Protégé : Fuites
Voir la liste des 103 fuites
Tracfin via un sous-traitant 136
Type : Prestataire compromis
Données : Nom, fonction, e-mail et téléphone de professionnels déclarants ; contenu de 213 demandes au support. Aucune donnée des déclarations de soupçon selon l'ANSSI.
Sources : ANSSI, rapport CERTFR-2026-CTI-006 (30 septembre 2026) · Cyberattaque.org
ANSSI (laboratoire d'innovation) 118
Type : Faille technique
Données : Identifiants, e-mails et mots de passe chiffrés de comptes utilisateurs (faille de l'outil Metabase).
Sources : ANSSI, rapport CERTFR-2026-CTI-006 (30 septembre 2026) · Cyberattaque.org
DINUM (ProConnect et Nuage-Public) n.c.
Type : Faille technique
Données : Informations administratives d'organismes publics et historiques de connexion anonymisés, déjà publics selon l'ANSSI (faille Metabase).
Sources : ANSSI, rapport CERTFR-2026-CTI-006 (30 septembre 2026) · Cyberattaque.org
Douanes (DGDDI) n.c.
Type : Compte ou identifiants usurpés
Données : Contenu de trois messageries d'agents et d'un serveur d'échanges avec des prestataires.
Sources : ANSSI, rapport CERTFR-2026-CTI-006 (30 septembre 2026) · Cyberattaque.org
Doinsport n.c.
Type : Intrusion (vecteur non communiqué)
Données : Comptes, fiches clients et réservations de clubs sportifs.
Place des Salariés (Haxoneo) n.c.
Type : Intrusion (vecteur non communiqué)
Données : Identité, données familiales et justificatifs.
Paymium via Brevo crypto n.c.
Type : Prestataire compromis
Données : Adresse e-mail et identifiant du compte, nom, prénom, date de naissance, numéro de téléphone et pays de résidence.
Sources : Notification de Paymium aux clients concernés (22 septembre 2026) · Bitcoin.fr
Legalstart n.c.
Type : Faille technique
Données : Nom, e-mail et téléphone de clients.
Amadeus iHotelier (hôtels clients) n.c.
Type : Prestataire compromis
Données : Données de réservation hôtelière.
Hôpital Paris Saint-Joseph via un prestataire n.c.
Type : Prestataire compromis
Données : Données administratives de patients.
TotalEnergies (programme Le Club) n.c.
Type : Prestataire compromis
Données : Données d'identification et historique de transactions.
Point Vision via un prestataire n.c.
Type : Prestataire compromis
Données : Identité, coordonnées et numéro de Sécurité sociale de patients.
AFPA 1,7 million
Type : Prestataire compromis
Données : Données de stagiaires et d'hébergés.
Revolut crypto 680
Type : Ingénierie sociale
Données : Pièces d'identité, selfies de vérification, adresses, IBAN, relevés et historique de transactions, dont transactions en bitcoin.
Sources : Revolut, déclarations à la presse · OCCRP
NaturaBuy n.c.
Type : Intrusion (vecteur non communiqué)
Données : Coordonnées et mots de passe chiffrés de membres.
GreenGo n.c.
Type : Faille technique
Données : Données de clients.
Service national universel (portail des structures partenaires) 275 000
Type : Faille technique
Données : Identifiants, noms, e-mails, téléphones et rôles d'utilisateurs de structures partenaires.
Sources : ANSSI, rapport CERTFR-2026-CTI-006 (30 septembre 2026) · Cyberattaque.org
Répar'stores n.c.
Type : Intrusion (vecteur non communiqué)
Données : Devis, factures et commentaires clients.
Association des maires de France n.c.
Type : Faille technique
Données : Plus de 100 000 enregistrements, dont des mots de passe.
Printemps, Citadium, Micromania, Aroma-Zone, Easypara via Shipup n.c.
Type : Prestataire compromis
Données : Données de livraison de clients.
Delicity n.c.
Type : Faille technique
Données : Données de clients, de restaurateurs et de livreurs, dont pièces d'identité et coordonnées bancaires.
Ministère de la Transition écologique 22 000
Type : Compte ou identifiants usurpés
Données : Contenu de messageries et d'espaces de fichiers (plus de 300 comptes) ; données de 22 000 agents et organismes agréés via le portail OISO.
Sources : ANSSI, rapport CERTFR-2026-CTI-006 (30 septembre 2026) · Cyberattaque.org
Zéro Logement Vacant (fichiers fonciers) n.c.
Type : Faille technique
Données : Données de propriétaires issues des fichiers fonciers : 48 millions de propriétaires seraient concernés selon le point de situation de l'ANSSI.
Sources : ANSSI, rapport CERTFR-2026-CTI-006 (30 septembre 2026) · Cyberattaque.org
TeleCoop n.c.
Type : Faille technique
Données : Données de clients.
Solimut Mutuelle de France n.c.
Type : Intrusion (vecteur non communiqué)
Données : Données d'assurés, coordonnées bancaires et numéros de Sécurité sociale.
Fédération nationale de protection civile n.c.
Type : Intrusion (vecteur non communiqué)
Données : Profils et photographies de bénévoles, dont des mineurs.
Suez Eau France via un prestataire n.c.
Type : Prestataire compromis
Données : Données clients, dont des pièces d'identité et des RIB.
Institut de recherche pour le développement 7 500
Type : Intrusion (vecteur non communiqué)
Données : Données d'agents et de partenaires, dont le numéro de Sécurité sociale.
Éducation nationale (SIECLE, académie de Créteil) 1 million
Type : Intrusion (vecteur non communiqué)
Données : Données d'environ un million d'élèves, de responsables légaux et d'enseignants, en partie communes avec la fuite GAIA.
Sources : ANSSI, rapport CERTFR-2026-CTI-006 (30 septembre 2026) · Cyberattaque.org
SafePal crypto 40 000
Type : Faille technique
Données : Nom, e-mail, adresse de livraison, numéro de téléphone et détail des commandes.
Sources : SafePal, communiqué publié sur X le 16 août 2026 · The Hacker News
Direction générale des Finances publiques (DGFiP) 678 000
Type : Compte ou identifiants usurpés
Données : Identifiant fiscal, état civil, coordonnées postales, téléphoniques et électroniques, situation de famille, revenu fiscal de référence, taux de prélèvement à la source, messages échangés via impots.gouv.fr.
Sources : Ministère de l'Économie, FAQ officielle · FrenchBreaches
Trezor via ShipMonk crypto 81 000
Type : Prestataire compromis
Données : Nom complet, adresse de livraison, e-mail, numéro de téléphone et détail des commandes.
Sources : Trezor, blog officiel · The Hacker News
France VAE n.c.
Type : Faille technique
Données : Identité, coordonnées, parcours professionnel et financement de candidats.
Scalingo 90 000
Type : Faille technique
Données : Métadonnées d'un entrepôt de données interne.
Agence pour l'enseignement français à l'étranger 300 000
Type : Compte ou identifiants usurpés
Données : Identité, coordonnées, qualifications et expériences de plus de 300 000 personnes.
Sources : ANSSI, rapport CERTFR-2026-CTI-006 (30 septembre 2026) · Cyberattaque.org
I-CAD (fichier national des chiens et chats) n.c.
Type : Faille technique
Données : Adresses e-mail de propriétaires d'animaux.
Mutuelle générale de prévoyance 198 000
Type : Prestataire compromis
Données : Identités et IBAN d'adhérents.
Steam Hardware via CEVA Logistics n.c.
Type : Prestataire compromis
Données : Nom, adresse, téléphone et e-mail d'acheteurs européens.
Armurerie Lavaux n.c.
Type : Intrusion (vecteur non communiqué)
Données : Données de commandes.
Bloctel (DGCCRF) 3 millions
Type : Compte ou identifiants usurpés
Données : Numéros de téléphone (dont 600 000 inscrits à Bloctel).
Intermarché (service Drive) 288 000
Type : Intrusion (vecteur non communiqué)
Données : Identité, date de naissance, adresse, téléphone, carte de fidélité et commandes.
Éducation nationale (GAIA, formation des personnels) 4,35 millions
Type : Compte ou identifiants usurpés
Données : Identité, affectation, grade, formations et indemnités de 4,35 millions d'enseignants ; numéro de Sécurité sociale selon le ministère.
Sources : ANSSI, rapport CERTFR-2026-CTI-006 (30 septembre 2026) · Ostraca, observatoire des fuites (fiche sourcée)
LaSante.net n.c.
Type : Intrusion (vecteur non communiqué)
Données : Nom, adresse postale et e-mail.
Prelys Courtage n.c.
Type : Rançongiciel
Données : Pièces d'identité, relevés de compte, bulletins de paie, justificatifs de domicile.
Fédération française d'équitation n.c.
Type : Intrusion (vecteur non communiqué)
Données : Données de licenciés.
Trenitalia (dont Trenitalia France) n.c.
Type : Intrusion (vecteur non communiqué)
Données : Identité, coordonnées et trajets de voyageurs.
Ministère des Sports (Le Compte Asso) n.c.
Type : Intrusion (vecteur non communiqué)
Données : Identités, contacts et coordonnées bancaires d'associations.
INSEE (annuaire interne) 13 000
Type : Intrusion (vecteur non communiqué)
Données : Identité et coordonnées professionnelles d'agents.
MesVaccins.net (Syadem) n.c.
Type : Intrusion (vecteur non communiqué)
Données : E-mail, état civil, numéro de Sécurité sociale et données vaccinales.
Fédération sportive de la police nationale n.c.
Type : Intrusion (vecteur non communiqué)
Données : Identité, grade, matricule et certificats médicaux de policiers.
Achat Or et Argent (négociant en métaux précieux) n.c.
Type : Intrusion (vecteur non communiqué)
Données : Identité, coordonnées et historique de commandes.
Tchap (messagerie de l'État) n.c.
Type : Compte ou identifiants usurpés
Données : Contenus de salons publics et données d'agents.
Goodvest n.c.
Type : Faille technique
Données : Identité, revenus, patrimoine et encours de clients.
Almerys (tiers payant santé) 15,4 millions
Type : Compte ou identifiants usurpés
Données : Numéros de Sécurité sociale et données de tiers payant.
Pierre & Vacances-Center Parcs n.c.
Type : Faille technique
Données : Données de réservation et de clients (1,6 million de réservations selon le groupe).
Zara via un ancien prestataire 197 000
Type : Prestataire compromis
Données : Adresses e-mail et données clients.
ANTS / France Titres 11,7 millions
Type : Faille technique
Données : Données de comptes usagers du portail des titres sécurisés.
Fédération française de basket-ball 2 millions
Type : Compte ou identifiants usurpés
Données : Données de licenciés et de représentants légaux.
Ministère de l'Éducation nationale (ÉduConnect) n.c.
Type : Compte ou identifiants usurpés
Données : Données d'élèves.
Booking.com n.c.
Type : Intrusion (vecteur non communiqué)
Données : Données de réservation.
Basic-Fit 1 million
Type : Intrusion (vecteur non communiqué)
Données : Données de membres, dont des données bancaires.
Cerballiance via un prestataire n.c.
Type : Prestataire compromis
Données : État civil, comptes rendus d'analyses et numéros de Sécurité sociale de patients.
Enseignement catholique (Sgec) n.c.
Type : Intrusion (vecteur non communiqué)
Données : Données d'élèves, de familles et d'enseignants.
Fédération française de gymnastique 2,9 millions
Type : Compte ou identifiants usurpés
Données : Données de licenciés et d'anciens licenciés depuis 2004.
Fédération française des Banques alimentaires n.c.
Type : Intrusion (vecteur non communiqué)
Données : Données de familles bénéficiaires de l'aide alimentaire.
Union nationale du sport scolaire (OPUSS) n.c.
Type : Intrusion (vecteur non communiqué)
Données : Données et photos d'élèves licenciés.
Cegedim Santé (MonLogicielMedical) 11 millions
Type : Compte ou identifiants usurpés
Données : Données administratives de patients ; données sensibles pour environ 164 000 personnes.
Fédération française d'athlétisme 300 000
Type : Intrusion (vecteur non communiqué)
Données : Données de licenciés.
Fichier national des comptes bancaires (FICOBA, DGFiP) 1,2 million
Type : Compte ou identifiants usurpés
Données : État civil, adresse postale, coordonnées bancaires (RIB, IBAN) et, dans certains cas, identifiant fiscal.
Sources : DGFiP, FAQ officielle · Banque de France
CFDT 640 000
Type : Intrusion (vecteur non communiqué)
Données : Données d'adhérents, dont l'appartenance syndicale.
ManoMano via un prestataire du service client n.c.
Type : Prestataire compromis
Données : Nom, e-mail, téléphone et échanges avec le service client.
Fédération française de natation (Extranat) n.c.
Type : Intrusion (vecteur non communiqué)
Données : État civil et coordonnées de licenciés.
Fédération française de golf 450 000
Type : Intrusion (vecteur non communiqué)
Données : Données de licenciés.
Waltio crypto 50 000
Type : Intrusion (vecteur non communiqué)
Données : Adresse e-mail, gains ou pertes de l'année 2024, solde par crypto-actif au 31 décembre 2024.
Sources : Waltio, questions-réponses officielles · Bitcoin.fr
Fédération nationale des chasseurs 1,05 million
Type : Intrusion (vecteur non communiqué)
Données : Données de chasseurs et de personnes liées à la chasse.
Relais Colis via un prestataire n.c.
Type : Prestataire compromis
Données : Nom, adresse, e-mail et téléphone de clients.
Fédération française de volley n.c.
Type : Intrusion (vecteur non communiqué)
Données : Données de licenciés, dont des pièces d'identité.
Eurail (pass Interrail) 309 000
Type : Intrusion (vecteur non communiqué)
Données : Identité, passeport et coordonnées de voyageurs.
Ledger via Global-e crypto n.c.
Type : Prestataire compromis
Données : Nom, coordonnées et données de commande.
Sources : Notification de Ledger et Global-e aux clients concernés · Journal du Coin
Groupe Atalian n.c.
Type : Rançongiciel
Données : Données RH et bancaires.
Nexpublica France (logiciel des MDPH) 14 000
Type : Mauvaise configuration
Données : Données de santé d'usagers de maisons départementales des personnes handicapées.
Sanction : CNIL, 1,7 million d'euros.
Ministère des Sports (Pass'Sport) n.c.
Type : Intrusion (vecteur non communiqué)
Données : Données de bénéficiaires du dispositif (environ 3,5 millions de foyers selon le ministère).
Ministère de l'Intérieur n.c.
Type : Compte ou identifiants usurpés
Données : Consultation du Traitement des antécédents judiciaires (TAJ) et du Fichier des personnes recherchées (FPR) ; extraction de quelques dizaines de fichiers selon le ministre.
Sources : Déclarations du ministre de l'Intérieur · Solutions Numériques
SFR n.c.
Type : Intrusion (vecteur non communiqué)
Données : Nom, adresse, e-mail et téléphone de clients.
France Travail et Missions locales 1,6 million
Type : Compte ou identifiants usurpés
Données : Données de jeunes suivis par les missions locales.
Fédération française de football via Footclubs n.c.
Type : Compte ou identifiants usurpés
Données : Données de licenciés.
Itelis (réseau de soins optique) n.c.
Type : Compte ou identifiants usurpés
Données : Nom, date de naissance et numéro de Sécurité sociale d'assurés.
Urssaf (service Pajemploi) 1,2 million
Type : Intrusion (vecteur non communiqué)
Données : Données de salariés de particuliers employeurs.
Stych (auto-école en ligne) n.c.
Type : Intrusion (vecteur non communiqué)
Données : Données d'élèves et de clients.
DGFiP (agent de l'administration fiscale) crypto n.c.
Type : Agent interne
Données : Informations issues des bases de données fiscales, notamment sur des investisseurs en crypto-actifs.
Sources : Cryptoast, d'après Le Parisien (rapporté par la presse)
Coinbase crypto n.c.
Type : Agent interne
Données : Nom, adresse, téléphone, e-mail, images de pièces d'identité, numéros bancaires partiellement masqués, soldes et historique de transactions.
Sources : Coinbase, blog officiel · TechCrunch
Free et Free Mobile 24 millions
Type : Intrusion (vecteur non communiqué)
Données : Identité et coordonnées des abonnés ; IBAN pour une partie d'entre eux.
Sanction : CNIL, 42 millions d'euros (13 janvier 2026).
Gemini via un prestataire de virements crypto 15 000
Type : Prestataire compromis
Données : Nom complet, numéro de compte bancaire et code d'acheminement.
Sources : Notification de Gemini aux clients concernés · BleepingComputer
France Travail (ex-Pôle emploi) 36,8 millions
Type : Compte ou identifiants usurpés
Données : Identité, date de naissance, numéro de Sécurité sociale, identifiant France Travail, coordonnées.
Sanction : CNIL, 5 millions d'euros (22 janvier 2026).
Viamedis et Almerys (tiers payant santé) 33 millions
Type : Compte ou identifiants usurpés
Données : État civil, date de naissance, numéro de Sécurité sociale, assureur santé et garanties du contrat.
Sources : CNIL, communiqué du 7 février 2024 · Ostraca, observatoire des fuites (fiche sourcée)
Trezor via un prestataire de support crypto 66 000
Type : Prestataire compromis
Données : Adresses e-mail et noms ou pseudonymes des clients ayant contacté le support depuis décembre 2021.
Sources : Trezor, blog officiel · Hackread
Créanciers FTX, BlockFi et Genesis via Kroll crypto n.c.
Type : Prestataire compromis
Données : Nom, adresse, e-mail, téléphone, numéro et montant de créance, soldes en crypto-actifs et, pour certains, date de naissance.
Sources : Kroll, déclaration du 25 août 2023 · BleepingComputer
Gemini via un prestataire crypto 5,7 millions
Type : Prestataire compromis
Données : Adresses e-mail et numéros de téléphone partiels.
Sources : Gemini, avis de sécurité du 14 décembre 2022 · Security Affairs
Trezor via Mailchimp crypto n.c.
Type : Prestataire compromis
Données : Adresses e-mail de clients.
Sources : Trezor, message publié sur X le 3 avril 2022 · GovInfoSecurity
BlockFi, Swan Bitcoin, Paxos, NYDIG via HubSpot crypto n.c.
Type : Prestataire compromis
Données : Coordonnées de clients (e-mail, selon les entreprises concernées).
Sources : Déclaration de HubSpot · BankInfoSecurity
Ledger via Shopify crypto 20 000
Type : Agent interne
Données : Adresses e-mail, noms, adresses postales, numéros de téléphone et produits commandés.
Sources : Ledger, blog officiel · CoinDesk
Ledger crypto 1 million
Type : Faille technique
Données : Adresses e-mail (environ 1 million) ; pour environ 272 000 clients : nom, adresse postale, numéro de téléphone et produits commandés.
Sanction : CNIL, 750 000 € (octobre 2024), décision non publiée, selon la presse juridique.
Sources : Ledger, déclaration officielle · Village de la Justice
Coinmama crypto 450 000
Type : Intrusion (vecteur non communiqué)
Données : Adresses e-mail et mots de passe chiffrés des utilisateurs inscrits avant le 5 août 2017.
Sources : Coinmama, communiqué du 15 février 2019 · The Block
Aucune fuite recensée ne correspond à cette recherche.
Vos données ont fuité ? CNIL, action en responsabilité, action contre l’État ou action de groupe : faites analyser vos recours.
Analyser mes recours* Plancher : nombre de personnes de la plus grande fuite chiffrée du filtre sélectionné. ** Données crypto : fuites qui révèlent ou laissent supposer la détention de crypto-actifs (plateformes, portefeuilles, outils fiscaux, créanciers de faillites), et exposent ainsi à un risque ciblé. Fuites confirmées par l’entité concernée ou une autorité ; sources officielles ou, à défaut, observatoires et presse de référence. Le cumul additionne les fiches de chaque fuite : une même personne peut figurer dans plusieurs d’entre elles, et c’est précisément leur croisement qui permet d’identifier une cible. n.c. : non communiqué. La mention d’une fuite ne préjuge d’aucune responsabilité. Mise à jour : 30 septembre 2026 · Signaler une erreur : contact@orwl.fr