifiant et mot de passe chiffré. Pas de documents d'identité, données bancaires ni numéros SIA.
- Mot de passe
- Téléphone
- Adresse postale
- Nom et prénom
volume inconnuConfirméeService national universel (SNU)
Revendication : environ 275 000 comptes du portail du Service national universel (noms, e-mails, téléphones), dont quelque 5 000 responsables de structures partenaires.
- Téléphone
- Nom et prénom
275 000RevendiquéeSnexi (diagnostics immobiliers)
Spécialiste des états des lieux et diagnostics immobiliers : noms, e-mails, adresses, téléphones potentiellement concernés. Pas de données bancaires selon l'entreprise.
- Téléphone
- Adresse postale
- Nom et prénom
volume inconnuConfirméePass Pass (Hauts-de-France)
18 637 usagers ayant acheté en ligne entre janvier 2021 et août 2026 : noms, adresses, e-mails, dates de naissance, achats de titres. Aucune donnée bancaire.
- Date de naissance
- Adresse postale
- Nom et prénom
18 637ConfirméeAssociation des maires de France
114 000 lignes : annuaire en ligne et abonnés aux lettres d'information. Pour 533 personnes, nom, e-mail et mot de passe en clair. Aucune donnée bancaire.
- Mot de passe
- Nom et prénom
114 000Confirmée
Voir les 58 fuites recensées depuis mai 2026
| Date | Organisme | Volume | Statut |
|---|---|---|---|
| 19 sept. 2026 | VitalAire | ? | Confirmée |
| 18 sept. 2026 | TotalEnergies (Le Club) | ? | Confirmée |
| 16 sept. 2026 | AFPA | 1,7 M | Confirmée |
| 15 sept. 2026 | Point Vision | ? | Confirmée |
| 14 sept. 2026 | Nature & Découvertes | ? | Confirmée |
| 13 sept. 2026 | Groupe MGEL | ? | Confirmée |
| 12 sept. 2026 | Revolut | ? | Confirmée |
| 11 sept. 2026 | NaturaBuy | ? | Confirmée |
| 7 sept. 2026 | Service national universel (SNU) | 275 k | Revendiquée |
| 7 sept. 2026 | Snexi (diagnostics immobiliers) | ? | Confirmée |
| 5 sept. 2026 | Pass Pass (Hauts-de-France) | 19 k | Confirmée |
| 4 sept. 2026 | Association des maires de France | 114 k | Confirmée |
| 3 sept. 2026 | Tisséo (Toulouse) | 3 k | Confirmée |
| 3 sept. 2026 | Shipup (suivi de colis) | ? | Confirmée |
| 30 août 2026 | SDIS (5 départements) | 18 k | Confirmée |
| 29 août 2026 | Zéro Logement Vacant | ? | Revendiquée |
| 25 août 2026 | TeleCoop | ? | Confirmée |
| 23 août 2026 | Solimut Mutuelle de France | ? | Confirmée |
| 21 août 2026 | Beauty Success | 5,2 M | Revendiquée |
| 21 août 2026 | Bureau Vallée | 4,8 M | Revendiquée |
| 21 août 2026 | Allobébé | 1,1 M | Revendiquée |
| 21 août 2026 | Protection civile | 525 k | Confirmée |
| 20 août 2026 | Alaxione (rendez-vous médicaux) | 6,8 M | Revendiquée |
| 20 août 2026 | Suez | ? | Confirmée |
| 20 août 2026 | Sport 2000 | ? | Confirmée |
| 19 août 2026 | IRD (Institut de recherche pour le développement) | 8 k | Confirmée |
| 13 août 2026 | DGFiP (impots.gouv.fr) | 678 k | Confirmée |
| 11 août 2026 | Santé publique France | 80 k | Confirmée |
| 11 août 2026 | AEFE (lycées français à l'étranger) | ? | Confirmée |
| 10 août 2026 | I-CAD (fichier des chiens et chats) | ? | Confirmée |
| 10 août 2026 | France VAE | ? | Confirmée |
| 10 août 2026 | Scalingo | ? | Confirmée |
| 7 août 2026 | Mutuelle Générale de Prévoyance | ? | Confirmée |
| 6 août 2026 | Bloctel | 3 M | Confirmée |
| 6 août 2026 | Hospices Civils de Lyon | ? | Confirmée |
| 3 août 2026 | Intermarché Drive | 288 k | Confirmée |
| 3 août 2026 | Inserm | 246 k | Confirmée |
| 25 juil. 2026 | Éducation nationale (personnels) | ? | Confirmée |
| 17 juil. 2026 | SFR (clients Fibre) | 2,1 M | Confirmée |
| 16 juil. 2026 | Croq'Vacances | ? | Confirmée |
| 11 juil. 2026 | Féd. Française d'Équitation | ? | Confirmée |
| 3 juil. 2026 | Trenitalia France | ? | Confirmée |
| 2 juil. 2026 | IAD France (immobilier) | 3,8 M | Revendiquée |
| 1 juil. 2026 | Armurerie Lavaux | 120 k | Confirmée |
| 26 juin 2026 | Le Compte Asso (Min. des Sports) | 227 k | Confirmée |
| 19 juin 2026 | INSEE | 13 k | Confirmée |
| 16 juin 2026 | JeVeuxAider.gouv.fr (Réserve civique) | 550 k | Confirmée |
| 15 juin 2026 | MesVaccins.net (Syadem) | ? | Confirmée |
| 10 juin 2026 | CapiFrance | 785 k | Confirmée |
| 7 juin 2026 | Tchap (messagerie de l'État) | 73 k | Confirmée |
| 3 juin 2026 | Sofinco | ? | Confirmée |
| 24 mai 2026 | Jimmy Fairly | 357 k | Confirmée |
| 23 mai 2026 | Krys | ? | Confirmée |
| 22 mai 2026 | Almerys (tiers payant des mutuelles) | 15 M | Confirmée |
| 22 mai 2026 | Atol (opticiens) | 5,9 M | Confirmée |
| 21 mai 2026 | McDonald's France (McDo+) | ? | Confirmée |
| 17 mai 2026 | Gîtes de France | 389 k | Confirmée |
| 15 mai 2026 | Pierre & Vacances – Center Parcs (Maeva) | 1,6 M | Confirmée |
L'ampleur
Les fuites de données en France, en chiffres
- 56 millions
- de données personnelles exposées depuis mai 2026. Ce sont des enregistrements : une même personne figure souvent dans plusieurs fuites.
- 22 fuites
- ces 30 derniers jours, pour 14 millions de données. Presque une par jour.
- 15 millions
- de numéros de sécurité sociale exposés en une seule fuite, celle d'Almerys (tiers payant des mutuelles). Un numéro qui ne se change pas.
- 7 fuites
- avec des IBAN. De quoi créer de faux prélèvements : surveillez vos relevés.
- 11 fuites
- dans des services publics : impôts, Éducation nationale, INSEE, Bloctel, Tchap…
58 fuites sur 58
Chaque cercle est une fuite
Taille selon le volume. Survolez ou touchez un cercle pour le détail. La position est indicative : la plupart des fuites touchent des personnes dans toute la France.
Les plus grosses fuites
- 1Almerys (tiers payant des mutuelles)15 M
- 2Alaxione (rendez-vous médicaux)6,8 M
- 3Atol (opticiens)5,9 M
- 4Beauty Success5,2 M
- 5Bureau Vallée4,8 M
- 6IAD France (immobilier)3,8 M
- 7Bloctel3 M
- 8SFR (clients Fibre)2,1 M
- 9AFPA1,7 M
- 10Pierre & Vacances – Center Parcs (Maeva)1,6 M
- 11Allobébé1,1 M
- 12CapiFrance785 k
Mois par mois
Données exposées chaque mois, selon le statut de la fuite.
Pourquoi agir
Ce qui se passe après une fuite de données
Une fuite ne s'arrête pas le jour où elle est découverte. Le scénario se répète d'un incident à l'autre.
Dans les heures qui suivent
Vos données sont mises en vente.
Les fichiers apparaissent sur des forums et des canaux Telegram, revendus en lots, puis croisés avec d'anciennes fuites pour compléter les profils.
Dans les jours qui suivent
Les premiers messages ciblés arrivent.
Ils citent votre prénom et le bon organisme : « Action requise sur votre compte ». Un clic suffit à livrer vos identifiants.
Les semaines suivantes
Vos mots de passe sont essayés partout.
Des robots testent vos identifiants sur des milliers de sites : banque, commerce en ligne, messagerie. Un mot de passe réutilisé une seule fois ouvre la porte.
Les mois suivants
L'usurpation d'identité.
Crédit ou abonnement à votre nom, détournement de votre ligne (SIM swap) pour contourner la double authentification par SMS, faux dossiers administratifs. Nom, date de naissance, adresse et IBAN suffisent souvent.
Les années suivantes
Vos données ne périment pas.
Elles sont revendues et recombinées à chaque nouvelle fuite. Ce qui a fuité en 2025 peut servir à vous cibler en 2028.
Chaque étape se désamorce avec les mêmes réflexes. Revoir les trois gestes
Questions fréquentes
Fuites de données : vos questions
Une question qui manque ? Le service public 17Cyber vous oriente en quelques minutes.
Fuite de données ou violation de données : quelle différence ?
Aucune sur le fond. « Violation de données personnelles » est le terme juridique du RGPD, celui qu'emploie la CNIL. « Fuite de données » est le mot courant : des informations personnelles sortent d'un système et se retrouvent entre des mains non autorisées, souvent revendues ou publiées sur des forums.
Comment savoir si mes données ont fuité ?
Cherchez les services que vous utilisez parmi les 58 fuites recensées en France depuis mai 2026. Vérifiez aussi votre adresse e-mail sur Have I Been Pwned, qui couvre des fuites du monde entier. Et lisez les messages d'information des organismes : ils doivent prévenir les personnes concernées quand le risque est élevé.
Que faire après une fuite de données ?
Trois gestes évitent l'essentiel : sécurisez votre boîte e-mail (nouveau mot de passe et double authentification), ne répondez à aucun appel, SMS ou e-mail qui cite la fuite, et surveillez vos comptes bancaires. Adaptez ensuite selon ce qui a fuité : mot de passe, IBAN, numéro de sécurité sociale ou pièce d'identité.
Un e-mail m'annonce une fuite : est-ce une arnaque ?
Les deux existent. Un vrai message d'information ne vous demande ni mot de passe, ni paiement, ni de cliquer pour « sécuriser » votre compte. Dans le doute, n'utilisez pas le lien : connectez-vous par le site ou l'application officiels, ou appelez l'organisme au numéro que vous connaissez.
Mon IBAN a fuité : qu'est-ce que je risque ?
Un IBAN seul ne permet pas de vider un compte. Le risque, ce sont les prélèvements frauduleux et des arnaques plus crédibles. Surveillez vos relevés, contestez tout prélèvement inconnu (13 mois s'il n'a jamais été autorisé, 8 semaines sinon) et demandez à votre banque de bloquer les prélèvements de créanciers inconnus.
Mon numéro de sécurité sociale a fuité : que faire ?
Il ne se change pas, la vigilance doit donc durer. Méfiez-vous des faux messages de l'Assurance Maladie ou de votre mutuelle, qui ne demandent jamais vos coordonnées bancaires par SMS ou par e-mail, et vérifiez vos remboursements directement dans votre compte ameli.
L'organisme est-il obligé de me prévenir ?
Oui, si la fuite présente un risque élevé pour vos droits et libertés (article 34 du RGPD). Il doit aussi la notifier à la CNIL dans les 72 heures (article 33). Si vous pensez être concerné sans avoir été informé, interrogez l'organisme, puis saisissez la CNIL s'il ne répond pas.
Peut-on porter plainte ?
Oui. Pour une arnaque ou une usurpation qui en découle : au commissariat, à la gendarmerie, ou en ligne via THESEE pour les escroqueries sur Internet. Contre l'organisme qui a mal protégé vos données : auprès de la CNIL, et devant la justice si vous avez subi un préjudice (article 82 du RGPD).
Combien de fuites de données en France en 2026 ?
Au 19 septembre 2026, nous recensons 58 fuites de données touchant la France depuis mai 2026, soit 56 millions de données exposées. Une même personne peut figurer dans plusieurs fuites : ces chiffres comptent des enregistrements, pas des personnes.
Une dernière chose
56 millions de lignes dans des bases de données que personne n'a autorisées.
Derrière chacune, un nom. Une adresse. Un mot de passe réutilisé un mardi soir. Un IBAN qui servait juste à payer la cantine.
Le problème n'est pas votre mot de passe. C'est que nos vies numériques sont confiées à des organismes qui stockent tout et protègent peu, et à leurs prestataires : un seul tiers payant piraté, et ce sont les adhérents de centaines de mutuelles qui sont exposés.
Protégez ce que vous pouvez.
Exigez mieux pour le reste.
vigilance-numerique.fr, septembre 2026
Vos proches sont peut-être concernés
Envoyez-leur la page : trente secondes pour vérifier, un quart d'heure pour se protéger.