Cybermois 2026 : les fuites de données touchent près d’un Français sur deux

Les violations de données personnelles ne sont plus un risque lointain réservé aux grandes organisations. Selon le troisième baromètre de Cybermalveillance.gouv.fr, réalisé avec Ipsos, 45 % des Français ont été informés d’une fuite de leurs données au cours des douze derniers mois. Ils n’étaient que 30 % en 2025.

Cette progression spectaculaire donne le ton du Cybermois 2026, organisé en octobre : connaître les menaces ne suffit plus. Chacun doit savoir quoi faire lorsqu’un organisme annonce que des informations le concernant ont été exposées.

Les fuites de données changent d’échelle

Le chiffre de 45 % ne mesure pas seulement le nombre d’attaques. Il indique la part des personnes interrogées qui disent avoir reçu une notification les informant qu’une organisation avait subi une violation de données les concernant.

L’étude a été menée en ligne du 13 au 18 mai 2026 auprès de 2 000 personnes représentatives de la population française âgée de 18 à 75 ans. Les résultats doivent donc être lus comme un baromètre déclaratif, avec une marge d’incertitude annoncée par Ipsos comprise entre 0,4 et 2,2 points selon les résultats.

Cette perception rejoint néanmoins les constats de la CNIL. L’autorité a recensé 6 167 violations de données en 2025, après correction de deux incidents ayant généré un très grand nombre de notifications liées. La moitié des incidents déclarés relevait d’un piratage. La CNIL souligne également que les violations deviennent plus massives et impliquent fréquemment des prestataires, ce qui peut propager les conséquences d’une attaque à de nombreuses organisations clientes.

Le hameçonnage reste la menace la plus courante

Les données volées alimentent une économie souterraine qui permet aux fraudeurs de rendre leurs messages plus crédibles. Un nom, une adresse, un numéro de téléphone, un fournisseur habituel ou quelques chiffres d’un compte bancaire peuvent suffire à personnaliser un courriel, un SMS ou un appel frauduleux.

Dans le baromètre 2026, 53 % des Français déclarent avoir été confrontés à un message de hameçonnage au cours des douze derniers mois. Quinze pour cent disent avoir rencontré un faux conseiller bancaire et 10 % avoir commandé un bien sur un site frauduleux sans jamais le recevoir.

Après une fuite, le risque ne disparaît pas lorsque l’incident informatique est terminé. Les informations compromises peuvent être réutilisées plusieurs semaines ou plusieurs mois plus tard pour tenter une usurpation d’identité, prendre le contrôle d’un compte ou convaincre une victime de valider une opération bancaire.

Une prise de conscience encore incomplète

Les personnes averties d’une violation réagissent davantage : 59 % disent être devenues plus vigilantes face aux courriels, SMS et appels inconnus, 53 % ont changé leurs mots de passe et 44 % surveillent plus attentivement leur compte bancaire.

Ces chiffres montrent aussi ce qu’il reste à accomplir. Près d’une personne sur deux n’a pas changé ses mots de passe après avoir reçu une notification. Seuls 13 % des répondants ont contacté l’organisme concerné pour confirmer la fuite et identifier les données exposées.

Le sentiment d’être suffisamment informé recule par ailleurs. Il passe de 63 % en 2024 à 55 % en 2026, alors même que le vocabulaire des cybermenaces est mieux connu. Internet reste la première source d’information citée, devant les services publics officiels. Cet écart entre connaissance et capacité d’action explique le thème choisi pour le Cybermois : transformer la sensibilisation en réflexes concrets.

Que faire après une notification de fuite de données ?

La réaction dépend de la nature des informations exposées, mais plusieurs mesures doivent être prises rapidement :

Vérifier l’information par un canal officiel. Ne cliquez pas sur le lien contenu dans un message annonçant une fuite. Saisissez vous-même l’adresse du service concerné ou contactez son assistance officielle.
Identifier les données compromises. Demandez à l’organisme quelles catégories d’informations ont été touchées : adresse électronique, numéro de téléphone, mot de passe, pièce d’identité, données bancaires ou données de santé.
Changer les mots de passe concernés. Commencez par la messagerie principale, puis les comptes sensibles. Si le même mot de passe a été réutilisé ailleurs, modifiez-le sur chaque service et choisissez des identifiants uniques.
Activer l’authentification multifacteur. Elle ajoute une protection utile lorsqu’un mot de passe a été découvert, même si elle ne dispense pas de le remplacer.
Surveiller les comptes et les messages reçus. Méfiez-vous des demandes urgentes, même lorsqu’elles contiennent des informations exactes à votre sujet. Consultez régulièrement vos opérations bancaires et les alertes de connexion de vos services importants.
Conserver les preuves en cas de fraude. Gardez les messages, captures, adresses de sites et relevés utiles. En cas d’usurpation d’identité ou de paiement frauduleux, prévenez rapidement votre banque et déposez plainte auprès de la police ou de la gendarmerie.

La CNIL recommande aussi de privilégier un gestionnaire de mots de passe et de ne pas saisir ses informations sur des sites qui prétendent pouvoir vérifier la présence de données volées sans garanties claires.

Un Cybermois tourné vers l’action

La quatorzième édition du Cybermois se déroulera en octobre 2026 avec le mot d’ordre « Se cyber protéger, ce n’est pas si bête ». Plus de 2 400 partenaires publics et privés sont annoncés pour relayer la campagne.

Le programme comprend un CyberTour de France à Biarritz, Rennes, Rouen, Lille, Montpellier et Paris, ainsi que des actions locales recensées dans un agenda national. Cybermalveillance.gouv.fr et la CNIL diffuseront également à partir du 1er octobre une liste pratique expliquant les démarches à suivre après une violation de données, du premier jour jusqu’à J+30.

Le message central est simple : recevoir une notification de fuite n’est pas une formalité administrative. C’est le point de départ d’une période de vigilance renforcée. Plus la réaction est rapide et adaptée aux données exposées, plus il devient difficile pour les fraudeurs de transformer l’incident en préjudice durable.