Fuite de données en 2026 : repérer les arnaques ciblées

Le 17 août 2026la Direction générale des finances publiques (DGFiP) a commencé à prévenir les personnes potentiellement touchées par une intrusion remontant au 25 juillet. L’usurpation des identifiants d’un agent et d’un tiers habilité aurait permis l’accès aux données d’environ 678 000 particuliers et professionnels.

Les informations concernées peuvent inclure le numéro fiscal, l’adresse, le téléphone, la situation familiale, la tranche d’imposition, le revenu fiscal de référence et le taux de prélèvement à la source. Les mots de passe et les espaces particuliers n’ont pas été touchés. La fuite ne donne donc pas automatiquement accès au compte fiscal, mais elle fournit à un escroc assez de détails pour personnaliser son approche.

Un fraudeur qui connaît le revenu fiscal et le nombre de parts d’un foyer peut rédiger un faux message de remboursement plus crédible qu’une attaque générique. Le risque financier apparaît alors dans le courriel, le SMS ou l’appel qui suit.

La fuite prépare souvent l’arnaque.

Le compte fiscal n’est pas forcément ouvert

En apparence, une adresse, un numéro fiscal et un revenu de référence semblent suffisants pour usurper une identité. En réalité, ces éléments ne donnent pas automatiquement accès à l’espace fiscal. Ils permettent surtout de fabriquer une demande crédible, avec un faux avis de remboursement, un formulaire bancaire ou un appel prétendument lancé par l’administration.

La DGFiP indique que ses courriels utilisent des adresses en @dgfip.finances.gouv.frqu’elle n’envoie pas de SMS pour réclamer une dette fiscale et qu’elle n’emploie pas de numéros surtaxés en 0899 ou 0891. Un remboursement d’impôt est versé sur le compte bancaire déjà connu de l’administration, sans formulaire à remplir. Pour lever un doute, le 0 809 401 401 permet de joindre le service national d’assistance sans surcoût.

L’IBAN nourrit surtout le faux conseiller

Autre valeur pour l’escroc : l’IBAN. La fuite de Free, survenue en octobre 2024, a exposé les données d’environ 24 millions de contrats d’abonnés et plusieurs millions d’IBAN. En janvier 2026, la CNIL a prononcé une sanction de 42 millions d’euros contre l’opérateur. Bouygues Telecom avait de son côté signalé, en août 2025, une fuite concernant 6,4 millions de clients, avec des coordonnées bancaires parmi les données exposées.

Un IBAN seul ne suffit pas à vider un compte. Il peut toutefois servir à tenter un prélèvement SEPA de faible montant ou à donner une apparence de légitimité à un faux conseiller bancaire. L’appelant récite alors des informations exactes, fait apparaître le numéro de l’agence sur l’écran du téléphone et demande de valider une prétendue opération de sécurité.

Cybermalveillance.gouv.fr a fait état, pour 2025, d’une hausse de 159 % des demandes d’assistance liées à la fraude au faux conseiller bancaire et de 517 % des demandes liées à l’usurpation de numéro. La Cour de cassation a rappelé en octobre 2024 que la sophistication d’un procédé frauduleux ne suffit pas, à elle seule, à caractériser la négligence grave du client. La banque doit établir les éléments qui justifient cette qualification.

Prévenez la banque par son application ou par le numéro inscrit au dos de la carte. Pour un prélèvement SEPA non autorisé, la contestation peut rester possible pendant treize mois. Le délai de huit semaines concerne le remboursement d’un prélèvement contesté sans justification. Conservez la date du débit et la référence du créancier.

Un gros volume ne fait pas une preuve

Sauf que tous les fichiers présentés comme des fuites ne proviennent pas d’une intrusion confirmée. En juin 2026, l’Assurance Maladie a démenti l’attribution à Mon espace santé d’un fichier présenté comme contenant 34,2 millions de dossiers. Les anomalies relevées incluaient des numéros de sécurité sociale invalides, des IBAN alors que le dossier médical partagé n’héberge pas ces coordonnées et l’absence d’informations médicales.

Ces incohérences faisaient davantage penser à une compilation de bases anciennes qu’à l’extraction complète d’un dossier médical. La CAF avait également contesté, en décembre 2025, l’existence d’une faille dans ses systèmes liée à un fichier de 22 millions de lignes. À l’inverse, la fuite Viamedis et Almerys, révélée au début de 2024, a concerné plus de 33 millions de personnes, avec des données d’état civil et des numéros de sécurité sociale.

Le nombre de lignes annoncé ne prouve ni l’accès à un système ni le vol des données de toutes les personnes mentionnées. La confirmation de l’organisme concerné compte davantage que la taille spectaculaire du fichier.

Un volume annoncé ne prouve pas un vol.

Quand la donnée change de main

Une étude observationnelle publiée en 2024 dans JMIR Medical Informatics a examiné 40 cas de fuite de données personnelles survenus en Chine pendant la pandémie de Covid-19. Les cas concernaient surtout des agences gouvernementales situées sous le niveau préfectoral. Les auteurs ont aussi relevé la présence fréquente d’employés ordinaires ou juniors parmi les personnes à l’origine des divulgations, avec des documents transférés dans des groupes familiaux WeChat.

Cette étude ne décrit ni la France ni les incidents de 2026. Elle ne permet pas d’attribuer une fuite à une catégorie professionnelle. Elle documente en revanche plusieurs points de rupture : autorisations trop larges, transfert de documents et absence de contrôle du destinataire.

Une autre étude publiée en 2023 dans International Journal of Medical Informatics a observé 4 936 hôpitaux communautaires américains entre 2010 et 2017. La part des établissements échangeant des informations de santé par voie électronique est passée de 18 % à 68 % sur cette période. L’échange avec des acteurs externes était associé à une hausse de 0,672 point de pourcentage de la probabilité d’une violation informatique trois ans plus tard. Aucun lien significatif n’a été observé pour les échanges avec des acteurs internes.

Ce résultat est une association, pas une preuve de causalité. Le résumé relie le risque à la quantité et à la complexité des informations échangées, ainsi qu’au maillon le moins protégé de l’écosystème. Les mesures proposées sont concrètes : limiter la collecte aux acteurs qui en ont besoin, former les agents et restreindre techniquement l’envoi de documents sensibles vers des comptes sociaux personnels.

Les outils techniques ont leurs angles morts

Une revue de portée publiée en 2023 dans Journal of Medical Internet Research a synthétisé 56 publications sur l’apprentissage fédéré, la confidentialité différentielle et le calcul multipartite sécurisé.

Avec l’apprentissage fédéré, les données restent dans l’organisation qui les a produites. Les participants transmettent plutôt des paramètres ou des mises à jour de modèles. Cette organisation limite le déplacement des dossiers, mais elle ne rend pas automatiquement les échanges anonymes. Les auteurs considèrent que les modèles locaux et probablement les modèles globaux peuvent constituer des données personnelles au sens du RGPD. Des attaques peuvent encore provoquer une fuite.

La confidentialité différentielle ajoute du bruit statistique aux résultats, tandis que le calcul multipartite sécurisé limite ce que chaque participant peut voir pendant une opération commune. Une revue publiée en 2024 dans Digital Health a examiné les travaux parus entre 2017 et 2023 sur la blockchain, l’apprentissage fédéré, le chiffrement homomorphe et la confidentialité différentielle. Elle souligne les limites de ces outils lorsque les règles d’accès, la configuration ou le suivi des incidents restent faibles.

Ces techniques peuvent réduire un déplacement de données ou une visibilité, sans supprimer les contrôles à vérifier. Il faut toujours savoir qui accède aux données, qui reçoit les résultats et qui intervient après une alerte.

Les bons réflexes se jouent hors du message

La CNIL a recensé en 2025 un nombre record de violations de données, en hausse de près de 10 % sur un an. Cybermalveillance.gouv.fr a accompagné plus de 500 000 victimes, l’hameçonnage représentant près d’un tiers des demandes d’assistance des particuliers.

La vérification ne se fait pas dans le message reçu. Elle suit une procédure courte :

1. Ne répondez pas au message entrant. Ne cliquez pas sur le lien et n’appelez pas le numéro affiché.
2. Repartez du site officiel, de l’application habituelle ou d’un numéro déjà connu. Pour les impôts, le 0 809 401 401 permet de vérifier une demande.
3. Comparez la demande avec les pratiques de l’organisme. Un SMS qui réclame une dette fiscale, un formulaire qui demande un nouveau RIB ou un conseiller qui exige une validation urgente sont des signaux d’alerte.
4. Surveillez le compte bancaire et les prélèvements après une fuite d’IBAN. Signalez immédiatement tout débit inconnu à la banque.
5. Si un mot de passe a été réutilisé ailleurs, changez-le depuis le site officiel concerné et activez la double authentification lorsqu’elle est proposée.
6. Conservez le message, l’adresse de l’expéditeur, le numéro appelant, la date et les captures d’écran. Ces éléments facilitent les démarches auprès de la banque ou de l’organisme concerné.

Un message qui connaît votre revenu fiscal, votre opérateur ou le nom de l’école de votre enfant peut être frauduleux. La précision du contenu indique seulement qu’une donnée circule; elle ne valide ni le canal ni la demande.

Un message précis n’est pas une preuve.