Les fuites de données explosent en France, désormais pays le plus touché d’Europe

Une hausse spectaculaire des violations de données en France

Le premier semestre 2026 marque un tournant dans le paysage de la cybersécurité française. Selon une étude de Surfshark, 43,4 millions de comptes ont été compromis entre janvier et juin, soit près de trois comptes piratés chaque seconde. Ce volume propulse la France au rang de pays le plus touché en Europe et au deuxième niveau mondial, derrière les États-Unis (90,8 millions de comptes compromis).

À l’échelle globale, 313,4 millions de comptes ont été exposés sur la même période, soit environ 20 comptes compromis chaque seconde. Une accélération qui confirme l’industrialisation des cyberattaques et la multiplication des surfaces d’exposition, notamment dans les environnements numériques publics et privés.

L’Europe dépasse l’Amérique du Nord, la France en première ligne

Autre fait marquant : au deuxième trimestre 2026, l’Europe a dépassé l’Amérique du Nord en nombre de comptes compromis. Dans ce contexte, la France concentre à elle seule 58% des comptes compromis en Europe, un niveau inédit.

Un tiers des comptes compromis dans le monde appartient désormais à des utilisateurs européens, signe d’un déplacement géographique des cybermenaces. La France affiche en outre la plus forte densité de comptes compromis rapportée à la population, devant des pays comme la Pologne, les États-Unis ou le Portugal.

« Même si le volume de comptes compromis semble légèrement inférieur à celui observé au début de l’année, il reste largement supérieur aux niveaux de 2025. Nous constatons également que les cybercriminels se tournent vers des cibles plus faciles, notamment les institutions publiques et gouvernementales, qui ne disposent pas toujours de défenses suffisamment robustes. » Tomas Stamulis, Chief Security Officer chez Surfshark

Des données exploitables sur le long terme

La baisse ponctuelle des fuites de données ne doit pas masquer une réalité plus préoccupante : les informations volées restent exploitables pendant des années. Les cybercriminels recyclent régulièrement ces données dans de nouvelles campagnes de fraude, d’usurpation d’identité ou de prise de contrôle de comptes.

Comme le souligne Surfshark, des données compromises il y a plusieurs années peuvent réapparaître et être utilisées à nouveau. Ce phénomène alimente un cycle continu de cybermenaces, où chaque fuite renforce le stock de données exploitables.

Une exposition structurelle des utilisateurs français

Les données historiques confirment que la France est durablement exposée aux violations de données. Depuis 2004, 758,6 millions de comptes ont été compromis, impliquant 212,9 millions d’adresses e-mail uniques. En moyenne, une même adresse e-mail française a été compromise 3,6 fois.

Au total, 2,2 milliards de données personnelles ont été exposées, dont 486,5 millions de mots de passe. Cela signifie que 64% des comptes compromis incluaient des identifiants sensibles, augmentant fortement les risques de compromission en chaîne.

Selon les estimations, un Français a été concerné par environ 11 violations de données depuis 2004, ce qui positionne le pays parmi les plus exposés au monde.

Quelles bonnes pratiques pour limiter les risques ?

Face à cette explosion des cyberattaques, Surfshark recommande une approche plus stricte de la gestion des données personnelles. Il s’agit notamment de considérer toute information comme sensible par défaut et de limiter sa diffusion au strict nécessaire.

L’usage d’adresses e-mail secondaires, d’alias ou de services de masquage permet également de réduire l’exposition lors des inscriptions en ligne. Ces pratiques s’inscrivent dans une logique de réduction de la surface d’attaque, désormais essentielle dans un contexte de fuite massive et continue.

Source : Etude reposant sur les données du Data Breach Monitoring de Surfshark, qui recense les violations de données rendues publiques depuis 2004 et les associe au pays de l’adresse e-mail concernée. Statistiques du premier semestre 2026 couvrent les violations de données recensées entre janvier et juin 2026.