Incidents

Systèmes fiscaux DGFiP

La DGFiP a confirmé le 14 août 2026 que deux incidents d’accès illégitime en juin et juillet avaient reposé sur des identifiants volés ou usurpés d’un agent DGFiP et d’un tiers habilité. Lorsque les intrusions ont été détectées, l’accès aux comptes en cause a été coupé. À ce moment, toutefois, la revue des accès n’avait pas identifié que des données avaient déjà été volées. L’élément déclencheur est venu les 12 et 13 août, lorsqu’un acteur malveillant a publiquement revendiqué les intrusions. La DGFiP a alors rapproché ces revendications de ses journaux et établi que des données concernant un total de 678 000 particuliers et professionnels avaient été consultées et extraites avant la coupure des accès.

Identifiants volés d’un agent DGFiP et d’un tiers habilité.

Prestataire de Santé publique France

Santé publique France a confirmé le 13 août 2026 qu’une plateforme hébergée par un prestataire, utilisée pour commander des documents de prévention, avait été attaquée. Le service concerné, moncoupon.santepubliquefrance.fr, fonctionne séparément des autres sites et systèmes de l’agence. Environ 80 000 fiches de contact étaient concernées. La base servait à l’envoi des documents commandés et contenait des e-mails, adresses postales et numéros de téléphone. C’est une violation du secteur de la santé publique, mais pas une violation de dossiers médicaux.

Attaque d’une plateforme de commande hébergée par un prestataire. Accès initial non divulgué.

CEVA Logistics

Une intrusion a touché une partie des opérations de logistique contractuelle européenne de CEVA Logistics à compter du 29 juillet 2026 environ. CEVA a indiqué aux clients concernés que l’incident avait été identifié le 1er août, puis confirmé à la presse que l’impact opérationnel était limité à huit entrepôts européens. La violation est devenue visible via les clients de CEVA. Des enseignes en aval et Valve, qui utilise CEVA pour expédier du matériel Steam en Europe, ont averti que des informations d’expédition détenues par CEVA avaient été consultées ou copiées. Aucun effectif public de personnes n’a été établi.

Accès initial non confirmé publiquement.

Système RH du ministère de l’Éducation

Le ministère de l’Éducation a indiqué le 31 juillet 2026 qu’un compte professionnel avait été usurpé dans la nuit du 25 juillet, donnant un accès frauduleux à un système d’information dédié à la formation des personnels. Le centre opérationnel de sécurité du ministère a été alerté le 26 juillet et l’accès externe a été suspendu. Le système contenait des informations d’identité et professionnelles sur des agents ayant exercé en académie depuis 2001. Le ministère n’a décrit la population potentielle que comme un nombre important d’agents. Aucune mise à jour officielle chiffrée n’a été identifiée avant la clôture de recherche du 16 août.

Usurpation d’un compte professionnel.

France Titres / ANTS

France Titres, aussi appelée ANTS, a détecté le 15 avril 2026 un incident de sécurité sur le portail ants.gouv.fr. Le point d’étape officiel du 21 avril indiquait qu’environ 11,7 millions de comptes particuliers et professionnels pouvaient être concernés. Ce chiffre est formulé comme des comptes qui pourraient être concernés. Il ne doit pas être lu automatiquement comme 11,7 millions d’enregistrements complets effectivement téléchargés. Les revendications criminelles d’environ 18 à 19 millions d’enregistrements ne sont pas le décompte officiel.

Cause officielle encore en investigation.

Ministère de l’Éducation / ÉduConnect

Le ministère de l’Éducation a indiqué le 14 avril 2026 que des données d’élèves avaient été exfiltrées d’un service lié à ÉduConnect. Le compte d’un personnel habilité a été usurpé fin 2025, et une faille identifiée en décembre 2025 a été exploitée peu avant sa correction. Le ministère confirme l’exfiltration mais n’a pas publié d’effectif définitif d’élèves. Les revendications criminelles de 3,5 millions d’élèves et 7,2 millions de bulletins restent des revendications, pas le périmètre vérifié du ministère.

Compte d’un personnel usurpé, plus une vulnérabilité exploitée peu avant sa correction.

Ministère de l’Éducation / COMPAS

Un attaquant a utilisé un compte externe usurpé pour atteindre COMPAS, le système d’information du ministère de l’Éducation utilisé pour la gestion des enseignants stagiaires. L’accès frauduleux a eu lieu le 15 mars 2026. Le centre opérationnel de sécurité du ministère a été alerté le 19 mars après identification d’une diffusion non autorisée de données COMPAS. Les données d’environ 243 000 agents, dont des stagiaires et des titulaires enregistrés dans le système, ont été exfiltrées. Ce chiffre est un effectif officiel approximatif de personnes.

Usurpation d’un compte externe.

DGFiP / FICOBA

De fin janvier au 13 février 2026, un attaquant a utilisé les identifiants d’un fonctionnaire extérieur à la DGFiP habilité à interroger FICOBA dans le cadre des échanges interministériels. Environ 1,2 million d’enregistrements de comptes bancaires — moins de 1 % du fichier — ont été consultés ou extraits. Le chiffre de 1,2 million désigne des comptes bancaires, pas des personnes uniques. Une personne peut détenir plusieurs comptes, et un compte peut avoir plusieurs titulaires.

Identifiants volés d’un fonctionnaire extérieur à la DGFiP, habilité aux échanges interministériels — pas une faille logicielle de FICOBA.

Ministère de l’Intérieur

Un acteur criminel a revendiqué l’accès aux données de plus de 16 millions de personnes. Le ministre de l’Intérieur a ensuite écarté l’idée que des millions de dossiers complets avaient été extraits. Une audition au Sénat le 13 janvier 2026 a reconstitué un périmètre plus étroit, toujours grave : 72 fiches TAJ complètes plus des dizaines de milliers de lignes d’index TAJ, 23 fiches FPR plus environ 3 000 éléments d’index FPR, et 1 fiche Interpol exfiltrée après consultation de 10. Ces quantités sont des comptes d’enregistrements opérationnels, pas un total de personnes distinctes. Le chemin est allé de messageries professionnelles compromises, via des mots de passe d’applications que des agents avaient échangés par e-mail, jusqu’à un portail de la Police nationale. Les applications déjà protégées par la MFA ont été tentées mais pas pénétrées avec succès.

Messageries de police compromises, puis mots de passe d’applications trouvés dans les e-mails, puis un portail de police. La MFA a stoppé les applications qui en avaient déjà.

Eurofiber France

Eurofiber France a publié un retour d’expérience détaillé d’un incident touchant sa plateforme de ticketing client pour Eurofiber France et ses marques régionales, ainsi que le portail client ATE / Eurofiber Cloud Infra France. L’entreprise a fait remonter les premières traces au 6 novembre 2025, lorsque l’attaquant a utilisé une injection SQL aveugle contre la base des utilisateurs. À partir du 10 novembre, l’exfiltration s’est intensifiée via des appels à l’API REST visant tickets et documents. La supervision a détecté des anomalies le 13 novembre à 14 h 49.

Injection SQL aveugle contre la base utilisateurs, puis exfiltration via l’API REST de tickets et documents.

Weda

Le document WEDA destiné à aider ses clients à remplir la notification CNIL indique que la supervision a détecté, à 17 h le 10 novembre 2025, un pic d’activité anormal sur un compte client multipliant les appels d’API. Une fois un utilisateur authentifié sur un compte client WEDA, l’API pouvait renvoyer des données patients même lorsque ces patients n’étaient pas rattachés au compte de ce professionnel de santé. Environ 23 000 professionnels de santé ont perdu l’accès normal lorsque WEDA a fermé l’application à 23 h. Ce chiffre décrit un blocage opérationnel, pas un décompte de patients. WEDA a classé l’événement comme une perte de confidentialité et indiqué les patients comme catégorie concernée, tout en précisant que le nombre approximatif d’enregistrements et de personnes était encore en cours d’investigation.

Comptes clients authentifiés et faille d’autorisation d’API inter-cabinets.

Air France / KLM

Air France et KLM ont indiqué début août 2025 qu’une plateforme externe utilisée pour le service client avait été accédée sans autorisation. Elles ont souligné que l’environnement compromis était une plateforme tierce de service client, et non leurs réseaux aériens centraux. Le nombre de clients n’a jamais été rendu public.

Accès non autorisé à une plateforme tierce de service client ; le prestataire n’est pas nommé.

Bouygues Telecom

Bouygues Telecom a détecté une cyberattaque le 4 août 2025 et l’a rendue publique deux jours plus tard. L’intrusion a donné un accès non autorisé à des données personnelles liées à 6,4 millions de comptes clients. Ce chiffre compte des comptes, pas nécessairement 6,4 millions de personnes distinctes. Les champs exposés comprenaient des coordonnées et des données d’état civil, des informations contractuelles et des identifiants bancaires tels que BIC et IBAN. Bouygues a indiqué que les mots de passe des comptes et les numéros de carte n’étaient pas exposés.

Accès non autorisé ; la voie d’accès initiale n’a pas été publiée.

Orange

Orange a détecté une cyberattaque sur l’un de ses systèmes d’information le 25 juillet 2025. L’isolement des services potentiellement concernés a interrompu certaines plateformes de gestion entreprises et plusieurs services grand public, principalement en France. Le 28 juillet, l’entreprise indiquait n’avoir aucun élément montrant une exfiltration de données Orange ou clients. Cette première conclusion n’a pas tenu. En août, des éléments attribués à l’intrusion sont apparus sur un site de fuites criminel. Orange a alors reconnu un accès limité et le vol d’informations anciennes ou peu sensibles concernant des clients entreprises. Aucun décompte vérifié de personnes n’a été publié. L’événement distinct d’Orange Belgique, qui concerne environ 850 000 comptes, n’est pas cet incident.

Cyberattaque d’un système d’information ; la voie d’accès initiale n’a pas été publiée.