Fuites de données : face au tsunami, des Français vulnérables et des autorités impuissantes

Par Martin Untersinger, Elsa Delmas (développement), Léa Girardot (design) et Léa Tanda (développement)

 

 

Agence nationale des titres sécurisés (ANTS), ministère de l’économie, Free, Auchan, ministère de l’intérieur, France Travail, prestataires de tiers payant pour les mutuelles de santé, Parcoursup, la CFDT… Depuis trois ans, la France est submergée par les fuites de données personnelles. Grande ou petite entreprise, ministère, site de commerce en ligne, service public, association, syndicat : on cherchera vainement un secteur ou un type d’organisme échappant à ce fléau.

Dans un rapport à paraître mardi 19 mai, la Commission nationale de l’informatique et des libertés (CNIL), le gendarme des données personnelles, dévoile avoir été avisée en 2025 de 6 167 fuites de données. Soit 10 % de plus que l’année précédente, dont une moitié sont issues de piratage. Et si 2025 est une année record, 2024 et 2023 l’étaient aussi. Au-delà du nombre, ces fuites prennent de l’ampleur : lors des deux dernières années civiles, environ 80 fuites ont concerné au moins 1 million de Français.

Ce « tsunami » est bien visible dans le bureau de Johanna Brousse, vice-procureure et cheffe de la section de lutte contre la cybercriminalité du parquet de Paris, à qui la CNIL signale depuis peu les principales fuites. Il se traduit par une « explosion », selon la magistrate, du nombre d’enquêtes ouvertes visant des fuites de données, parfois une dizaine par semaine.

Même des fuites inexistantes perturbent les victimes et les services de l’Etat. Car les revendications de fausses fuites de données – données fictives ou issues de précédents piratages – sont courantes dans le milieu cybercriminel. Conséquence : une cible qui voit son image en pâtir, des clients ou des administrés qui doutent et des agents de l’Etat qui perdent du temps. En 2025, seulement 40 % environ des fuites étudiées par l’Agence nationale de sécurité des systèmes d’information (Anssi), le garde du corps numérique de l’Etat, étaient avérées.

Les fuites bien réelles, elles, ont des conséquences qui le sont tout autant. Elles alimentent un vaste marché en ligne où elles se vendent « comme des produits de consommation, en suivant la logique de l’offre et de la demande » entre criminels, explique l’organisme d’aide aux victimes Cybermalveillance dans son dernier rapport annuel, paru le 25 mars.

Et ce marché, fort d’une « offre pléthorique de données récentes », dope d’autres faits de délinquance numérique, en particulier le phénomène massif des arnaques en ligne. Les données issues des fuites permettent de concevoir des messages personnalisés pour chaque victime : un escroc peut se faire passer pour un conseiller bancaire en ayant sous la main la date de naissance, l’établissement bancaire ou encore l’adresse postale de sa victime. Les données personnelles des Français peuvent aussi être utilisées à des fins d’usurpation d’identité, pour ouvrir des comptes bancaires nécessaires au blanchiment des fonds issus d’autres crimes, ou pour réaliser d’autres piratages informatiques.

Mais les fuites de données personnelles nourrissent de plus en plus d’autres formes de criminalité, y compris « dans l’espace physique », précise Cybermalveillance. Prenez l’adresse de Sébastien Lecornu, que nous avons pu retrouver dans une fuite de données : sur Google Maps, en utilisant la fonctionnalité Street View, on voit distinctement plusieurs hommes, très vraisemblablement chargés de sa protection.

Tout le monde ne bénéficie pas de ce type de dispositif, et la fuite d’adresses personnelles peut, dans certains cas, avoir de « graves conséquences », ajoute Cybermalveillance. Selon les autorités, des malfrats auraient ainsi utilisé des données dérobées, à la fin 2025, à la Fédération française de tir, pour subtiliser des armes à feu par des cambriolages ou en se faisant passer pour des membres des forces de l’ordre. Des fuites de données personnelles auraient aussi joué un rôle dans plusieurs épisodes d’enlèvement et de séquestration liés aux cryptomonnaies.

Comment nous avons identifié les fuites concernant les principaux ministres

Les personnes victimes des fuites de données n’ont guère de recours. Car, du point de vue pénal, la victime est l’organisme à qui elles avaient confié leurs informations. En l’état du droit, elles ne peuvent pas se constituer en tant que parties civiles, sauf à imaginer des procédures qui en compteraient plusieurs millions.

Malgré le déluge de fuites et les dégâts qu’elles causent, ce sujet est un angle mort des politiques français. Rares sont les députés à s’en emparer. Le 28 avril, la députée de Seine-Maritime Marie-Agnès Poussier-Winsback (Horizons), vice-présidente de l’Assemblée nationale, a interpellé le ministère de l’intérieur sur les fuites de données et leurs conséquences parfois dramatiques en matière d’usurpation d’identité. « Au-delà des arnaques, les conséquences futures des fuites de données pourraient être terribles, on peut imaginer des données de santé revendues à des mutuelles peu scrupuleuses », pronostique-t-elle.

Sous la pression des piratages à répétition et après une fuite d’une gravité limitée, mais touchant un service régalien important, l’ANTS, Sébastien Lecornu a fini par faire des annonces : 200 millions d’euros pour renforcer la protection des services numériques, le fléchage des amendes récupérées par la CNIL vers un fonds de modernisation informatique et la fusion de deux organismes gérant le numérique de l’Etat. Des promesses qui ne convainquent pas tous les experts. « Je n’ai toujours pas compris ce que le ministre a proposé », déplore le député de Vendée Philippe Latombe (Les Démocrates), très en pointe sur les sujets numériques, craignant une « usine à gaz ».

Ces fuites de données à répétition révèlent des vulnérabilités profondes de la société et de l’Etat en matière de sécurité numérique. Et pour cause : elles ne sont pas le fait de pirates d’élite, mais de hackeurs souvent jeunes, pas forcément très doués techniquement.

C’est ce que soulignait la procureure Johanna Brousse après l’arrestation, le 25 avril, d’un mineur de 15 ans accusé d’avoir piraté l’ANTS. « [Cet adolescent]n’est pas un prodige. C’est un signal. La menace cyber se banalise. A nous, collectivement, d’élever notre niveau de cyber résilience », déclarait-elle sur le réseau social LinkedIn. Même constat du côté de la CNIL, pour laquelle les fuites obéissent souvent à un scénario identique, facile à déjouer. Ainsi, « près de 80 % des violations [de données] de grande ampleur » de 2024 ont été rendues possibles en raison de l’absence d’authentification multifacteur – un mécanisme de sécurité numérique qui oblige l’utilisateur à justifier son identité à l’aide d’au moins deux types d’authentification, par exemple en tapant un mot de passe sur ordinateur puis en entrant un code envoyé sur un téléphone.

Dans un rapport de la Cour des comptes paru le 16 avril, les magistrats notent une amélioration globale de la sécurité numérique des organismes publics, en particulier dans la foulée des Jeux olympiques, pour lesquels d’importants efforts ont été consentis. Cette amélioration ne suffit pourtant pas à résorber la vulnérabilité numérique de l’Etat, alors que les administrations publiques représentent une fuite de données sur cinq et que des ministères régaliens ont été touchés par le phénomène en 2025 et 2026.

Le rapport de la Cour des comptes souligne notamment une structuration tardive des politiques publiques et un « manque de continuité » de l’action de l’Etat en la matière, ainsi que des déficits en matière de pilotage et de contrôle. Le document cite notamment une évaluation de la cybersécurité de 80 entités publiques menée en 2023 montrant un retard par rapport au secteur privé, lui-même loin d’être exemplaire.

La lecture de la feuille de route pour la sécurité numérique de l’Etat 2026-2027, publiée au début du mois d’avril par l’Anssi, permet en filigrane d’avoir des exemples concrets. On comprend que certains établissements publics se sont affranchis de leur administration centrale en matière de cybersécurité, que des mesures importantes prescrites par décret depuis plusieurs années sont toujours manquantes, que les sanctions contre des directeurs d’administration centrale en cas de manquement ne sont pas systématiques et que le soutien politique des mesures de cybersécurité au sein des cabinets ministériels est défaillant. Plus inquiétant, on découvre que l’authentification multifacteur sur les « systèmes d’information à enjeux » n’est toujours pas mise en œuvre partout.

C’est le sens du message de Marie-Laure Denis, la présidente de la CNIL. Dans un entretien au Monde, lundi 18 mai, elle annonce un accroissement du nombre de contrôles et de sanctions tout en appelant l’Etat à se « mettre à niveau », notamment en « respectant davantage [les] avis et préconisations » de la CNIL. Pour beaucoup, il y a urgence. « Ces fuites de données entretiennent une sorte de paranoïa généralisée, ajoute le député Philippe Latombe. On est en train de perdre les bénéfices de la numérisation de notre économie, et ça, l’Etat en est responsable. L’Etat ne protège pas nos concitoyens. »