France : les fuites de données d’août 2026 à retenir

French Breaches, la plateforme spécialisée dans le signalement des fuites de données en France, a indiqué, le 21 août 2026, avoir relayé cinq incidents « en une seule matinée », susceptibles d’avoir affecté 12 millions de comptes en tout. Plus tard dans la journée, la plateforme a signalé deux autres compromissions confirmées, affectant Xplor Resamania (5,3 millions de personnes) et Géotec.

Au 23 août 2026, French Breaches recensait, depuis le début du mois, une cinquantaine de fuites de données confirmées par la victime. La plus importante attaque a visé BigCloud, une plateforme SaaS fournissant des solutions ERP aux entreprises spécialisées dans le commerce et la location d’engins agricoles, industriels et de chantier. Le prestataire a reconnu, le 8 août 2026, avoir été victime d’une intrusion.

Les attaquants revendiquent la compromission de 159 environnements clients et le vol de 2 To de données, mais BigCloud conteste ces affirmations et affirme que seules 13 instances ont été touchées. Selon French Breaches, 13 entreprises ont déjà confirmé une fuite liée à cette attaque, pour un volume total de 185 Go de données dérobées. Quatre organisations dépassent les 20 Go : DRON Location (44 Go), Bergerat Rent (43 Go), Taveau (21 Go) et le Groupe Lenormand (20,6 Go).

Durant ce mois d’août, le cybercriminel « Zerobytes » a par ailleurs revendiqué cinq fuites de données, dont trois ciblant des organisations publiques. L’une a visé le ministère de l’Éducation nationale (43 Go d’informations volées), les deux autres la Direction générale des finances publiques (DGFiP) : la plateforme impots.gouv.fr (plus de 670 000 victimes) et les données cadastrales du SPDC (plus de 2 millions de propriétaires).

La gravité de la compromission de la DGFiP a d’ailleurs poussé le gouvernement à accélérer son plan de modernisation cyber. Zerobytes a aussi revendiqué le piratage de SFR (2,1 millions de comptes) et du drive d’Intermarché (1,7 million de comptes).

Plusieurs autres organisations publiques ont également fait l’objet d’une fuite de données confirmée durant le mois :

• l’Inserm, le 3 août (245 800 personnes concernées) ;
• le fichier Bloctel et les Hospices civils de Lyon, le 6 août ;
• la ville de Gagny, l’I-CAD (fichier national d’identification des chiens, chats et furets) et la Fédération française de handball, le 10 août ;
• Santé publique France et l’AEFE (l’établissement public chargé des écoles françaises à l’étranger), le 11 août ;
• le portail France VAE (validation des acquis de l’expérience), le 14 août ;
• l’Institut de recherche pour le développement (IRD), le 20 août (7 500 personnes touchées) ;
• la Protection civile, le 21 août (525 000 personnes concernées).

Le secteur privé a également été pris pour cible. Le piratage plus important en volume a frappé Actini, spécialiste des équipements de traitement thermique, avec 71 Go de données dérobées. Parmi les autres victimes figurent l’armurerie Lavaux (92 000 personnes concernées), la Mutuelle générale de prévoyance (200 000 personnes), le club de rugby du Stade français Paris, Gédimat, Suez Eau de France, ainsi que les sites LaSante.net et « Achats Or et Argent ».

Malgré les efforts de sensibilisation des pouvoirs publics, la France reste très fortement exposée aux fuites de données. Selon le Data Breach Recap 2025 de Surfshark, 400 millions de comptes ont été compromis dans le monde l’année dernière, dont 40,3 millions en France, deuxième total derrière les États-Unis. En rapportant ce chiffre à la population, le pays occupe même la première place, avec un taux près de 12 fois supérieur à la moyenne mondiale.