Les violations de données marquantes touchant des citoyens et organisations en France et en
Europe. Chaque fiche est factuelle et sourcée ; les cas majeurs renvoient vers notre analyse
complète.
L'ASP confirme le 24 septembre 2026 le vol de données de bénéficiaires du dispositif Coup de pouce énergie : identité, adresse et IBAN de plus de 143 000 personnes en Île-de-France.
Agence de services et de paiement (ASP), dispositif « Coup de pouce énergie »
· France 👥 Environ 143 000 à 143 500 lignes de bénéficiaires revendiquées par l'attaquant sur un forum cybercriminel. L'ASP confirme l'exfiltration mais n'a publié aucun décompte officiel de personnes distinctes ; certaines sources évoquent, sans le confirmer, une population totale d'environ 160 000 bénéficiaires potentiels du dispositif francilien sur la période concernée🎯 Accès frauduleux à un compte utilisateur ayant permis l'exfiltration de documents, selon la formulation retenue par l'ASP. L'attaquant revendique de son côté l'exploitation d'une vulnérabilité de type IDOR (Insecure Direct Object Reference, un défaut de contrôle d'accès qui permet de consulter les données d'un autre bénéficiaire en modifiant un identifiant dans une requête), non confirmée publiquement par l'agence
Doinsport confirme la compromission d'un ancien serveur : 54 545 comptes et 1,75 million de réservations de clubs de padel et tennis concernés, deuxième incident en deux mois.
Doinsport (éditeur marseillais de logiciel de réservation pour clubs de padel, tennis et multisport)
· France 👥 Le pirate RedStone revendique 54 545 comptes utilisateurs, 176 242 fiches clients tenues par 863 clubs et 1 748 486 réservations, pour un total annoncé de 6,9 Go de données. FrenchBreaches indique avoir analysé un échantillon cohérent avec ces volumes, sans que cela valide le lot dans son intégralité. Les personnes concernées sont des adhérents des clubs clients de Doinsport, non des clients directs de l'éditeur🎯 Doinsport attribue l'incident à un ancien serveur de sa marketplace, non exploité depuis, contenant des données antérieures à 2021. L'éditeur affirme que son logiciel actuellement commercialisé n'a pas été compromis. Le vecteur d'intrusion initial n'a pas été précisé publiquement
Un pirate affirme avoir exploité une faille XSS persistante sur la plateforme interne du cabinet de recrutement Uptoo pour dérober une session administrateur et extraire 740 000 CV.
Uptoo (cabinet de recrutement spécialisé dans les fonctions commerciales et marketing)
· France 👥 L'attaquant revendique plus de 740 000 CV et fiches candidats. Ce chiffre provient exclusivement de sa propre annonce sur un forum cybercriminel : ni Uptoo ni une autorité n'ont confirmé son exactitude, et les trackers spécialisés qui l'ont relayé précisent eux-mêmes n'avoir vérifié que des échantillons, pas l'ampleur totale annoncée🎯 L'attaquant affirme avoir exploité une faille XSS (cross-site scripting) persistante sur Galaxy, l'outil interne utilisé par les consultants Uptoo pour gérer les profils candidats : un profil de candidat piégé, une fois consulté par un administrateur, aurait exécuté un script dérobant son jeton de session, ensuite réutilisé pour accéder à l'interface d'administration. Ce scénario technique repose sur les déclarations du pirate et n'a pas été confirmé par Uptoo
Un tiers non autorisé a copié la base de données de Place des Salariés (Haxoneo). Identité, données familiales et documents justificatifs des utilisateurs sont concernés.
Place des Salariés (plateforme d'avantages salariés éditée par Haxoneo)
· France 👥 Aucun décompte officiel du nombre de comptes réellement copiés. La plateforme revendique environ 2 700 entreprises adhérentes et 48 000 salariés utilisateurs à l'échelle de son service, mais Haxoneo ne précise pas quelle proportion de cette base a été consultée ou copiée lors de l'incident🎯 Accès non autorisé à la base de données du service, ayant permis consultation et copie. Haxoneo ne détaille pas la méthode technique d'intrusion dans sa notification. L'entreprise indique avoir sécurisé l'accès en question et réinitialisé l'ensemble des mots de passe
Legalstart a détecté le 9 septembre 2026 l'exploitation d'une faille critique de son outil Metabase interne. Noms, e-mails et téléphones de clients ont été extraits.
Legalstart (legaltech de formalités juridiques, éditée par Yolaw)
· France 👥 Volume non communiqué par Legalstart. La notification consultée par la presse spécialisée ne précise ni le nombre de clients concernés ni le volume de données extrait🎯 Exploitation de la CVE-2026-72898 affectant Metabase, outil d'analyse interne, par contournement du dispositif d'authentification. L'incident s'inscrit dans une vague d'exploitation de cette même vulnérabilité qui a touché plusieurs organisations françaises depuis août 2026 (TeleCoop, Scalingo, TimeTonic, Zéro Logement Vacant entre autres), chacune via sa propre instance, sans lien d'hébergement ou de prestataire commun établi entre elles à ce stade
Amadeus confirme une activité anormale détectée le 11 septembre 2026 sur iHotelier. 7Hotel & Spa, Océania Hôtels et Maritim ont notifié leurs clients en France et en Allemagne.
Amadeus iHotelier (plateforme de réservation hôtelière, éditeur Amadeus IT Group), et les établissements ayant notifié leurs propres clients : 7Hotel & Spa (France), Océania Hôtels (France) et Maritim Hotelgesellschaft (Allemagne)
· Espagne 👥 Aucun total communiqué par Amadeus, qui évoque auprès de la presse spécialisée allemande un nombre de clients « très limité » sans le chiffrer. Le seul décompte disponible provient de Maritim Hotelgesellschaft, qui a adressé 8 716 courriels de notification le 17 septembre 2026 : un chiffre partiel, propre à un seul des établissements concernés, qui ne permet pas d'estimer l'ampleur totale de l'incident🎯 Accès non autorisé via une interface de programmation (API) connectée à iHotelier : Amadeus indique avoir détecté une activité inhabituelle sur cette interface le 11 septembre 2026. Ni la vulnérabilité exploitée, ni le mode d'intrusion initial, ni une éventuelle revendication ne sont précisés publiquement à ce stade
Des fichiers attribués à l'Hôpital Paris Saint-Joseph ont été diffusés le 19 septembre 2026. L'établissement confirme une attaque chez un prestataire touchant des données administratives de patients.
Groupe hospitalier Paris Saint-Joseph (établissement privé d'intérêt collectif, Paris 14e), via un prestataire
· France 👥 Aucun décompte communiqué par l'hôpital. Les observatoires ayant analysé les fichiers diffusés aboutissent à des chiffres très proches : 15 061 lignes selon l'attaquant (en-tête vraisemblablement compris), 15 060 identifiants patients distincts selon Cyberattaque.org et 15 044 patients après dédoublonnage selon Fuites Infos. S'y ajoute un annuaire d'environ 730 praticiens, non évoqué par l'établissement🎯 Cyberattaque chez un prestataire de l'établissement, non nommé et sans vecteur communiqué. Des comptes d'administration présents dans les fichiers font référence à un logiciel tiers de préadmission, ce qui oriente vers ce prestataire selon Cyberattaque.org, sans confirmation
Un pirate revendique la base de L'Orange bleue : 732 385 fiches d'adhérents et 440 326 IBAN, via une faille d'export non authentifiée. L'enseigne n'a pas confirmé l'incident.
L'Orange bleue (réseau de salles de sport, licence de marque Mon Coach Fitness)
· France 👥 Le pirate revendique 732 385 fiches d'adhérents et 440 326 IBAN. Ce chiffre dépasse largement les 375 000 adhérents affichés publiquement par l'enseigne pour environ 400 clubs, un écart relevé par la presse juridique spécialisée et qui interdit de tenir le chiffre du pirate pour acquis, sans permettre de l'écarter comme invraisemblable🎯 Le pirate revendique un accès initial au panel d'administration d'un club, suivi de l'exploitation d'une faille IDOR (Insecure Direct Object Reference) dans une fonction d'export, accessible publiquement sans authentification ni limitation de débit, jusqu'à 200 requêtes par seconde selon son récit. Ce mécanisme n'est pas confirmé par l'enseigne
TotalEnergies confirme une intrusion chez le prestataire de son programme Le Club : données d'identification et historique des transactions extraits, sans données bancaires.
TotalEnergies Marketing France (programme de fidélité Le Club)
· France 👥 Aucun décompte communiqué. Ni le nombre d'adhérents concernés, ni le volume de données extraites n'ont été précisés par TotalEnergies Marketing France dans sa notification, ni relayés par la presse spécialisée qui l'a couverte🎯 Intrusion dans les systèmes d'information d'un prestataire technique tiers chargé de la gestion du programme de fidélité Le Club. Le prestataire n'est pas identifié publiquement et la méthode d'accès utilisée par l'attaquant n'est pas précisée par TotalEnergies
Un acteur cybercriminel revendique la diffusion de fichiers du greffe du Tribunal des Activités Économiques de Paris, avec adresses, téléphones et informations familiales de magistrats. Aucune confirmation officielle à ce stade.
Greffe du Tribunal des Activités Économiques (TAE) de Paris
· France 👥 Aucun décompte officiel : ni le greffe ni le ministère de la Justice ne se sont exprimés publiquement. Deux observatoires ayant analysé les quatre fichiers diffusés aboutissent à des chiffres différents : environ 722 personnes distinctes après dédoublonnage des 1 364 lignes brutes selon FrenchBreaches, contre environ 902 personnes selon Fuites Infos. L'écart tient à la méthode de rapprochement des noms entre fichiers, pas à une divergence sur le contenu des fichiers eux-mêmes🎯 Non déterminé publiquement. L'acteur affirme avoir récupéré les fichiers depuis le site greffe-tae-paris.fr, sans préciser s'il s'agit d'une intrusion, d'une mauvaise configuration d'accès ou d'un compte compromis. Les observatoires ayant examiné la revendication soulignent eux-mêmes la distinction entre publication de données attribuées à une organisation et confirmation technique d'une intrusion, cette dernière restant absente à ce stade
Un vendeur revendique la totalité du code source de Mistral AI sur un forum cybercriminel. L'entreprise affirme n'avoir trouvé aucune preuve d'un accès non autorisé et aucune donnée personnelle n'est annoncée dans la revendication.
Mistral AI
· France 👥 Aucune donnée personnelle annoncée dans la revendication de septembre : il s'agit d'une revendication de code source et de documents internes, pas d'une base de clients ou d'utilisateurs. Les observatoires ayant examiné les échantillons n'y ont identifié aucune base de données personnelles. Des noms de dépôts évoquent 17 organisations présentées comme clientes ou partenaires (dont ASML, Airbus, BNP Paribas, Stellantis, TotalEnergies, HSBC, Pfizer, Tesco, Booking et la direction interministérielle du numérique), sans que cela ne constitue une preuve que des données appartenant à ces organisations aient été exfiltrées🎯 Le vendeur affirme s'être appuyé sur des identifiants de développeur non révoqués depuis la compromission de mai 2026, elle-même liée à une attaque de la chaîne d'approvisionnement logicielle (paquets SDK contaminés via le projet tiers TanStack). Mistral AI dément toute nouvelle intrusion et affirme, après investigation, n'avoir trouvé aucune preuve d'un accès non autorisé récent à ses systèmes
Deux pirates ont revendiqué à 24 heures d'intervalle des bases de données de l'AFPA. L'agence confirme une extraction liée à un outil tiers de gestion des hébergements, jusqu'à 1,7 million de personnes concernées.
AFPA (Agence nationale pour la formation professionnelle des adultes)
· France 👥 L'AFPA avance elle-même « jusqu'à 1,7 million de personnes », un chiffre proche des 1 732 811 lignes revendiquées par Cybernox le 16 septembre. Un premier acteur, xMetah, avait revendiqué la veille un lot distinct de 971 420 enregistrements. L'agence n'a pas précisé si les deux bases proviennent du même périmètre ni dans quelle mesure elles se recoupent, ce qui interdit de simplement additionner les deux décomptes🎯 Faille affectant un outil tiers de gestion des hébergements, opéré par un éditeur externe au système d'information de l'AFPA. Le second pirate, Cybernox, revendique une vulnérabilité de type IDOR (accès à des ressources par simple manipulation d'identifiants), sans que l'AFPA n'ait confirmé ce détail technique
Point Vision confirme un accès non autorisé chez son prestataire de rendez-vous : identité, coordonnées et numéro de Sécurité sociale de patients sont exposés, dossiers médicaux épargnés.
Point Vision (réseau de centres d'ophtalmologie), via son prestataire de prise de rendez-vous
· France 👥 Aucun décompte communiqué par Point Vision. Le réseau accueille environ 1,6 million de patients par an, un volume d'activité qui ne constitue pas un nombre de personnes touchées. Les 70 000 numéros de Sécurité sociale relevés par FrenchBreaches dans la revendication Alaxione portent sur l'ensemble des clients de l'éditeur et ne peuvent pas être attribués à Point Vision seul🎯 Accès non autorisé à l'environnement d'un prestataire tiers de gestion des rendez-vous, sans vecteur précisé. Les traces laissées par l'attaquant ont été partiellement effacées, ce qui empêche l'enseigne d'exclure l'exposition des motifs de rendez-vous et des mots de passe. Le rattachement au prestataire Alaxione repose sur la politique de confidentialité du groupe et sur le recoupement des observatoires, pas sur une désignation explicite par Point Vision
Revolut a transmis passeports, selfies et données bancaires de clients à des pirates ayant usurpé une messagerie gouvernementale italienne pour envoyer de fausses demandes légales.
Revolut (Revolut Bank UAB, filiale lituanienne agréée pour l'activité bancaire dans l'Union européenne, au sein du groupe britannique Revolut)
· Royaume-Uni (siège du groupe) / Lituanie (Revolut Bank UAB, entité visée par l'incident) 👥 Revolut ne communique qu'un « nombre limité » de clients concernés, sans le chiffrer ni préciser les pays touchés. Plusieurs médias financiers (Financial Times, Irish Times, Euronews, American Banker) avancent un chiffre d'environ 680 à 700 clients européens, attribué à une source proche du dossier et non à une confirmation de Revolut. Le groupe extorqueur revendique de son côté la détention de 147 gigaoctets de données et affirme, sans confirmation indépendante, que la majorité des dossiers concernent des clients de Suisse et de France. Fuites Infos rapporte séparément qu'une centaine de personnes en France seraient touchées, chiffre qui ne figure ni dans la notification ni dans les déclarations de Revolut🎯 Ingénierie sociale par fausse demande d'urgence (« fake EDR »), et non intrusion dans les systèmes de Revolut. Des identifiants d'accès à la messagerie certifiée (PEC) d'une administration italienne, probablement achetés sur un marché criminel à partir de journaux de logiciels voleurs d'identifiants selon la société Hudson Rock, ont permis aux attaquants d'envoyer de fausses réquisitions depuis une adresse gouvernementale authentique, qui ont passé les contrôles d'authentification (SPF, DKIM, DMARC) appliqués par Revolut
Un pirate revendique 132 000 dossiers SAV issus de magasins du réseau Ex&Co, partenaire de Boulanger. Ni Boulanger ni Ex&Co n'ont confirmé l'incident, distinct de la fuite Boulanger de 2024.
Boulanger, via des magasins partenaires du réseau Ex&Co (enseignes Expert et Connexion, rapprochées de Boulanger depuis 2018)
· France 👥 Environ 132 000 dossiers de réparation et de garantie analysés, correspondant à environ 61 275 clients distincts selon Fuites Infos, un même client pouvant apparaître dans plusieurs dossiers. Chiffre issu de l'analyse du fichier revendiqué, non confirmé par Boulanger ni par Ex&Co🎯 Revendication d'un accès à un environnement de gestion du service après-vente utilisé par des magasins du réseau Ex&Co, partenaire de distribution de Boulanger depuis 2018. Vecteur technique non détaillé publiquement, incident non confirmé par Boulanger ni par Ex&Co à ce stade
NaturaBuy confirme une cyberattaque ciblée le 10 septembre 2026 : coordonnées et mots de passe chiffrés de ses membres extraits, sans numéro SIA ni donnée bancaire.
NaturaBuy (marketplace de petites annonces chasse, pêche, tir sportif et plein air)
· France 👥 Aucun décompte communiqué par l'entreprise. NaturaBuy revendique plusieurs centaines de milliers de membres inscrits depuis sa création, sans préciser combien de comptes ont été concernés par l'extraction🎯 Cyberattaque externe ciblée, qualifiée de sophistiquée par NaturaBuy, sans détail technique publié sur la vulnérabilité exploitée ni sur le point d'entrée
GreenGo a notifié ses clients d'un accès non autorisé à un outil interne du 9 août au 7 septembre 2026. Le lien avec la faille Metabase repose sur des recoupements, pas sur une citation directe de l'entreprise.
GreenGo (plateforme française de réservation d'hébergements et de séjours écoresponsables)
· France 👥 Aucun décompte officiel communiqué par GreenGo. Ni le nombre de personnes concernées ni le volume total de données consultées n'ont été précisés à ce stade🎯 GreenGo évoque, dans sa notification aux clients, un accès non autorisé à un outil interne d'analyse de données déjà couvert par un correctif logiciel qu'elle n'aurait découvert que le 7 septembre 2026. Plusieurs observatoires (Cyberattaque.org, FrenchBreaches, Fuites Infos) et une analyse juridique publiée le 11 septembre identifient cet outil comme Metabase et rattachent l'incident à la vague d'exploitation de la CVE-2026-72898, une injection SQL non authentifiée exploitée sur de nombreuses instances françaises à partir d'août 2026. Ce rattachement n'est toutefois pas confirmé par une citation explicite de GreenGo nommant Metabase ou la CVE : il repose sur la description de l'outil, sur la mention d'un correctif préexistant et sur la coïncidence de calendrier avec l'alerte CERT-FR CERTFR-2026-ALE-010 du 10 septembre 2026, consacrée aux compromissions Metabase par injection SQL
Un acteur revendique le 7 septembre 2026 l'exploitation d'une faille de contrôle d'accès sur admin.snu.gouv.fr. Contrairement à une lecture répandue, les comptes concernés sont ceux des structures partenaires.
Service National Universel (portail des structures partenaires, ministère de l'Éducation nationale et de la Jeunesse)
· France 👥 275 083 comptes revendiqués, dont 270 021 comptes utilisateurs standards et 5 062 comptes de responsables de structures. Il s'agit d'un décompte de comptes et non de personnes distinctes vérifiées. Point à ne pas confondre : la plateforme visée est le portail réservé aux structures partenaires du dispositif (associations, communes, services d'incendie et de secours, Croix-Rouge, Restos du Cœur) et à leurs responsables, non l'espace des jeunes participants. Les comptes concernés ne correspondent donc pas majoritairement à des mineurs🎯 Faille de contrôle d'accès de type IDOR revendiquée sur le portail d'administration, combinée selon l'attaquant à une gestion défaillante des rôles et permissions permettant d'accéder aux données d'autres utilisateurs. Ce scénario n'a pas pu être confirmé indépendamment
L'AMF a confirmé le 4 septembre 2026 une cyberattaque par injection SQL sur son site. Une des tables extraites contenait des mots de passe stockés sans chiffrement.
Association des Maires de France (AMF)
· France 👥 114 000 lignes revendiquées par l'attaquant, que l'AMF décrit de son côté comme « plus de 100 000 enregistrements » de base de données, sans publier de décompte de personnes distinctes. Ces entrées sont réparties sur plusieurs tables, une même personne pouvant y figurer à plusieurs reprises. Un chiffre de 114 465 personnes circule dans une source isolée, non recoupée par les autres : il n'est pas retenu ici🎯 Injection SQL de type UNION sur le site de l'association, revendiquée par l'attaquant mais non confirmée techniquement par l'AMF
Un accès non autorisé au système d'information de Répar'stores a exposé devis, factures et commentaires clients. L'enseigne demande de vérifier l'IBAN de toute facture reçue après le 20 août 2026.
Répar'stores (réseau de réparation et de remplacement de volets roulants)
· France 👥 Aucun décompte officiel. L'auteur présumé revendique environ 1,8 million de clients, 1,8 million de factures et 2,4 millions de commandes, volumes explicitement non confirmés par l'enseigne. Ces trois nombres sont cohérents entre eux et avec la taille du réseau, 320 agences en activité depuis 2013, ce qui ne les valide pas mais ne permet pas non plus de les écarter comme invraisemblables🎯 Accès non autorisé à l'un des environnements informatiques de l'enseigne, sans vecteur explicité dans la notification. Les catégories de données concernées correspondent aux fonctions du logiciel métier IRIS, partagé par le réseau depuis 2013, ce qui rend plausible l'hypothèse d'un compte utilisateur ou d'une session légitime compromise. Cette hypothèse reste une lecture d'observatoire, non une confirmation
L'exploitant des transports en commun de Toulouse a confirmé le 3 septembre 2026 une exfiltration touchant deux applications internes. Aucune donnée voyageur n'est concernée.
Tisséo Voyageurs (réseau de transports en commun de Toulouse)
· France 👥 2 877 agents distincts pour 13 446 enregistrements et 1,22 Go, selon l'analyse dédoublonnée d'un observatoire, reprise par la presse régionale et par la majorité des sources. Une source avance de son côté 3 234 personnes. Tisséo n'a publié aucun décompte officiel. Aucune donnée de voyageur n'est concernée🎯 Non communiqué. Aucune source ne précise le point d'entrée, qu'il s'agisse d'un accès direct au système d'information, d'une application spécifique compromise ou d'un prestataire
Une instance Metabase de Delicity a été compromise du 9 au 24 août 2026 via la CVE-2026-72898. La fuite touche aussi les pièces d'identité et coordonnées bancaires de restaurateurs et de livreurs partenaires.
Delicity, exploitée par la société Pedro (plateforme de commande, réservation et livraison pour restaurateurs indépendants)
· France 👥 Aucun décompte officiel communiqué par Delicity. L'entreprise revendique plusieurs milliers de restaurants partenaires et plusieurs dizaines de milliers de livreurs sur sa plateforme, sans préciser combien d'entre eux, ni combien de clients finaux, ont vu leurs données effectivement consultées🎯 Exploitation de la CVE-2026-72898 affectant Metabase, injection SQL non authentifiée permettant un accès administrateur à l'instance, sur une instance interne à Delicity. L'accès constaté commence le 9 août 2026, après la publication du correctif par l'éditeur le 6 août : il s'agit donc d'une exploitation opportuniste dans la vague qui a suivi la divulgation, et non d'un accès en amont du correctif comme cela a été établi chez Shipup. Delicity indique que l'accès était limité à la lecture des données, sans modification constatée
Le portail foncier de l'Ordre des géomètres-experts fait l'objet d'une revendication portant sur 4 226 008 lignes, obtenues selon l'attaquant via un compte déjà authentifié disposant d'un accès à l'API.
Géofoncier (portail foncier de l'Ordre des géomètres-experts)
· France 👥 4 226 008 lignes revendiquées, à ne pas lire comme un nombre de personnes. Le total recouvre trois natures distinctes : de 6 782 à environ 7 000 géomètres-experts et professionnels nommément identifiables, seules personnes physiques clairement recensées ; environ 6 450 à 6 500 structures professionnelles et de 2 000 à 2 151 implantations de cabinets, qui sont des entités et non des individus ; et plus de 4,2 millions d'enregistrements de dossiers fonciers (références, géométries de parcelles, métadonnées cadastrales) qui ne sont pas des fiches de personnes🎯 Utilisation d'un compte Géofoncier déjà authentifié disposant d'un accès à l'API, découvert par l'attaquant, puis interrogation massive de l'interface. La provenance initiale de ce compte n'est pas précisée et aucune faille technique n'est revendiquée
Le ministère a reconnu le 2 septembre 2026 une attaque informatique sophistiquée visant sa messagerie. Deux acteurs revendiquent en parallèle l'exfiltration de fichiers d'agents et de contrôleurs agréés.
Ministère de la Transition écologique
· France 👥 22 822 enregistrements revendiqués au total, répartis en deux fichiers distincts dont rien n'établit qu'ils soient disjoints : 8 166 fiches d'utilisateurs (comptes administratifs, décompte proche d'un nombre de personnes) et 14 656 lignes de contrôleurs agréés, un format qui n'exclut pas plusieurs lignes par individu, une par date d'habilitation. Le fichier d'utilisateurs se décompose lui-même en sous-totaux hétérogènes (5 278 numéros fixes, 3 642 mobiles, 4 849 matricules), signe d'un remplissage partiel🎯 Selon les attaquants, accès initial via une mauvaise configuration de l'API du portail d'authentification ministériel, puis exploitation d'une faille de contrôle d'accès de type IDOR sur l'outil de surveillance des organismes. Ce scénario repose sur leur seule revendication et n'a pas été confirmé par le ministère
Une instance Metabase de Shipup est compromise du 31 juillet au 17 août 2026 via la CVE-2026-72898. Cinq enseignes clientes ont notifié leurs propres clients entre le 2 et le 9 septembre.
Shipup (plateforme de suivi de livraison), et ses enseignes clientes Printemps, Citadium, Micromania, Aroma-Zone et Easypara
· France 👥 Aucun décompte communiqué, ni par Shipup ni par aucune des cinq enseignes ayant notifié leurs clients. Les observatoires le constatent explicitement pour chacune d'elles. Le seul ordre de grandeur disponible est indirect : Shipup revendique plus de 700 marques clientes, dont cinq seulement ont notifié à ce jour🎯 Exploitation de la CVE-2026-72898, injection SQL non authentifiée notée 10,0 sur l'échelle CVSS, sur une instance Metabase interne à Shipup. L'attaquant obtient un accès administrateur, exécute des requêtes puis télécharge des données depuis les bases connectées. Exploitation automatisée d'une vulnérabilité logicielle, sans revendication publique d'un acteur identifié
Un acteur revendique le 31 août 2026 l'extraction complète de la base du site marchand herbiolys.fr, avec des coordonnées bancaires de revendeurs et de professionnels de santé parmi les données.
Herbiolys (laboratoire de phytothérapie et de gemmothérapie)
· France 👥 Environ 1,3 million de lignes revendiquées, réparties entre plusieurs tables (comptes, adresses, commandes, paiements, livraisons), ce qui ne signifie pas 1,3 million de personnes : les deux observatoires qui documentent le cas le précisent explicitement. Le rapprochement avec la taille du laboratoire rend un tel nombre de clients distincts peu vraisemblable. Le sous-ensemble le mieux caractérisé est celui des quelque 1 500 IBAN uniques, associés notamment à des revendeurs et à des professionnels🎯 Non déterminé. Aucune des sources consultées ne précise s'il s'agit d'une vulnérabilité applicative, d'identifiants compromis ou d'une mauvaise configuration
Un même acteur met en ligne fin août 2026 les bases des SDIS des Bouches-du-Rhône, du Gard, de la Moselle, du Bas-Rhin et des Vosges. Seul le Gard a confirmé, pour 3 168 agents.
SDIS des Bouches-du-Rhône, du Gard, de la Moselle, des Vosges et SIS du Bas-Rhin
· France 👥 Aucun total fiable ne peut être établi. Seul le sous-total du Gard, 3 168 agents, est confirmé officiellement. Pour les quatre autres services, les volumes proviennent de la seule revendication et de son analyse par un observatoire, qui annonce par ailleurs un total général de 17 952 personnes ne correspondant pas à la somme des sous-totaux qu'il publie lui-même. Le chiffre de 18 000 sapeurs-pompiers largement repris doit donc être considéré comme un ordre de grandeur, pas comme un décompte🎯 Non communiqué. Ni les structures concernées ni les observatoires consultés ne précisent le mode d'intrusion, et aucun outil métier ni prestataire mutualisé commun aux cinq services n'a été identifié
Un service public numérique alimenté par des fichiers fonciers de la DGFiP fait l'objet d'une revendication portant sur près de 149 millions de lignes. Le site est hors ligne depuis le 30 août 2026, sans communication officielle.
Zéro Logement Vacant (service public numérique porté par la Fabrique numérique de l'Écologie)
· France 👥 Aucun décompte de personnes retenu. L'attaquant revendique 148 929 194 lignes brutes, dont environ 82 millions de lignes de propriétaires et 66,9 millions de lignes du fichier foncier national 2024, et propose lui-même trois méthodes de dédoublonnage aux résultats incompatibles : 47,9 millions par identifiant fiscal, 71,1 millions par nom et date de naissance, 32,5 millions pour les personnes sans identifiant fiscal. Deux de ces ordres de grandeur avoisinent ou dépassent la population adulte française. Seuls des sous-ensembles restent crédibles en l'état : 10 729 adresses électroniques uniques, 6 847 numéros de téléphone uniques et environ 3 500 comptes professionnels🎯 Intrusion revendiquée via une instance Metabase insuffisamment sécurisée, avec obtention d'une session superutilisateur puis d'identifiants PostgreSQL stockés en clair donnant accès à la base de production. Ce scénario repose sur les seules déclarations de l'attaquant, sans audit indépendant publié
Les bases d'un outil d'analyse e-commerce sont mises en ligne gratuitement le 28 août 2026. Le lot associe un demi-million de profils dédoublonnés à 81,6 millions de lignes de journaux d'usage.
Minea (outil d'analyse publicitaire et de recherche de produits, édité par Ecom Data Solutions)
· Suisse 👥 533 162 profils utilisateurs uniques, dédoublonnés par adresse électronique selon la revendication et non confirmés par l'éditeur. Ce chiffre est à distinguer des 81 619 864 événements d'activité annoncés dans le même lot, soit environ 105 Go décompressés : ce sont des journaux d'usage et non des personnes. Les profils couvriraient 235 pays, dont environ 20 % en France🎯 Non déterminé. Aucune des sources consultées n'indique l'origine technique de la fuite, seul le pseudonyme du diffuseur étant connu
L'opérateur coopératif a été alerté par les services de l'État le 19 août 2026 et a corrigé dès le lendemain. Il a informé ses clients avant que l'attaquant ne rende sa revendication publique.
TeleCoop (opérateur télécom coopératif)
· France 👥 Aucun décompte officiel communiqué par l'opérateur. L'attaquant revendique 16 182 adresses électroniques, 15 bases de données, 2 661 tables et environ 335 Mo : ce sont des volumes de lignes, de tables et de fichiers, pas un nombre de personnes distinctes confirmé🎯 Exploitation de la CVE-2026-72898 affectant Metabase, par contournement du dispositif d'authentification, sur une instance propre à l'opérateur. L'incident s'inscrit dans une vague d'exploitation de la même vulnérabilité, chaque organisation ayant été touchée via sa propre instance. Aucun lien d'hébergement avec Scalingo, également concerné : TeleCoop est hébergé chez un prestataire distinct
Un acteur revendique 140 Go extraits de l'éditeur français Klark.ai. Un de ses clients, Ultra Premium Direct, a confirmé être touché et notifié la CNIL dans les deux jours.
Klark.ai (solution d'intelligence artificielle pour le service client)
· France 👥 Environ 500 000 personnes selon la seule estimation de l'attaquant, à partir du volume des fichiers (162 fichiers CSV, plus de 140 Go, certains dépassant deux millions de lignes). Les observatoires précisent qu'une même personne peut apparaître plusieurs fois, du fait de conversations multiples et de doublons entre les quatre bases, ce qui interdit de présenter ce nombre comme un décompte de personnes distinctes. Aucun chiffre n'a été confirmé par l'éditeur🎯 Non déterminé. L'attaquant revendique l'extraction sans détailler la méthode d'intrusion, aucune mention de vulnérabilité, d'hameçonnage, de mauvaise configuration ou d'identifiants compromis n'étant faite
Une base de cartes de fidélité dématérialisées est mise en vente le 24 août 2026 pour 1 000 euros, sans diffusion. Un second acteur publie gratuitement un extrait de 7 880 profils le 5 septembre.
YouFid (solution de carte de fidélité dématérialisée)
· France 👥 1 899 454 enregistrements revendiqués, et non un nombre de personnes distinctes : une même personne peut figurer plusieurs fois selon les enseignes et les cartes associées, et la base complète n'a jamais été mise en circulation ni authentifiée dans son intégralité. Le second épisode porte sur 7 880 profils effectivement diffusés, seul volume correspondant à un fichier réellement observable🎯 Non déterminé. Aucune des sources consultées ne documente le mode d'accès, qu'il s'agisse d'une interface mal protégée, d'un prestataire compromis ou d'un export exfiltré
Le 23 août 2026, ZeroBytes revendique 6,27 millions de lignes extraites de Déclic Services, soit environ 13 000 comptes avec IBAN et empreintes de mots de passe, et modifie le site de production pour l'annoncer.
Déclic Services (coopérative de services à la personne)
· France 👥 Environ 13 000 comptes utilisateurs, dont près de 12 400 clients et 850 intervenants, pour 6 271 531 lignes de base de données brutes revendiquées ; 14 947 adresses e-mail uniques et 6 451 IBAN uniques ont été extraits de l'ensemble. Aucun chiffre confirmé par la coopérative🎯 Hameçonnage d'identifiants d'administration selon le récit de l'attaquant, suivi d'un accès direct à l'environnement de production. La modification du site public en constitue la démonstration la plus visible
Le 23 août 2026, le groupe Solimut confirme une cyberattaque le jour même où un attaquant revendique la copie de sa base d'adhérents : 1,24 million d'assurés, 770 000 coordonnées bancaires et des numéros de Sécurité sociale.
Solimut Mutuelle de France
· France 👥 1 244 445 assurés, 770 467 coordonnées bancaires, plus de 1,38 million de dossiers individuels et environ 1,08 million de déclarations sociales nominatives selon la revendication ; le groupe a confirmé la cyberattaque mais aucun de ces volumes🎯 Non précisé : le groupe indique avoir identifié l'intrusion au matin du 23 août, isolé l'incident et coupé les accès détectés, sans détailler le point d'entrée. L'attaquant revendique une copie complète de la base d'adhérents
Le 21 août 2026, un acteur revendique une base de 1 136 058 clients attribuée à Allobébé, couvrant les commandes de 2006 à 2026 : adresses e-mail et adresses postales en tête des champs exposés.
Allobébé (vente en ligne de puériculture)
· France 👥 1 136 058 personnes revendiquées par l'attaquant, sur des données couvrant la période 2006-2026. Aucun chiffre confirmé par l'enseigne🎯 Non déterminé. Les revendications publiées le même jour contre plusieurs enseignes évoquent l'accès à un prestataire tiers manipulant des exports de fichiers clients, hypothèse non vérifiée
Le 21 août 2026, un acteur met en vente une base attribuée à Beauty Success : 10,28 millions d'enregistrements ramenés à 5,17 millions de fiches uniques, avec noms, e-mails et dates de naissance complètes.
Beauty Success (parfumerie et instituts de beauté)
· France 👥 10 279 819 enregistrements revendiqués, ramenés à 5 169 727 entrées présentées comme uniques après dédoublonnage par l'attaquant lui-même. Aucun chiffre confirmé par l'enseigne🎯 L'attaquant affirme être passé par un prestataire tiers manipulant des exports de données clients, ce qui expliquerait la simultanéité des revendications visant plusieurs enseignes le même jour. Vecteur non vérifié et non confirmé par les entreprises concernées
Le 21 août 2026, un attaquant revendique 1 359 546 enregistrements attribués à Made in Bébé, ramenés à 960 106 personnes : adresses de livraison, détails de commandes et montants facturés sur la période 2023-2026.
Made in Bébé (vente en ligne de puériculture)
· France 👥 1 359 546 enregistrements revendiqués, ramenés à 960 106 personnes selon l'attaquant, sur des données couvrant la période 2023-2026. Aucun chiffre confirmé par l'enseigne🎯 Non déterminé. Les revendications publiées le même jour contre plusieurs enseignes évoquent l'accès à un prestataire tiers manipulant des exports de fichiers clients, hypothèse non vérifiée
La Fédération nationale de protection civile confirme un piratage de sa plateforme eProtec survenu en mars 2026 et resté indétecté plusieurs mois : plus de 525 000 profils et 15 000 photographies sont concernés, dont des mineurs.
Fédération nationale de protection civile (plateforme eProtec)
· France 👥 Plus de 525 000 profils revendiqués, accompagnés d'environ 15 000 photographies ; la fédération conteste ce décompte en évoquant de nombreux doublons dans le fichier et cherchait encore à établir le nombre exact de personnes réellement concernées🎯 Accès non autorisé à la plateforme de gestion des bénévoles eProtec, intervenu en mars 2026 et resté indétecté jusqu'à la mise en circulation du fichier en août
Un attaquant revendique le 20 août 2026 l'extraction de 6,8 millions de profils et 10,1 millions de rendez-vous chez Alaxione. L'éditeur reconnaît une intrusion mais affirme qu'elle n'a touché qu'un serveur de préproduction.
Alaxione (plateforme de prise de rendez-vous et de relation patient pour les professionnels de santé)
· France 👥 6,8 millions de profils revendiqués par l'attaquant, accompagnés de plus de 10,1 millions de rendez-vous et d'environ 274 000 messages, pour un ensemble annoncé à 12,8 Go et environ 18 millions de lignes. Aucun chiffre confirmé : Alaxione affirme que l'accès portait sur un serveur de test🎯 Compromission revendiquée d'un environnement de préproduction : les captures diffusées montrent un accès à une interface phpMyAdmin sur le sous-domaine preprod.alaxione.fr. La question ouverte reste de savoir si cette base de préproduction contenait des données réelles ou des jeux de test
Le groupe Everest revendique le 20 août 2026 la détention de 13,08 Go et 722 470 fichiers provenant d'anciens dépôts internes d'Altran. Le compte à rebours a expiré fin août sans publication constatée ni communication de Capgemini.
Capgemini Engineering (anciens dépôts internes d'Altran)
· France 👥 Aucun décompte de personnes : la revendication porte sur 13,08 Go et 722 470 fichiers répartis dans 26 archives principales et 876 archives imbriquées, dont une large part de composants logiciels, bibliothèques et fichiers générés. Volume exclu du compteur cumulé🎯 Opération d'extorsion attribuée au groupe Everest, portant sur un ancien dépôt interne d'Altran, dont les activités d'ingénierie et de R&D ont été intégrées à Capgemini Engineering. Le mode d'accès n'est pas documenté publiquement
Suez Eau France notifie ses clients le 20 août 2026 : un prestataire technique a été victime d'une cyberattaque et une partie des données extraites, dont des pièces d'identité et des RIB, a été rendue accessible en ligne.
Suez Eau France (via un prestataire technique)
· France 👥 Nombre non communiqué : Suez indique ne pas être en mesure de confirmer que les données de chaque personne notifiée ont effectivement été dérobées. Volume exclu du compteur cumulé faute de chiffre officiel🎯 Cyberattaque chez un prestataire technique de Suez, ayant permis l'accès puis l'extraction de données clients, dont une partie a ensuite été rendue accessible sur Internet. Le prestataire n'a pas été nommé publiquement
L'IRD confirme le 18 août 2026 une intrusion externe détectée le 24 juillet : les données de 7 500 agents et partenaires, dont leur numéro de Sécurité sociale, ont été exposées sur un serveur compromis.
Institut de recherche pour le développement (IRD)
· France 👥 7 500 personnes selon la présidente-directrice générale de l'institut : agents de l'IRD, partenaires et intervenants extérieurs🎯 Intrusion d'origine externe ayant compromis un serveur de l'institut. L'exfiltration effective des données n'est pas confirmée à ce stade : l'IRD qualifie l'incident d'atteinte à la confidentialité
Le 18 août 2026, un courtier en données revendique 33 Go liés à l'écosystème Stripe : 1 033 clés API, 662 bases de marchands et 1,35 million d'adresses e-mail uniques. L'origine, plateforme ou marchands, reste indéterminée.
Écosystème Stripe (marchands utilisant la plateforme de paiement et leurs clients)
· International (Stripe, États-Unis et Irlande pour l'Union européenne), marchands et clients européens dont la France 👥 1,35 million d'adresses e-mail uniques pour 6,16 millions d'occurrences, et 688 000 fiches clients complètes selon la revendication, réparties sur 662 bases attribuées à des marchands distincts ; au moins 200 personnes en France identifiées par ZATAZ dans l'échantillon. Aucun chiffre confirmé🎯 Indéterminé. La structure de l'ensemble, réparti en 662 bases distinctes accompagnées de clés API, oriente vers une collecte auprès de comptes marchands compromis plutôt que vers une intrusion dans l'infrastructure de la plateforme, mais aucun élément technique public ne permet de trancher
L'acteur ZeroBytes revendique le 17 août 2026 l'extraction de 43 Go répartis dans 2 500 fichiers issus de BE1D, SCONET et I-Prof, couvrant élèves, familles et personnels de 2002 à 2026. Le ministère n'a confirmé que l'intrusion de juillet.
Ministère de l'Éducation nationale (bases BE1D, SCONET, I-Prof et annuaires académiques)
· France 👥 346 178 591 lignes brutes non dédoublonnées revendiquées, réparties dans environ 2 500 fichiers pour 43 Go. Les décomptes par personne relayés dans la presse ne sont ni dédoublonnés ni vérifiés, et le ministère n'a publié aucun chiffre : volume exclu du compteur cumulé🎯 Accès VPN revendiqué par l'attaquant à plusieurs applications académiques, dans le prolongement de l'usurpation d'un compte professionnel reconnue par le ministère fin juillet. Mode opératoire non confirmé officiellement
Le service public France VAE informe ses candidats le 13 août 2026 d'un incident de sécurité survenu le 10 août : identité, coordonnées, parcours professionnel, évaluations et données de financement ont été exposés.
France VAE (service public de la validation des acquis de l'expérience, vae.gouv.fr)
· France 👥 Nombre non communiqué par le service : la notification adressée aux candidats ne comporte aucun décompte. Volume exclu du compteur cumulé🎯 Non précisé par le service : la notification n'indique ni la méthode employée ni le point d'entrée. Ni mot de passe ni donnée bancaire ne sont mentionnés parmi les informations exposées
Après la revendication du 12 août 2026 portant sur 678 438 lignes de données fiscales, la DGFiP a reconnu trois intrusions distinctes : base d'échanges usagers, serveur cadastral SPDC et portail des successions vacantes.
Direction générale des Finances publiques (DGFiP) : base d'échanges usagers-agents, serveur de données cadastrales SPDC et portail des successions vacantes
· France 👥 Environ 678 000 particuliers et professionnels selon le chiffre consolidé communiqué par la DGFiP, seul décompte officiel à ce jour. Les volumes donnés oralement par intrusion (environ 350 000 particuliers et 250 000 professionnels pour la base d'échanges, environ 433 000 personnes pour le cadastre) ne s'additionnent pas, une même personne pouvant figurer dans plusieurs bases. La revendication initiale portait sur 678 438 lignes🎯 Usurpation des identifiants d'un agent de la DGFiP puis d'un tiers habilité, avec contournement de l'authentification multifacteur sur le serveur cadastral selon les éléments rapportés ; pour le troisième cas, une vulnérabilité technique du portail public des successions vacantes, identifiée et coupée le 17 août 2026
L'hébergeur français Scalingo détaille l'exfiltration de métadonnées concernant environ 90 000 personnes, après l'exploitation d'une faille critique de Metabase sur un outil d'analyse interne, sans accès aux données clients.
Scalingo (plateforme d'hébergement applicative française)
· France 👥 Environ 90 000 personnes présentes dans l'entrepôt de données analytiques interne, selon l'hébergeur🎯 Exploitation de la CVE-2026-72898, injection SQL non authentifiée notée 10,0 sur l'échelle CVSS, visant une instance interne de Metabase connectée à un entrepôt de données analytiques
Une revendication du 11 août 2026 fait état de l'extraction des coordonnées de près de 80 000 professionnels et structures partenaires de Santé publique France, via un défaut de contrôle d'autorisation.
Santé publique France (plateforme de gestion des professionnels et structures partenaires)
· France 👥 Près de 80 000 personnes selon la revendication ; périmètre exact et étendue réelle de l'accès obtenu non confirmés par l'agence🎯 Élévation de privilèges par défaut de contrôle d'autorisation côté serveur : un compte utilisateur standard aurait pu basculer sur un profil administrateur de la plateforme, ouvrant l'accès aux enregistrements des professionnels et structures partenaires
I-CAD reconnaît le 10 août 2026 une faille détectée en septembre 2025 sur le fichier national d'identification des carnivores domestiques, ayant permis de collecter des adresses e-mail de propriétaires.
I-CAD (Ingenium Animalis), fichier national d'identification des carnivores domestiques
· France 👥 Nombre de personnes concernées non communiqué ; I-CAD invoque l'impossibilité technique de notifier individuellement l'ensemble des utilisateurs au vu du volume. Le fichier centralise plus de 46 millions d'animaux et leurs détenteurs. Volume exclu du compteur cumulé faute de chiffre disponible🎯 Vulnérabilité permettant l'interrogation automatisée de certains enregistrements de la base, exploitée pour collecter des adresses e-mail ; détectée en septembre 2025
Après une première extraction de 55 949 enregistrements via une API le 9 août 2026, une seconde revendication du 21 août porte sur 4 819 927 clients dédoublonnés, attribuée à un prestataire manipulant des exports de fichiers clients.
Bureau Vallée
· France 👥 4 819 927 enregistrements dédoublonnés selon la revendication du 21 août, sur 13 725 669 enregistrements bruts annoncés ; la première revendication du 9 août portait sur 55 949 enregistrements ramenés à 21 921 personnes distinctes. Aucun chiffre confirmé par l'enseigne🎯 Premier épisode : accès à une API de l'enseigne permettant l'extraction automatisée d'enregistrements clients. Second épisode : selon l'attaquant, des fichiers CSV d'exports clients de magasins déposés sur un serveur FTP chez un prestataire tiers. Aucun de ces vecteurs n'a été confirmé par Bureau Vallée
Revendiquée le 7 août 2026, la fuite visant la Mutuelle Générale de Prévoyance a été reconnue le 19 août : 198 127 identités et 133 018 IBAN sont concernés, sans données de santé. Une enquête judiciaire est ouverte.
Mutuelle Générale de Prévoyance (MGP)
· France 👥 198 127 identités distinctes et 133 018 IBAN uniques selon l'analyse du fichier revendiqué, sur environ 480 000 adhérents que compte la mutuelle ; s'y ajoutent près de 45 800 numéros de téléphone et 24 500 adresses e-mail🎯 Extraction structurée de deux tables d'un système de gestion. La mutuelle attribue l'accès à la défaillance d'un prestataire technique, sans en préciser l'identité ni le mode opératoire
Armurerie Lavaux a confirmé en août 2026 l'extraction de données de commandes. En septembre, un vendeur revendique 120 000 clients sous une étiquette FFTir et SIA absente des échantillons.
Armurerie Lavaux (armurerie en ligne, Neufchâteau)
· France 👥 Aucun décompte officiel de l'entreprise. Le vendeur du fichier de septembre revendique 120 158 personnes réparties sur 232 341 lignes, dont 114 634 en France et 4 670 en Belgique, le solde en Suisse, au Luxembourg, en Italie et en Espagne. Ce chiffre provient uniquement de la revendication du vendeur, recoupée par des échantillons de 100 et 200 commandes, sans validation indépendante du volume total🎯 Cyberattaque ciblée non détaillée publiquement par Armurerie Lavaux, ayant permis l'extraction de données de commandes depuis 2025. La vulnérabilité exploitée a été corrigée par l'entreprise selon son communiqué
Valve prévient à partir du 7 août 2026 les acheteurs européens de matériel Steam qu'une cyberattaque chez son prestataire logistique CEVA Logistics a exposé leurs nom, adresse, téléphone et e-mail.
Valve (Steam Hardware), via le prestataire logistique CEVA Logistics
· États-Unis (Valve) / France (CEVA Logistics, groupe CMA CGM), acheteurs européens concernés 👥 Nombre de personnes concernées non communiqué ; périmètre limité aux acheteurs de matériel Steam en Europe. D'autres clients de CEVA (Bol, De Bijenkorf, ING) ont émis des alertes similaires. Volume exclu du compteur cumulé faute de chiffre disponible🎯 Sous-traitant : cyberattaque visant CEVA Logistics, prestataire chargé des expéditions de matériel Steam, ayant affecté huit entrepôts européens
La DGCCRF confirme qu'un compte professionnel usurpé a permis de télécharger des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits à Bloctel, cinq jours avant l'arrêt du service.
Bloctel (service national d'opposition au démarchage téléphonique, DGCCRF)
· France 👥 3 millions de numéros de téléphone contenus dans les fichiers récupérés selon la DGCCRF, dont 600 000 correspondent à des inscrits Bloctel ; la revendication initiale portait sur environ 2,3 millions de comptes et 2,4 millions de numéros distincts🎯 Usurpation d'un compte professionnel donnant accès au service de consultation réservé aux entreprises, permettant le téléchargement des fichiers échangés avec Bloctel. L'absence d'authentification à deux facteurs sur ces comptes est évoquée par les analyses techniques. Selon la DGCCRF, la base Bloctel elle-même n'a pas été compromise
Le Groupement Les Mousquetaires confirme une intrusion visant les fichiers clients du Drive Intermarché fin juillet 2026 : identité, date de naissance, adresse, téléphone, carte de fidélité et détails de commandes exposés.
Intermarché (Groupement Les Mousquetaires), service Drive
· France 👥 287 605 clients notifiés par Intermarché, sur environ 2 millions d'utilisateurs du service Drive ; l'attaquant revendique de son côté 1 393 807 lignes de base de données, un volume qui ne correspond pas nécessairement à autant de personnes distinctes🎯 Accès non autorisé aux fichiers clients associés au service Drive. L'attaquant, sous le pseudonyme ZeroBytes, revendique un accès à un serveur RDP hébergé sur le réseau interne d'Intermarché puis une extraction automatisée ; ce point d'entrée n'a pas été confirmé publiquement par le groupe
Le ministère de l'Éducation nationale confirme une intrusion dans la nuit du 25 au 26 juillet 2026 sur son système d'information dédié à la formation : identité, coordonnées et NIR d'agents en académie depuis 2001 potentiellement exfiltrés.
Ministère de l'Éducation nationale (système d'information de formation des personnels)
· France 👥 Nombre non communiqué : le ministère évoque « un nombre important » d'agents ayant exercé en académie depuis 2001. Volume exclu du compteur cumulé faute de chiffre officiel🎯 Usurpation d'un compte professionnel légitime, ayant permis un accès frauduleux au système d'information dédié à la formation des personnels ; le ministère n'a pas précisé comment les identifiants avaient été obtenus
La pharmacie et parapharmacie en ligne LaSante.net informe ses clients d'un accès non autorisé survenu le 27 juillet 2026 : noms, adresses postales et e-mails consultés, sans exposition établie des données bancaires.
LaSante.net
· France 👥 Nombre de personnes concernées non communiqué par l'entreprise. Volume exclu du compteur cumulé faute de chiffre disponible🎯 Accès non autorisé d'un tiers aux informations de profil des comptes clients ; mode opératoire non communiqué par l'entreprise
Le courtier en crédit Prelys Courtage confirme une compromission de dossiers clients revendiquée par le rançongiciel Anubis fin juillet 2026 : pièces d'identité, relevés de compte, bulletins de paie et justificatifs de domicile exposés.
Prelys Courtage
· France 👥 Nombre de personnes concernées non communiqué, les investigations étant toujours en cours selon le courtier ; l'attaquant revendique environ 29 Go de données. Volume exclu du compteur cumulé faute de chiffre confirmé🎯 Rançongiciel avec exfiltration de données, revendiqué par le groupe Anubis sur son site d'extorsion ; l'entreprise évoque une « compromission » de données de dossiers clients sans qualifier publiquement le mode opératoire
La FFE confirme le 11 juillet 2026 une fuite de données de licenciés après le piratage d'un espace de stockage chez OVH ; un attaquant revendique 16 Go de données et plus de 960 000 contacts.
Fédération Française d'Équitation (FFE)
· France 👥 Plus de 960 000 contacts revendiqués par l'attaquant dans une base de gestion Odoo, un chiffre à ne pas lire comme un nombre de personnes physiques uniques (doublons, contacts de clubs, fournisseurs et structures possibles) ; la même revendication évoque plus de 14 000 clients uniques et plus de 10 000 numéros de licence ; la FFE n'a communiqué aucun chiffre🎯 Piratage d'un espace de stockage hébergé chez OVH, confirmé par la FFE. L'attaquant revendique l'accès à deux buckets S3, à la base Drupal du site (comptes et mots de passe hachés) et à une base Odoo PostgreSQL de gestion des contacts et licences, périmètre non confirmé officiellement
Un cybercriminel revendique le 9 juillet 2026 la diffusion de 59 932 enregistrements de licenciés handisport : identité, famille, honorabilité, assurance et références de paiement. Aucune confirmation officielle.
Fédération Française Handisport
· France 👥 59 932 enregistrements revendiqués par l'attaquant, non confirmés officiellement ; ce chiffre correspond à des enregistrements de la base (licences, saisons, doublons possibles) et pas nécessairement à autant de personnes physiques distinctes🎯 Non déterminé officiellement. La source principale évoque, sans confirmation technique, l'hypothèse d'un accès plus large que la seule consultation de l'extranet handisport.org (par exemple un accès administrateur)
Le tracker Bonjour la fuite référence le 6 juillet 2026 une exposition de fiches clients du réseau Espaces Atypiques via le logiciel Immofacile, dans le sillage de la compromission de l'éditeur Orisha.
Espaces Atypiques
· France 👥 Aucun chiffre propre à l'enseigne ; le volume d'environ 171 000 personnes revendiqué par ChimeraZ concerne l'ensemble de l'écosystème du logiciel Immofacile, toutes agences confondues🎯 Fuite chez un prestataire tiers : le logiciel métier immobilier Immofacile (groupe Orisha), dont l'éditeur a confirmé un incident de sécurité détecté le 13 mai 2026. Le vecteur d'accès initial n'est pas détaillé publiquement, et le lien technique entre Espaces Atypiques et ce logiciel n'a pas pu être vérifié indépendamment
Le 2 juillet 2026, des cybercriminels mettent en vente une base attribuée à IAD Group : 3,8 millions de personnes et 966 Go de documents revendiqués, sans confirmation du réseau immobilier.
IAD Group
· France 👥 3 834 564 personnes revendiquées par les attaquants dans la base mise en vente (2 041 743 lignes, plus 397 779 documents PDF) ; aucun chiffre confirmé par IAD Group🎯 Inconnu pour IAD Group. Pour la campagne ChimeraZ dans son ensemble, ZATAZ décrit un mode opératoire fondé sur des identifiants volés par infostealers puis l'exploitation de faiblesses internes (réutilisation de mots de passe, API mal protégées), sans que ce vecteur soit établi pour IAD
Un attaquant revendique le 1er juillet 2026 la diffusion de 284 461 profils de membres de la Fédération Française de Bridge, obtenus via une faille IDOR. Aucune confirmation officielle de la fédération.
Fédération Française de Bridge (FFBridge)
· France 👥 284 461 profils de membres revendiqués par l'attaquant (licenciés actuels ou anciens), un volume à rapprocher des environ 77 000 licenciés actifs recensés publiquement pour la saison 2023-2024 : l'écart suggère un historique pluriannuel de licenciés, pas un effectif instantané ; aucun chiffre confirmé par la fédération🎯 Faille de type IDOR (Insecure Direct Object Reference) revendiquée par l'attaquant sur l'application ffbridge.fr : identifiants séquentiels, absence de contrôle d'accès sur des comptes à privilèges et absence de limitation de débit, vecteur non confirmé officiellement
L'INSEE confirme le 26 juin 2026 le piratage de son annuaire interne, détecté le 19 juin : identité et coordonnées professionnelles d'environ 12 800 agents, anciens agents et membres des corps.
INSEE (Institut national de la statistique et des études économiques)
· France 👥 Environ 12 800 agents, anciens agents et membres des corps de l'INSEE selon le communiqué officiel ; l'auteur de la revendication avance 12 796 enregistrements🎯 Attaque informatique contre l'annuaire interne des agents (trombi.insee.fr) ; mode d'intrusion non communiqué
Le ministère des Sports confirme le 26 juin 2026 l'exfiltration de données du Compte Asso, plateforme des subventions associatives : identités, contacts et coordonnées bancaires complètes (IBAN, BIC).
Ministère des Sports, de la Jeunesse et de la Vie associative (plateforme Le Compte Asso)
· France 👥 227 000 enregistrements revendiqués par le vendeur (mise en vente à 300 dollars) ; le ministère confirme l'exfiltration mais aucun chiffre officiel, et le nombre de personnes uniques reste indéterminé (la plateforme compte plus de 750 000 comptes ouverts). Volume exclu du compteur cumulé faute de confirmation.🎯 Cyberattaque ayant conduit à l'exfiltration de données de l'application de gestion des demandes de subvention Le Compte Asso ; vecteur technique non communiqué
Trenitalia notifie fin juin 2026 une fuite de données de voyageurs (identité, coordonnées, trajets) détectée le 25 octobre 2025. Identifiants et données bancaires épargnés selon l'opérateur.
Trenitalia (dont Trenitalia France), groupe Ferrovie dello Stato
· Italie 👥 Aucun chiffre officiel communiqué par Trenitalia ; la presse italienne avance des estimations contradictoires et non sourcées, de quelques milliers à plusieurs millions de passagers, à traiter comme non vérifiées🎯 Accès non autorisé aux systèmes associés à la billetterie par des acteurs externes non identifiés, constaté par Trenitalia elle-même ; la technique d'intrusion n'est précisée par aucune source et aucune revendication publique n'a été identifiée
Syadem, éditeur de MesVaccins.net, confirme une intrusion signalée le 15 juin 2026 : e-mail, état civil, NIR et données vaccinales de tous les titulaires d'un carnet numérique potentiellement copiés.
MesVaccins.net / Syadem
· France 👥 Tous les titulaires d'un carnet de vaccination numérique potentiellement concernés selon Syadem (aucun décompte officiel ; la plateforme revendique plus de 3 millions de carnets créés, chiffre d'usage qui ne vaut pas décompte de victimes). Volume exclu du compteur cumulé faute de chiffre confirmé.🎯 Accès non autorisé aux systèmes de Syadem par un tiers, avec copie de données ; vecteur précis non communiqué. Les mesures de remédiation annoncées (reconstruction complète de l'infrastructure de production, sécurisation des accès au dépôt de code) suggèrent une compromission touchant l'environnement de développement, sans confirmation officielle
La FSPN confirme une cyberattaque sur son logiciel de gestion des licenciés (19-20 juin 2026) : identités, grades, matricules et certificats médicaux de policiers publiés sur un forum cybercriminel.
Fédération Sportive de la Police Nationale (FSPN)
· France 👥 224 076 enregistrements revendiqués par l'attaquant sur 14 ans de données (2012-2026), ramenés à environ 71 304 personnes uniques après déduplication selon l'analyse de Cyberattaque.org ; aucun chiffre officiellement confirmé par la FSPN🎯 Accès non autorisé au logiciel de gestion des licenciés (plateforme Sportpolice.fr). L'attaquant revendique une vulnérabilité de type IDOR avec des identifiants protégés par un simple hachage MD5, vecteur non confirmé officiellement
Le négociant en or achat-or-et-argent.fr (groupe Godot & Fils) notifie ses clients mi-juin 2026 d'un accès non autorisé : identité, contacts et historique de commandes potentiellement exposés.
Achat Or et Argent (achat-or-et-argent.fr, groupe Godot & Fils)
· France 👥 Volume non communiqué : ni l'entreprise ni les trackers n'avancent de chiffre, et aucune revendication d'attaquant n'est connue🎯 Accès non autorisé à une partie du système d'information, détecté puis interrompu selon l'entreprise ; vecteur technique non communiqué
Le 10 juin 2026, le cybercriminel ChimeraZ revendique une base CapiFrance de 3,6 millions d'enregistrements couvrant 785 558 personnes : identité, coordonnées, transactions et signatures électroniques.
CapiFrance
· France 👥 785 558 personnes revendiquées par l'attaquant dans sa publication initiale du 10 juin 2026 (environ 3,6 millions d'enregistrements, 3 Go) ; une revendication élargie du 24 juin avance un chiffre différent de 1,95 million de contacts pour la seule marque CapiFrance, au sein d'un périmètre de groupe mal cadré par la source ; aucun chiffre confirmé officiellement🎯 Non établi : aucune source ne documente le vecteur d'attaque, FrenchBreaches le qualifiant explicitement d'inconnu. La base revendiquée est structurée comme un export du CRM du réseau (fichiers affaires, contacts, transactions, signatures, interlocuteurs)
Au Vieux Campeur confirme une cyberattaque détectée le 2 juin 2026 ; le groupe ransomware The Gentlemen revendique le 1er juillet l'exfiltration de données internes, clients et fournisseurs, sans confirmation de l'enseigne.
Au Vieux Campeur
· France 👥 Volume inconnu : l'enseigne ne confirme aucune compromission de données clients et la revendication du groupe The Gentlemen ne comporte ni chiffre ni échantillon vérifié publiquement🎯 Inconnu ; attaque revendiquée le 1er juillet 2026 par le groupe ransomware The Gentlemen sur son site de fuite, sans détail public sur le vecteur initial
La DINUM confirme le 8 juin 2026 une compromission de Tchap, messagerie de l'État, via un compte usurpé. Impact limité aux salons publics ; volumes revendiqués (73 467 agents) non validés.
Tchap (messagerie de l'État, DINUM)
· France 👥 73 467 comptes d'agents revendiqués par l'auteur ; la DINUM n'a pas validé ce volume et limite l'impact aux salons publics (analyse des journaux en cours). Chiffre exclu du compteur cumulé faute de confirmation.🎯 Usurpation d'un compte utilisateur légitime, confirmée par la DINUM. L'auteur revendique une entrée par ingénierie sociale via un compte lié à l'Éducation nationale, puis l'exploitation d'un annuaire utilisateur sans limitation de débit, d'endpoints de téléchargement de fichiers et de mécanismes d'énumération de comptes pour parcourir les salons publics interministériels. Aucune atteinte au chiffrement de bout en bout (Olm/Megolm)
La fintech d'épargne responsable Goodvest confirme une cyberattaque détectée le 2 juin 2026 : identité, revenus, patrimoine et encours d'une partie de ses clients exposés via une API compromise.
Goodvest
· France 👥 Nombre de clients concernés non communiqué : Goodvest évoque une partie de sa clientèle, informée individuellement par e-mail🎯 Exploitation d'une clé d'accès technique et utilisation automatisée d'une API de données, avec anonymisation des connexions malveillantes ; l'outil visé hébergeait des données clients, sans accès au site public ni aux comptes
L'opérateur de tiers payant santé Almerys confirme le 25 mai 2026 une fuite exposant plus de 44 millions de lignes et 15,4 millions de numéros de Sécurité sociale.
Almerys
· France 👥 env. 15,4 millions de NIR uniques (fichier de plus de 44 millions de lignes)🎯 Usurpation d'identité d'un compte donnant accès au portail de prise en charge (PEC) : compte « gestionnaire » selon les communiqués de mutuelles, compte d'un collaborateur d'Almerys ou d'un professionnel de santé selon d'autres sources
Fuite alléguée chez Optic 2000 : un acteur malveillant revendique près de 8 000 factures PDF et des données du portail de commande des magasins franchisés.
Optic 2000 (groupe Gadol Optic 2000)
· France 👥 Volume de personnes non quantifié ; environ 7 898 factures PDF et un fichier de données de 7 898 lignes revendiqués, concernant principalement des magasins franchisés et leurs commandes🎯 Selon la revendication, exploitation d'une faille de type IDOR (référence directe non sécurisée à un objet) sur un système de génération de PDF d'un portail interne destiné aux magasins franchisés, accessible via un sous-domaine. La modification d'un identifiant numérique dans l'URL aurait permis d'accéder aux documents d'autres franchisés. Non vérifié de façon indépendante.
Une base de 5 924 215 fiches clients attribuée à Atol Les Opticiens est mise en vente sur un forum cybercriminel (mai 2026). Revendication non confirmée par Atol.
Atol Les Opticiens
· France 👥 5 924 215 fiches clients revendiquées (~1,68 M emails uniques), non confirmé par Atol🎯 inconnu (base mise en vente sur un forum cybercriminel)
Le groupe Pierre & Vacances-Center Parcs confirme une fuite de données via sa plateforme de réservation, jusqu'à 4,5 millions de clients exposés, notifiée à la CNIL.
Pierre & Vacances-Center Parcs (marques Pierre & Vacances, Center Parcs, Maeva)
· France 👥 1,6 million de réservations confirmées par le groupe ; jusqu'à 4,5 millions de profils clients actuels et anciens selon le pirate et repris par le groupe🎯 Faille de contrôle d'accès de type IDOR (Insecure Direct Object Reference) sur la plateforme de réservation, permettant l'accès à des données via la manipulation d'identifiants
Fuite massive des données Canvas (Instructure) revendiquée par ShinyHunters en mai 2026, touchant des établissements aux Pays-Bas, en Suède et au Royaume-Uni.
Instructure (Canvas LMS)
· États-Unis (éditeur) ; Pays-Bas, Suède, Royaume-Uni (établissements touchés) 👥 jusqu'à 275 millions d'utilisateurs revendiqués (3,65 To), ~8 800 à 9 000 établissements🎯 ransomware / extorsion (exploitation d'une vulnérabilité des systèmes de production, groupe ShinyHunters)
Une fuite attribuée à Easy Cash, issue d'un compte compromis, exposerait plus de 17 millions d'entrées clients (nom, adresse, date de naissance) diffusées sur un forum.
Easy Cash
· France 👥 Plus de 17 millions d'entrées revendiquées (fourchette ~14,2 M + ~3,6 M selon les bases), nombre de personnes distinctes non vérifié🎯 Compte interne ou partenaire compromis (allégation ; scraping initialement évoqué puis écarté par les analystes)
Une faille IDOR sur le portail moncompte.ants.gouv.fr a exposé les données de 11,7 millions de comptes (jusqu'à 19 millions revendiqués), confirmé par le ministère de l'Intérieur en avril 2026.
ANTS / France Titres (Agence nationale des titres sécurisés)
· France 👥 11,7 millions de comptes (officiel) ; jusqu'à 19 millions revendiqués par l'attaquant🎯 faille API (IDOR / Insecure Direct Object Reference)
La Fédération Française de Basket-Ball a confirmé un accès non autorisé exposant les données de jusqu'à 2 millions de licenciés et 900 000 représentants légaux.
Fédération Française de Basket-Ball (FFBB)
· France 👥 Jusqu'à 2 millions de licenciés et environ 900 000 représentants légaux🎯 Accès frauduleux à un compte utilisateur, exploitation détournée du module de gestion des éditions de l'outil fédéral de gestion des licenciés
Le ministère de l'Éducation nationale a officialisé le 14 avril 2026 une cyberattaque ayant exfiltré des données d'élèves via la plateforme ÉduConnect.
Ministère de l'Éducation nationale (plateforme ÉduConnect)
· France 👥 Chiffre non confirmé par le ministère ; sources presse évoquent jusqu'à 3,5 millions d'élèves, le groupe DumpSec revendiquant une base d'environ 3,12 millions de comptes🎯 Usurpation du compte d'un personnel habilité, puis exploitation d'une faille technique d'un service annexe de gestion des comptes ÉduConnect, identifiée en décembre 2025 et exploitée peu avant sa correction
Booking.com a confirmé le 13 avril 2026 un accès non autorisé aux données de réservation de clients, dont des voyageurs européens, déjà exploitées pour des arnaques.
Booking.com
· Pays-Bas 👥 Nombre non communiqué par Booking.com (« un certain nombre de réservations »)🎯 inconnu (non communiqué par Booking.com)
Le fournisseur d'e-mailing français Alinto a exposé un cluster Elasticsearch mal configuré : plus de 40 millions de logs SMTP et 4,5 millions d'adresses e-mail uniques.
Alinto
· France 👥 ~4,5 millions d'adresses e-mail uniques (sur plus de 40 millions de logs SMTP)🎯 mauvaise config
Une base d'environ 2,7 millions de profils alumni issus de la plateforme française AlumnForce a été mise en vente en avril 2026, plusieurs établissements clients confirmant l'incident.
AlumnForce
· France 👥 Environ 2,7 millions de profils revendiqués par l'attaquant (dont environ 1,83 million d'adresses email uniques et environ 651 000 numéros de téléphone), chiffres non confirmés officiellement par AlumnForce🎯 Compromission alléguée de la plateforme SaaS AlumnForce, base de données mise en vente par un acteur malveillant sur un forum cybercriminel
Cyberattaque sur le revendeur allemand de produits reconditionnés asgoodasnew : jusqu'à 1,8 million de comptes clients potentiellement exposés via une faille d'un module de paiement.
asgoodasnew
· Allemagne 👥 jusqu'à environ 1,8 million de comptes🎯 faille API / module de paiement tiers (lié à la plateforme Oxid eShop)
Une base de données du e-commerçant français Le Petit Vapoteur, mise en vente fin mars 2026, exposerait jusqu'à 3,3 millions de clients et des employés.
Le Petit Vapoteur
· France 👥 Jusqu'à 3,3 millions de clients et environ 599 employés revendiqués par le pirate ; l'entreprise estime moins de 2 % de sa base réellement concernée🎯 Accès non autorisé à la base de données, mise en vente d'une archive sur un forum cybercriminel par un acteur sous le pseudonyme « underus » / « undef »
Cerballiance signale une intrusion chez un prestataire tiers exposant état civil, identifiants, comptes rendus d'analyses et numéros de Sécurité sociale de patients en France.
Cerballiance
· France 👥 Nombre de victimes non communiqué (Cerballiance revendique environ 28 millions de patients par an et plus de 600-700 laboratoires)🎯 sous-traitant
Le groupe ShinyHunters revendique le vol de 350 Go de données sur Europa.eu : emails confidentiels, comptes SSO et clés cryptographiques de la Commission européenne.
Commission européenne (plateforme Europa.eu)
· Union européenne 👥 350 Go de données🎯 Intrusion cloud (ShinyHunters)
Une cyberattaque visant une application de gestion du Sgec a exposé en mars 2026 les données d'environ 1,5 million d'élèves, familles et enseignants.
Secrétariat général de l'Enseignement catholique (Sgec)
· France 👥 Environ 1,5 million de personnes (estimation rapportée par la presse) : environ 800 000 élèves du premier degré, leurs familles et environ 40 000 enseignants🎯 Compromission d'une application interne de gestion des établissements du premier degré sous tutelle du Sgec
La Fédération Française de Gymnastique confirme une cyberattaque via l'outil FFGym Licence exposant les données d'environ 2,9 millions de licenciés et anciens licenciés.
Fédération Française de Gymnastique (FFGym)
· France 👥 Environ 2,9 millions de licenciés et anciens licenciés (historique depuis 2004)🎯 Compte club compromis, probablement par hameçonnage, donnant accès à l'outil de gestion FFGym Licence
La Fédération française des Banques Alimentaires confirme un incident de sécurité touchant des données de 659 658 familles, soit près de 1,46 million de personnes accompagnées.
Fédération française des Banques Alimentaires (FFBA)
· France 👥 659 658 familles, soit 1 462 485 personnes accompagnées (selon les revendications de l'auteur, étendue exacte non encore établie)🎯 Données issues d'une application de gestion des stocks et de distribution de l'aide alimentaire, utilisée par les associations partenaires et les CCAS. Selon la FFBA, l'application ne contient ni donnée bancaire ni information sur des moyens de paiement. Données revendiquées et mises en vente par une personne se présentant comme un hacker.
Le tracker torrent francophone YggTorrent a fermé après un piratage exposant jusqu'à 6,6 millions de comptes et des données bancaires alléguées.
YggTorrent
· France 👥 Jusqu'à 6,6 millions de comptes revendiqués ; 54 776 cartes bancaires alléguées🎯 Intrusion via un service SphinxQL exposé sans authentification sur un serveur de pré-production, puis pivot vers d'autres serveurs (selon les revendications de l'auteur)
Fuite de plus de 1,4 million de commandes Florajet (noms, adresses, téléphones, messages personnels), révélée le 3 mars 2026 et mise en vente sur des forums.
Florajet
· France 👥 Plusieurs centaines de milliers à environ 1 million de personnes (chiffres revendiqués : 1 457 473 commandes, environ 952 000 numéros de téléphone uniques, environ 1,2 million d'adresses)🎯 Accès non autorisé à l'outil BtoB de Florajet, exploitation alléguée d'identifiants d'un fleuriste partenaire (chaîne de sous-traitance)
L'Union nationale du sport scolaire confirme une fuite de données issues de son outil OPUSS, touchant des élèves licenciés, avec mise en vente de photos sur le darknet.
Union nationale du sport scolaire (UNSS)
· France 👥 Environ 1,2 million de licenciés annuels potentiellement concernés ; les agrégateurs évoquent jusqu'à 1 557 000 photos d'élèves exposées, chiffre non validé par l'UNSS🎯 Compromission et exfiltration de données depuis OPUSS, l'outil national de gestion des licences de l'UNSS, suivies d'une mise en vente sur le darknet par un groupe se présentant sous le nom DumpSec
Le piratage du logiciel MonLogicielMedical (Cegedim Santé) expose les données de 11 à 15 millions de patients français, l'une des plus graves fuites de santé en France.
Cegedim Santé
· France 👥 11 à 15 millions de patients pour les données administratives ; environ 164 000 personnes présenteraient en outre un risque sur des données sensibles. Près de 1 500 médecins touchés sur les quelque 3 800 utilisateurs de MLM en France🎯 Sous-traitant compromis : requêtes applicatives anormales passées via les comptes de médecins utilisateurs du logiciel MonLogicielMedical, permettant l'extraction illégale de données
La Fédération Française d'Athlétisme a annoncé en février 2026 une cyberattaque ayant exposé les données personnelles de ses licenciés. La CNIL a été saisie.
Fédération Française d'Athlétisme (FFA)
· France 👥 Plus de 300 000 licenciés actifs concernés selon la FFA ; les sources spécialisées évoquent une base d'environ 11 millions d'enregistrements personnels cumulés sur plusieurs années, dont plusieurs millions de mots de passe (chiffres non confirmés officiellement)🎯 Accès non autorisé au logiciel de gestion des données des licenciés ; les sources spécialisées évoquent une extraction via accès SQL (non confirmé officiellement)
La CFDT confirme le 18 février 2026 une cyberattaque ayant entraîné l'exfiltration de données personnelles d'adhérents, dont l'appartenance syndicale.
CFDT (Confédération française démocratique du travail)
· France 👥 Environ 640 000 adhérents actifs concernés, jusqu'à 1,4 million de fiches revendiquées par l'attaquant (incluant probablement des données d'anciens adhérents)🎯 Exfiltration de données après compromission d'un serveur applicatif. La piste d'une vulnérabilité dans un outil de partage de fichiers (type CentreStack de Gladinet) et une revendication par le groupe Cl0p sont évoquées par la presse mais non confirmées officiellement par la CFDT.
La DGFiP a confirmé un accès illégitime au FICOBA exposant les données de 1,2 million de comptes bancaires de titulaires résidant en France, via l'usurpation des identifiants d'un agent.
Direction générale des Finances publiques (DGFiP), FICOBA (Fichier national des comptes bancaires)
· France 👥 1,2 million de comptes bancaires (soit moins de 1 % des coordonnées enregistrées dans le fichier)🎯 usurpation des identifiants d'un agent (compte légitime compromis)
Une base MongoDB non protégée du fournisseur de vérification d'identité IDMerit a exposé environ 1 milliard de fiches KYC dans 26 pays, dont la France et l'Allemagne.
IDMerit
· International (États-Unis ; données de 26 pays dont France, Allemagne, Italie) 👥 ~1 milliard de fiches au total (≈ 1 To) ; France ~53 millions, Allemagne ~61 millions, Italie ~53 millions🎯 mauvaise config (base MongoDB exposée sans authentification)
Un acteur revendique en février 2026 un vol de données clients d'axa.fr, mais la presse spécialisée doute fortement et Axa ne confirme aucun incident.
Axa (Axa France)
· France 👥 Jusqu'à 8 millions d'enregistrements clients revendiqués par l'auteur, chiffre non vérifié et contesté🎯 Revendication de vol de base de données et d'accès interne publiée sur un forum de fuites, avec demande de rançon
Fuite de données chez l'opérateur télécom néerlandais Odido : environ 6,2 millions de clients exposés (noms, adresses, IBAN, date de naissance) après une attaque attribuée à ShinyHunters.
Odido
· Pays-Bas 👥 environ 6,2 millions de clients (chiffres revendiqués par les attaquants plus élevés)🎯 vishing
En janvier 2026, un sous-traitant du service client de ManoMano a été compromis, exposant nom, e-mail, téléphone et échanges SAV de clients. Un pirate revendique 37,8 M de comptes.
ManoMano
· France 👥 jusqu'à 37,8 millions de comptes (chiffre revendiqué par le pirate, non confirmé par ManoMano)🎯 sous-traitant
Le groupe ShinyHunters revendique le vol de plus de 10 millions d'enregistrements liés à Hinge, OkCupid et Match.com via un accès Okta/AppsFlyer. Match Group confirme un incident.
Match Group (Hinge, OkCupid, Match.com, Meetic, Tinder)
· États-Unis (groupe), utilisateurs UE/France concernés 👥 Plus de 10 millions d'enregistrements revendiqués ; échantillons vérifiés évoquant environ 2 millions d'identifiants publicitaires (MAID) et environ 85 000 adresses e-mail🎯 phishing (vishing) → compromission identifiants Okta SSO → accès plateforme analytique AppsFlyer (origine AppsFlyer contestée)
La Fédération Française de Natation a subi un vol de données sur sa plateforme Extranat, exposant l'état civil et les coordonnées de ses licenciés.
Fédération Française de Natation (FFN)
· France 👥 Plus de 400 000 licenciés selon la presse (chiffre non précisé dans le communiqué officiel)🎯 Intrusion informatique sur la plateforme de gestion administrative Extranat avec vol de données. Le mode opératoire précis n'a pas été détaillé publiquement.
Une base de données clients O'Tacos, jusqu'à 29 millions de profils, aurait été mise en vente sur un forum fin janvier 2026. Incident non confirmé officiellement.
O'Tacos
· France 👥 Entre 10 et 29 millions de profils selon les sources (10 millions avec identité complète, 29 millions d'enregistrements au total)🎯 Extraction et mise en vente d'une base de données clients sur un forum cybercriminel ; les données proviendraient du programme de fidélité et de l'application mobile
La Fédération Française de Golf a été victime d'une cyberattaque exposant les données de centaines de milliers de licenciés, révélée le 23 janvier 2026.
Fédération Française de Golf (ffgolf)
· France 👥 Environ 450 000 à 500 000 licenciés selon la fédération et la presse, jusqu'à 1,46 million d'enregistrements selon le jeu de données diffusé sur un forum cybercriminel (chiffre non confirmé officiellement)🎯 Accès non autorisé à une base de données centrale (connexion non autorisée détectée par la fédération)
La CNIL sanctionne France Travail de 5 M€ le 22 janvier 2026 pour défaut de sécurité ayant permis l'exfiltration des données de 36,8 millions de personnes.
France Travail (ex-Pôle Emploi)
· France 👥 36,8 millions (36 820 828)🎯 phishing / ingénierie sociale (usurpation de comptes conseillers CAP Emploi)
Cyberattaque contre le guichet unique des validations de la FNC le 20 janvier 2026 : données d'environ un million de chasseurs exposées et mises en vente.
Fédération Nationale des Chasseurs (FNC), avec implication évoquée de l'Office Français de la Biodiversité (OFB)
· France 👥 Environ 1 050 000 à 1 400 000 chasseurs et personnes liées à la chasse (1 048 991 individus uniques confirmés)🎯 Accès non autorisé à l'espace adhérents du guichet unique des validations des permis de chasser
Une base de 72,7 millions d'adresses email clients d'Under Armour, issue d'une attaque ransomware Everest, a été publiée sur un forum pirate en janvier 2026.
Under Armour
· États-Unis 👥 Environ 72,7 millions d'adresses email uniques exposées, sur un jeu de plus de 191 millions d'enregistrements🎯 Attaque par ransomware (groupe Everest), puis publication de la base volée sur un forum pirate après refus de rançon
Relais Colis confirme une fuite de données clients via un prestataire technique, exposant noms, adresses, e-mails et téléphones de millions d'utilisateurs en France.
Relais Colis
· France 👥 Jusqu'à environ 10 millions d'enregistrements évoqués (volume non confirmé officiellement par Relais Colis)🎯 Compromission d'un prestataire technique (chaîne d'approvisionnement), accès frauduleux à des données clients
La Fédération Française de Volley a confirmé un acte de cybermalveillance exposant des données de licenciés, dont des pièces d'identité, révélé en janvier 2026.
Fédération Française de Volley (FFVolley)
· France 👥 Entre environ 326 000 enregistrements (un fichier diffusé) et jusqu'à 1,2 million de licenciés selon les revendications des chercheurs, chiffres non validés par la fédération🎯 Intrusion dans le système d'information de la fédération avec exfiltration de la base de données, puis mise en vente sur un forum cybercriminel (BreachForums). Revendication attribuée au groupe DumpSec.
Une base de 3,7 millions d'enregistrements attribuee a LBP Granville (lbp-tm.fr), incluant des donnees de mineurs, serait mise en vente sur un forum cybercriminel.
SAS LBP Granville (marque LBP, lbp-tm.fr)
· France 👥 Environ 3,69 millions d'enregistrements allégués (3 691 752 lignes selon l'annonce), chiffre non vérifié indépendamment🎯 Exfiltration alléguée via un portail web applicatif de la société (page d'authentification sur un sous-domaine de lbp-tm.fr), selon l'annonce du vendeur. Mécanisme exact non confirmé.
La CNIL a infligé le 13 janvier 2026 une amende record de 42 M€ à Free et Free Mobile pour une violation de 2024 ayant exposé 24 millions de contrats d'abonnés, dont des IBAN.
Free et Free Mobile (groupe Iliad)
· France 👥 24 millions de contrats d'abonnés🎯 Intrusion du système d'information (octobre 2024) ; manquements de sécurité retenus par la CNIL : authentification VPN insuffisante et détection des anomalies inefficace
Eurail B.V., gestionnaire des pass Eurail/Interrail, a révélé en janvier 2026 une fuite touchant 308 777 voyageurs : identité, passeport et coordonnées exposés.
Eurail B.V.
· Pays-Bas 👥 308 777 voyageurs🎯 Accès non autorisé aux systèmes informatiques / infrastructure cloud (vecteur initial non communiqué par Eurail). Un acteur malveillant a ultérieurement revendiqué le vol de 1,3 To depuis des instances AWS S3, Zendesk et GitLab (allégation non confirmée).
Près de 2,8 millions de profils de candidats de la CVthèque HelloWork mis en vente fin décembre 2025, via un compte recruteur détourné selon la plateforme.
HelloWork
· France 👥 Environ 2,8 millions de profils selon l'annonce de mise en vente ; HelloWork n'a pas communiqué de chiffre officiel🎯 Utilisation frauduleuse d'un compte disposant d'un accès « Recruteur » à la CVthèque (extraction de données), selon HelloWork ; pas d'intrusion système revendiquée. La presse spécialisée évoque un débat scraping vs intrusion.
Le Groupe Atalian, prestataire de services aux entreprises, a subi un rançongiciel le 6 décembre 2025 avec exfiltration de données RH et bancaires, revendiqué par Qilin.
Groupe Atalian
· France 👥 Nombre de personnes concernées non communiqué publiquement ; Atalian évoque un faible pourcentage des données stockées sur les espaces concernés🎯 Rançongiciel (double extorsion), revendiqué par le groupe Qilin
La CNIL inflige 1,7 M€ à NEXPUBLICA FRANCE pour défaut de sécurité de son logiciel PCRM, ayant exposé des données de santé d'usagers de MDPH.
NEXPUBLICA FRANCE (anciennement INETUM SOFTWARE FRANCE)
· France 👥 environ 14 170 personnes pour l'une des violations (plusieurs milliers d'usagers de MDPH concernés)🎯 mauvaise config
Une base liée au réseau Pickup de Chronopost, exposant environ 860 000 clients, a été publiée sur un forum pirate en décembre 2025.
Chronopost / Pickup (Groupe La Poste)
· France 👥 Environ 860 000 clients revendiqués (chiffre de l'attaquant, non confirmé officiellement ; certaines sources évoquent près de 628 000 adresses e-mail uniques)🎯 Scraping des systèmes Pickup (interfaces web / API) selon les déclarations de l'attaquant
Le ministère des Sports a annoncé en décembre 2025 l'exfiltration de données liées au dispositif Pass'Sport, touchant environ 3,5 millions de foyers en France.
Ministère des Sports, de la Jeunesse et de la Vie associative (dispositif Pass'Sport)
· France 👥 Environ 3,5 millions de foyers concernés (chiffre communiqué par le ministère, exprimé en foyers et non en individus)🎯 Exfiltration de données depuis un système d'information du ministère lié au dispositif Pass'Sport. Vecteur technique précis non communiqué officiellement.
SFR confirme une intrusion le 17 décembre 2025 dans un outil de gestion des raccordements fixe, exposant noms, adresses, emails et téléphones de clients.
SFR (Altice)
· France 👥 non précisé par SFR ; jusqu'à 17,4 millions de lignes (~287 Go) selon l'allégation de l'attaquant🎯 Intrusion sur un outil interne de gestion des raccordements fibre
Une intrusion révélée en décembre 2025 a exposé courriels et données de profil d'environ 29,8 millions de comptes SoundCloud, soit près de 20 pour cent des utilisateurs.
SoundCloud
· Allemagne 👥 Environ 29,8 millions de comptes (près de 20 pour cent de la base utilisateurs mondiale), incluant des utilisateurs européens et français🎯 Accès non autorisé à un tableau de bord d'un service annexe ayant permis de relier des adresses e-mail à des informations de profil publiques. Extorsion par le groupe ShinyHunters, suivie d'attaques par déni de service.
Pornhub a alerté ses utilisateurs Premium d'une exposition de données analytiques liée au prestataire tiers Mixpanel, revendiquée par le groupe ShinyHunters.
Pornhub (Aylo)
· International (siège du groupe Aylo hors UE) 👥 Environ 200 millions d'enregistrements revendiqués (201 211 943 selon les attaquants), nombre d'utilisateurs uniques non confirmé🎯 Compromission d'un prestataire tiers d'analytics (Mixpanel) via hameçonnage par SMS (smishing), selon les sources ; origine contestée par Mixpanel
Décembre 2025 : un compte agent compromis a exposé via ProConnect les données d'environ 1,6 million de jeunes suivis par les missions locales.
France Travail et Union nationale des Missions Locales
· France 👥 environ 1,6 million de jeunes🎯 compte agent compromis (usurpation d'identité via ProConnect)
Le réseau de soins optique Itelis, partenaire d'AXA, Malakoff Humanis et AG2R, a subi une cyberattaque exposant noms, dates de naissance et numéros de sécurité sociale d'assurés français.
Itelis
· France 👥 Estimation non confirmée officiellement, environ 1,6 million de bénéficiaires selon la presse spécialisée, volume non communiqué par Itelis🎯 Accès non autorisé à la plateforme de remboursement via l'usurpation des accès légitimes d'un opticien partenaire, suivi d'une exfiltration de données de prise en charge
La Fédération Française de Football a annoncé le 26 novembre 2025 un vol de données de licenciés via le logiciel Footclubs, après compromission d'un compte autorisé.
Fédération Française de Football (FFF)
· France 👥 Nombre exact non confirmé ; la FFF compte plus de 2 millions de licenciés potentiellement concernés (chiffres cités entre 2 et 2,3 millions)🎯 Compromission d'un compte autorisé donnant accès au logiciel de gestion Footclubs
Le service Pajemploi de l'Urssaf a subi un vol de données détecté le 14 novembre 2025, touchant jusqu'à 1,2 million de salariés de particuliers employeurs.
Urssaf (service Pajemploi)
· France 👥 jusqu'à 1,2 million🎯 inconnu
L'auto-école en ligne française Stych a confirmé en novembre 2025 une violation de données personnelles, une base d'environ 1,34 million d'enregistrements ayant ensuite été mise en vente sur un forum.
Stych (stych.fr)
· France 👥 Environ 1,34 million d'enregistrements clients revendiqués par le pirate (volume non confirmé officiellement)🎯 Non précisé publiquement ; exfiltration de base de données suivie d'une mise en vente sur forum cybercriminel
En octobre 2025, les données de près de 4 millions de comptes MyVidster, plateforme de partage de vidéos, ont été publiées sur un forum de pirates.
MyVidster
· États-Unis 👥 Environ 3,9 millions de comptes (chiffre cité : 3 864 364), part française ou européenne non documentée🎯 Publication d'une base de données sur un forum de piratage public
Une intrusion confirmée sur le système de gestion des licences de la FFTir a exposé l'état civil et les adresses de licenciés. Le ministre de l'Intérieur a établi devant l'Assemblée un lien avec des cambriolages visant des armes.
Fédération Française de Tir (FFTir)
· France 👥 Aucun décompte officiel unique. La couverture presse évoque de 274 000 à 275 000 licenciés actifs à la date de l'intrusion, d'autres sources distinguant environ 250 000 licenciés actifs et 750 000 anciens licenciés présents en base. Le potentiel de 300 000 personnes avancé par le vendeur en août 2026 correspond très vraisemblablement à l'effectif total atteint par la fédération dans l'intervalle, et non à un volume de données réellement extrait🎯 Intrusion sur le système de gestion des licences ITAC entre le 18 et le 20 octobre 2025, vecteur technique non détaillé publiquement. L'annonce d'août 2026 revendique de son côté une faille de contrôle d'accès de type IDOR qualifiée de partielle par le vendeur lui-même, sans lien technique établi avec l'intrusion initiale
Le distributeur de mode espagnol Mango a révélé en octobre 2025 une fuite de données de contact clients survenue chez un prestataire marketing externe.
Mango (Punto Fa, S.L.)
· Espagne 👥 Nombre non communiqué par Mango ; une source évoque environ 1 million de comptes (non confirmé officiellement)🎯 Accès non autorisé chez un prestataire de services marketing externe (chaîne d'approvisionnement)
Les données de 5,7 millions de clients Qantas, volées via une plateforme Salesforce tierce en juin 2025, ont été publiées sur le dark web en octobre 2025.
Qantas Airways
· Australie 👥 5,7 millions de clients🎯 sous-traitant (plateforme Salesforce tierce compromise par ingénierie sociale / vishing)
Fuite de 7,3 millions d'adresses e-mail et de données de fidélité de Vietnam Airlines via une plateforme tierce Salesforce, publiée en octobre 2025.
Vietnam Airlines
· Vietnam 👥 7,3 millions d'adresses e-mail uniques exposées (jusqu'à environ 23 millions d'enregistrements selon certaines estimations d'agrégateurs, non confirmées par la compagnie)🎯 Compromission d'un environnement Salesforce tiers dans le cadre de la campagne du groupe Scattered LAPSUS$ Hunters / ShinyHunters
Fuite chez le prestataire de support 5CA : environ 70 000 photos de pièces d'identité d'utilisateurs Discord exposées en octobre 2025, ainsi qu'emails et données de support.
Discord (prestataire tiers 5CA)
· États-Unis (Discord) / Pays-Bas (5CA), utilisateurs mondiaux dont UE et France 👥 environ 70 000 utilisateurs (photos de pièces d'identité) selon Discord ; le groupe d'attaquants revendique des chiffres bien supérieurs (jusqu'à 5,5 millions d'utilisateurs et 2,1 millions de pièces d'identité), non confirmés🎯 sous-traitant
La Fédération Française de Tennis de Table a confirmé une cyberattaque ayant permis l'extraction en masse de données personnelles de ses licenciés via un compte compromis.
Fédération Française de Tennis de Table (FFTT)
· France 👥 Nombre non communiqué officiellement, la base concernée regroupe les licenciés de la fédération (de l'ordre de 190 000 à 200 000 licenciés selon les chiffres publics, sans confirmation que tous soient touchés)🎯 Accès non autorisé via un compte utilisateur compromis, permettant une extraction en masse d'informations de la base de données des licenciés
Le groupe de luxe français Kering (Gucci, Balenciaga, Alexander McQueen) confirme une fuite de données clients attribuée à ShinyHunters via Salesforce, révélée en septembre 2025.
Kering (Gucci, Balenciaga, Alexander McQueen, Saint Laurent)
· France 👥 7,4 millions (revendication des attaquants, non confirmée par Kering)🎯 faille / phishing via portails Salesforce compromis
Cyberattaque de septembre 2025 contre des services numériques régionaux de santé (Normandie, Hauts-de-France). Données d'identité de patients dérobées via usurpation de comptes de soignants.
Agence Régionale de Santé (ARS) Normandie / Normand'e-Santé (GRADeS) et autres services numériques régionaux de santé
· France 👥 Nombre total non confirmé officiellement ; une dizaine d'espaces numériques régionaux de santé touchés. Cas documenté en Normandie : environ 1 122 patients des hôpitaux de Saint-Lô (1 107), Coutances (12) et Carentan (3) notifiés. Des chiffres bien plus élevés circulent via des agrégateurs mais ne sont pas confirmés.🎯 Usurpation d'identité de professionnels de santé permettant des accès illégitimes aux serveurs hébergeant les données d'identité des patients (comptes compromis)
Plus d'un million de comptes clients du distributeur de mode de luxe italien Giglio.com exposés en aout 2025, avec noms, adresses et téléphones.
GIGLIO.COM S.p.A. (Giglio)
· Italie 👥 Environ 1 026 468 adresses e-mail uniques (plus d'un million de comptes)🎯 Base de données mise en vente ou diffusée sur un forum de pirates ; vecteur d'intrusion initial non confirmé publiquement.
Rançongiciel sur Miljödata, fournisseur RH de ~80% des communes suédoises : données sensibles d'environ 1,5 million de personnes publiées sur le dark web. IMY enquête.
Miljödata AB
· Suède 👥 environ 1,5 million (chiffre IMY ; ~870 000 selon Have I Been Pwned)🎯 ransomware (via sous-traitant / chaîne d'approvisionnement)
En août 2025, Auchan signale une cyberattaque sur son programme de fidélité Waaoh exposant les données de plusieurs centaines de milliers de clients. CNIL notifiée.
Auchan
· France 👥 plusieurs centaines de milliers de clients (chiffre exact non communiqué)🎯 inconnu
En juillet 2025, le groupe Orange subit deux cyberattaques distinctes : 4 Go diffusés sur le dark web (gang Warlock) et 850 000 comptes Orange Belgium accédés.
Orange S.A. / Orange Belgium
· France / Belgique 👥 850 000 comptes clients (Orange Belgium) ; périmètre France non chiffré (~4 Go diffusés)🎯 faille système / ransomware (Warlock, SharePoint évoqué côté presse)
Air France et KLM ont révélé en août 2025 une fuite de données clients via une plateforme tierce de service client, liée à la campagne ShinyHunters visant Salesforce.
Air France-KLM (Air France et KLM)
· France / Pays-Bas (UE) 👥 non communiqué🎯 sous-traitant (plateforme tierce de service client) / ingénierie sociale visant Salesforce
Vol de données de santé chez Clinical Diagnostics NMDL (Eurofins), labo néerlandais de dépistage du cancer du col : au moins 715 000 participantes touchées en 2025.
Clinical Diagnostics NMDL (filiale d'Eurofins Scientific)
· Pays-Bas 👥 au moins 715 000 (jusqu'à ~941 000 selon les estimations)🎯 ransomware (groupe Nova)
Cyberattaque chez Bouygues Telecom révélée le 6 août 2025 : 6,4 millions de comptes clients exposés, dont coordonnées, état civil et IBAN. CNIL notifiée.
Bouygues Telecom
· France 👥 6,4 millions de comptes clients🎯 inconnu
5àSec, enseigne française de pressing, a subi en juillet 2025 un ransomware revendiqué par DragonForce, avec vol allégué de données clients en France et en Europe.
5àSec
· France 👥 Nombre non communiqué ; enseigne présente en France, Suisse, Luxembourg, Espagne et Portugal selon la revendication des attaquants🎯 Rançongiciel (double extorsion) attribué au groupe DragonForce
Louis Vuitton (LVMH) a subi en 2025 une fuite de données clients touchant le Royaume-Uni, l'Italie et la Suède : noms, coordonnées, dates de naissance exposés.
Louis Vuitton (groupe LVMH)
· Royaume-Uni, Italie, Suède (clients UE/Europe) ; incident multi-pays 👥 environ 419 000 clients (chiffre rapporté, tous pays confondus)🎯 Sous-traitant / base de données tierce compromise ; attribution alléguée au groupe d'extorsion ShinyHunters (non confirmée officiellement)
Un serveur mal configuré a exposé les données d'employés et franchisés polonais de McDonald's (noms, PESEL, passeports). L'UODO a infligé une amende de 4 022 773 EUR.
McDonald's Polska sp. z o.o.
· Pologne 👥 Nombre non communiqué (employés et personnel de franchisés en Pologne)🎯 mauvaise config
Le BfDI inflige 45 M EUR à Vodafone GmbH : défaut de contrôle d'agences partenaires (faux contrats) et failles d'authentification MeinVodafone exposant les profils eSIM.
Vodafone GmbH (Allemagne)
· Allemagne 👥 Nombre de clients touchés non communiqué par le BfDI🎯 sous-traitant
En mai 2025, Adidas a confirmé une fuite de données de contact de consommateurs via un prestataire tiers de service client, sans mots de passe ni données de paiement.
Adidas AG
· Allemagne 👥 non communiqué (base mondiale de consommateurs ayant contacté le support)🎯 sous-traitant
Hertz confirme une fuite de données clients liée à l'exploitation de failles zero-day du prestataire Cleo par le rançongiciel Cl0p, touchant aussi des clients de l'UE.
Hertz (Hertz Corporation, marques Hertz, Dollar, Thrifty)
· États-Unis (siège), avec clients touchés dans l'UE, au Royaume-Uni, au Canada, en Australie et en Nouvelle-Zélande 👥 Nombre total non communiqué par Hertz ; au moins 3 409 résidents de l'État du Maine déclarés officiellement, estimations de presse évoquant plus d'un million de personnes au niveau mondial (non confirmé)🎯 Exploitation de vulnérabilités zero-day (CVE-2024-50623 et CVE-2024-55956) de la plateforme de transfert de fichiers du prestataire Cleo par le groupe de rançongiciel Cl0p
Ransomware contre l'éditeur financier français Harvest fin février 2025 : données de clients MAIF et BPCE compromises, revendication par Run Some Wares.
Harvest SAS (impactant MAIF Solutions Financières et groupe BPCE)
· France 👥 env. 35 000 clients finaux (allégué) ; ~5 000 entreprises clientes de Harvest🎯 ransomware (via sous-traitant / hébergeur)
Environ 270 000 tickets de support de clients allemands de Samsung exposés en ligne via le prestataire Spectos, après réutilisation d'identifiants volés en 2021.
Fuite de données chez Intersport France révélée en mars-avril 2025 : environ 3,4 millions de clients exposés (identités, emails, adresses, données PayPal).
Intersport France
· France 👥 environ 3,4 millions (3 388 826 selon l'attaquant)🎯 Accès FTP compromis (serveur FTP Intersport ; un accès aurait été revendu fin 2024 selon ZATAZ)
Le réseau de contrôle technique Autosur (et sa marque Diagnosur) a subi en mars 2025 une fuite exposant les données de plusieurs millions de clients.
Autosur / Diagnosur
· France 👥 Estimations variables : 487 226 adresses e-mail uniques confirmées par Have I Been Pwned, sur un ensemble de plus de 10 millions d'enregistrements clients exposés. La presse évoque des fourchettes allant de 4 à plus de 12 millions de dossiers.🎯 Accès non autorisé à un système d'information, données ensuite mises en vente sur un forum cybercriminel (BreachForums), repérées par la plateforme de veille FalconFeeds.
La Fédération Française de Football signale en février 2025 un vol de données via un compte compromis, exposant l'identité et certaines pièces d'identité de licenciés.
Fédération Française de Football (FFF)
· France 👥 Estimations presse de 1,5 million de personnes potentiellement concernées, le pirate revendiquant un volume bien supérieur, chiffre non confirmé officiellement par la FFF🎯 Accès non autorisé via un compte utilisateur compromis du logiciel de gestion des licenciés, le pirate évoquant l'exploitation d'une API mal configurée
L'application de surveillance Cocospy a exposé environ 1,8 million d'adresses e-mail clients et des données de victimes (messages, photos, localisation) en février 2025.
Cocospy (et applications sœurs Spyic, Spyzie)
· International (siège opérateur non identifié, victimes mondiales dont Europe) 👥 Environ 1,81 million d'adresses e-mail de clients Cocospy (2,65 millions au total avec Spyic après dédoublonnage), plus un nombre indéterminé de victimes surveillées à leur insu🎯 Faille de sécurité dans les serveurs des applications permettant un accès non authentifié aux données stockées (scraping des adresses e-mail et accès aux données exfiltrées des appareils des victimes)
Fuite de données chez la Mutuelle des Motards en février 2025, exposant noms, e-mails, téléphones et codes postaux de sociétaires et prospects en France.
Mutuelle des Motards (Assurance Mutuelle des Motards)
· France 👥 Volume non communiqué par la mutuelle ; ZATAZ avance plus de 1,3 million d'utilisateurs, dont environ 160 000 adresses e-mail uniques🎯 Accès non autorisé à un outil de gestion des contacts marketing
Un pirate revendique 4,3 millions de données clients de King Jouet en vente. L'enseigne reconnaît une cyberattaque limitée a moins de 25 000 clients sur deux magasins.
King Jouet
· France 👥 Moins de 25 000 clients selon l'enseigne (le pirate revendiquait jusqu'à 4,3 millions de comptes, chiffre non confirmé)🎯 Compromission de l'interface de suivi des commandes en ligne (périmètre limité à deux magasins selon l'enseigne)
Le forum de recettes Thermomix (Rezeptwelt / Espace Recettes) opéré par Vorwerk a subi une fuite exposant les données de profil de plus de 3 millions d'utilisateurs, dont des Français.
Vorwerk (forum Rezeptwelt / Espace Recettes Thermomix)
· Allemagne (utilisateurs en France et dans plusieurs pays européens) 👥 Entre 3,1 et 3,3 millions d'utilisateurs (3 123 439 comptes selon Have I Been Pwned)🎯 Accès non autorisé à un serveur secondaire d'un prestataire externe
La Fédération française de la montagne et de l'escalade a été victime début 2025 d'une cyberattaque exposant des données personnelles de ses licenciés.
Fédération française de la montagne et de l'escalade (FFME)
· France 👥 Nombre non communiqué officiellement (la FFME compte environ 120 000 licenciés)🎯 Téléversement de fichier non filtré côté serveur avec exécution de code PHP (selon l'auteur présumé), permettant l'accès à la base de données
En janvier 2025, l'opérateur espagnol Telefónica a confirmé une intrusion (groupe Hellcat) dans son système de tickets interne, exposant données employés, clients et tickets Jira.
Telefónica S.A.
· Espagne 👥 ~24 000 employés (e-mails et noms) ; ~236 000 lignes de données clients et ~470 000 lignes de tickets internes (décomptes de lignes, non d'individus distincts)🎯 identifiants compromis via infostealer puis ingénierie sociale (accès au serveur Jira interne)