© Shutterstock – Le guide pour éviter les arnaques qui suivent les fuites de données — Image d'illustration
Un courriel des impôts qui cite votre revenu fiscal de référence, un SMS qui connaît le prénom de votre enfant et le nom de son collège, un appel de votre banque qui affiche bien son numéro… l'été 2026 a enchaîné les fuites visant l'État français, après deux années déjà chargées du côté des opérateurs et des complémentaires santé. Pourtant, ce n'est presque jamais la fuite elle-même qui coûte de l'argent aux particuliers, mais l'escroquerie qu'elle rend crédible quelques semaines plus tard. Nous avons repris les principales, avec pour chacune les arnaques qu'elles rendent possibles, celles qu'elles ne permettent pas, et les réflexes à adopter.
La Direction générale des finances publiques a reconnu mi-août 2026 une intrusion menée à partir des identifiants usurpés d'un agent et d'un tiers habilité. Environ 678 000 usagers, particuliers et professionnels confondus, sont potentiellement concernés, et les notifications individuelles ont commencé le 17 août.
Fuite de la DGFIP — Image d'illustration© Pexels
Le risque se déplace donc vers l'hameçonnage. Un escroc qui connaît votre revenu de référence et votre nombre de parts peut rédiger un faux avis de remboursement bien plus convaincant qu'un message générique, avant de vous diriger vers un formulaire réclamant vos coordonnées bancaires. La DGFiP rappelle de son côté qu'elle n'écrit qu'avec des adresses en @dgfip.finances.gouv.fr, n'envoie pas de SMS pour réclamer une dette et n'utilise aucun numéro surtaxé en 0899 ou 0891. Un remboursement d'impôt arrive par virement sur le compte déjà connu de l'administration, sans formulaire à remplir. Le numéro national d'assistance de l'administration fiscale française, le 0 809 401 401, permet de lever un doute sans surcoût.
L'intrusion remonte au 25 juillet 2026 et a été revendiquée le 17 août. Les 346 millions de lignes annoncées recouvrent beaucoup de doublons, avec de l'ordre de 4,35 millions d'identifiants de personnels et 1,22 million de fiches élèves après tri, sur des historiques remontant à 2005. Le ministère précise pour sa part que le système visé ne contenait ni données bancaires, ni mots de passe.
L'exploitation ne demande aucune compétence technique. Un message qui cite le nom de l'établissement, le prénom de l'enfant et sa classe désamorce la méfiance en une phrase, qu'il s'agisse d'une fausse facture de cantine ou d'un faux accès à l'espace numérique de travail. Les personnels sont visés pareillement, par des courriels qui imitent leur rectorat et reprennent leur fonction réelle.
Le réflexe consiste ici à ne jamais répondre sur le canal entrant. Un établissement se recontacte au numéro inscrit sur le carnet de correspondance, pas à celui du message reçu. Le ministère rappelle en outre qu'il ne demande jamais d'identifiants par courriel, téléphone et encore moins par SMS.
La fuite de Free, en octobre 2024, a exposé les données d'environ 24 millions de contrats d'abonnés, dont plusieurs millions d'IBAN, et a valu à l'opérateur 42 millions d'euros de sanction prononcés par la CNIL en janvier 2026. Bouygues Telecom a connu un épisode comparable en août 2025, avec 6,4 millions de clients touchés et des IBAN là encore concernés.
Un IBAN seul ne permet pas de vider un compte, mais il permet deux choses. S’il rend possible des prélèvements SEPA de petits montants, calibrés pour passer inaperçus sur un relevé. Il permet surtout d’alimenter la fraude au faux conseiller bancaire, où l'appelant récite vos coordonnées, fait apparaître le numéro de votre agence sur votre écran et vous demande de valider une opération de sécurité. Les demandes d'assistance liées à cette fraude ont progressé de 159 % en 2025 selon Cybermalveillance.gouv.fr, celles qui concernent l'usurpation de numéro de 517 %.
Les arnaques augmentent en crédibilité grâce à des informations toujours plus précises — Image d'illustration© Shutterstock
Les arnaques augmentent en crédibilité grâce à des informations toujours plus précises — Image d'illustration
Deux garde-fous méritent d'être connus. Un prélèvement non autorisé se conteste auprès de la banque, qui doit le rembourser sans condition dans les 8 semaines suivant le débit, le signalement restant possible jusqu'à 13 mois. La Cour de cassation a par ailleurs jugé en octobre 2024 que la sophistication du procédé s'oppose à ce que la négligence grave du client soit retenue de façon automatique, la charge de la preuve pesant sur la banque.
Toutes les fuites annoncées ne sont pas confirmées. Le fichier attribué en juin 2026 à Mon Espace Santé, présenté comme 34,2 millions de dossiers, a été démenti par l'Assurance maladie, et son contenu présente plusieurs anomalies, entre numéros de sécurité sociale invalides, IBAN que le dossier médical partagé n'héberge pas et absence d'information médicale. L'hypothèse d'une compilation de fuites antérieures paraît donc plus solide. La CAF a pareillement contesté toute faille dans ses propres systèmes en décembre 2025, face à un fichier de 22 millions de lignes.
Mise en garde sur le climat anxiogène cumulatif inhérent aux fuites à répétition — Image d'illustration© Shutterstock
Mise en garde sur le climat anxiogène cumulatif inhérent aux fuites à répétition — Image d'illustration
Si cette nuance change la responsabilité de l'organisme, elle n’a quasiment aucun impact quant à votre exposition. Les fuites confirmées ne manquent d'ailleurs pas dans ce secteur, à commencer par celle de Viamedis et Almerys début 2024, qui a concerné plus de 33 millions de personnes, état civil et numéro de sécurité sociale compris. Le scénario type consiste à annoncer un remboursement de mutuelle en attente et à réclamer un RIB, alors qu'une complémentaire santé dispose déjà de vos coordonnées bancaires.
La CNIL a enregistré un nombre record de violations de données en 2025, en hausse de près de 10 % sur un an, et Cybermalveillance.gouv.fr a accompagné plus de 500 000 victimes, l'hameçonnage représentant près d'un tiers des demandes d'assistance des particuliers, en progression de 70 %.
L'effort utile se déplace donc vers le canal de contact plutôt que vers la donnée elle-même. Un message qui connaît votre situation fiscale, votre opérateur ou l'école de vos enfants ne constitue plus une preuve d'authenticité.
Suivez toute l'actualité des Numériques sur Google Actualités et sur la chaîne WhatsApp des Numériques
Envie de faire encore plus d'économies ? Découvrez nos codes promo sélectionnés pour vous.
