{"meta":{"project":"France Cyberwatch 2025-2026","reviewedThrough":"2026-08-16","schemaVersion":"1.3.0","scope":{"en":"Curated public-interest dataset of major publicly reported cyberattacks and data breaches affecting French public institutions and companies in 2025 and 2026. It is not a complete register. Unknown or disputed victim counts are not converted into confirmed statistics.","fr":"Jeu de données d’intérêt public sur les principales cyberattaques et fuites de données rendues publiques touchant des institutions publiques et des entreprises françaises en 2025 et 2026. Il ne constitue pas un registre exhaustif. Les nombres de victimes inconnus ou contestés ne sont pas convertis en statistiques confirmées."},"methodology":{"en":"Prefer official disclosures. Keep unknown values as null. Keep disputed attacker claims in labels or notes rather than numeric fields used for charts. Do not attribute attackers unless public evidence supports the attribution.","fr":"Privilégier les communiqués officiels. Conserver les valeurs inconnues à null. Garder les revendications contestées dans les libellés ou notes plutôt que dans les champs numériques utilisés pour les graphiques. Ne pas attribuer une attaque sans éléments publics suffisants."},"rules":{"affectedCounts":{"en":"Plot only incidents where affected is a non-null numeric value.","fr":"Ne représenter que les incidents dont le champ affected est une valeur numérique non nulle."},"unknownCounts":{"en":"Display as Unknown / under investigation, never as zero.","fr":"Afficher comme Inconnu / sous enquête, jamais comme zéro."},"disputedClaims":{"en":"Do not include disputed attacker-claimed victim counts in aggregate charts.","fr":"Ne pas inclure les nombres de victimes revendiqués et contestés dans les graphiques agrégés."}},"lang":"fr"},"patterns":[{"id":"stolen-credentials","title":"Identifiants volés","description":"Des comptes de personnel ou de tiers compromis peuvent transformer une connexion ordinaire en intrusion privilégiée. Les incidents FICOBA, Éducation et DGFiP illustrent le risque lié aux identités et aux accès.","priority":"MFA résistante au phishing + privilèges plus stricts"},{"id":"supplier-exposure","title":"Exposition via les fournisseurs","description":"Air France/KLM, Eurofiber, CEVA et Santé publique France montrent comment un fournisseur peut devenir un point de passage vers de nombreuses organisations ou clients.","priority":"Sécurité fournisseurs + minimisation des données"},{"id":"legacy-edge-systems","title":"Systèmes anciens et périmétriques","description":"Les services anciens, passerelles exposées et logiciels vulnérables accessibles depuis Internet créent des points d’entrée de grande valeur. ANSSI alerte notamment sur les équipements périmétriques vulnérables.","priority":"Inventaire des actifs + correctifs rapides"},{"id":"post-breach-phishing","title":"Hameçonnage après la fuite","description":"Noms, téléphones, adresses, données fiscales et historiques de commande rendent les arnaques beaucoup plus crédibles. La fuite n’est souvent que la première étape du préjudice pour le public.","priority":"Canaux vérifiés + alertes au public"},{"id":"excessive-data-reachability","title":"Trop de données accessibles","description":"Lorsqu’un compte compromis peut interroger de grandes bases centrales, l’impact potentiel devient énorme. Les données sensibles doivent être segmentées et contrôlées au niveau des requêtes.","priority":"Moindre privilège + segmentation + supervision"},{"id":"detection-gaps","title":"Lacunes de détection","description":"Certaines fuites n’ont été détectées qu’après des revendications d’attaquants ou après que l’accès a déjà eu lieu. Les journaux ne suffisent pas si les extractions anormales ne sont pas détectées.","priority":"Analyse comportementale + alertes d’exfiltration"}]}