43 millions de comptes français piratés en 6 mois : pourquoi la France est devenue la cible n°1 en Europe

C’est un record dont la France se serait bien passée. D’après une nouvelle étude du spécialiste en cybersécurité Surfshark, 43,4 millions de comptes français ont été compromis entre janvier et juin 2026. En six mois seulement, le pays a dépassé son bilan de toute l’année précédente et s’installe en tête du classement européen des fuites de données.

Derrière ce chiffre vertigineux, une question concrète : qu’est-ce que cela change pour vous, et que faire de vos propres comptes ? Décryptage.

Des chiffres qui donnent le tournis

L’étude dresse un état des lieux sans appel pour l’Hexagone :

• 43,4 millions de comptes compromis au premier semestre 2026, soit une hausse de 62,3 % par rapport au semestre précédent.
• 58 % des comptes compromis en Europe sont liés à des utilisateurs français. Aucun autre pays du continent ne s’approche de ce niveau d’exposition.
• À l’échelle mondiale, la France est le deuxième pays le plus touché, derrière les seuls États-Unis (90,8 millions de comptes sur la même période).
• Rapporté à la population, la France affiche même la plus forte densité de comptes compromis au monde.

Et la tendance de fond est tout aussi préoccupante : depuis 2004, plus de 758 millions de comptes français ont été exposés dans des fuites, dont près de 213 millions d’adresses e-mail uniques. En moyenne, une même adresse française apparaît dans plus de trois fuites différentes, et chaque habitant aurait été concerné par une dizaine de violations au fil des ans.

Une précision importante : comptes ne veut pas dire personnes

Avant de céder à la panique, un point de méthodologie mérite d’être souligné. L’étude comptabilise des comptes présents dans des bases de données divulguées, pas des individus uniques. Si votre adresse e-mail figure dans trois fuites distinctes, elle est comptée trois fois.

Cela ne rend pas le constat moins grave, au contraire : cela signifie que les mêmes internautes sont exposés de manière répétée, et que chaque nouvelle fuite vient enrichir des dossiers déjà constitués sur eux. Pour un cybercriminel, croiser trois fuites concernant la même personne (une adresse ici, un numéro de téléphone là, un mot de passe ailleurs) permet de construire un profil complet, idéal pour des arnaques ciblées.

Pourquoi la France est-elle si touchée ?

Plusieurs facteurs se conjuguent pour expliquer cette position peu enviable.

Les institutions publiques dans le viseur

La hausse spectaculaire du semestre s’explique en grande partie par des attaques visant des services publics et parapublics, dont certains gèrent des bases couvrant une part énorme de la population. Plusieurs services de l’État ont été touchés durant la période, et un seul portail compromis peut représenter à lui seul des millions de comptes. C’est l’effet de concentration : quand une base contient les données de millions de citoyens, une seule faille mal corrigée ou un seul accès détourné suffit à transformer une intrusion banale en fuite nationale.

La centralisation des données

Opérateurs télécoms, mutuelles, banques, grandes enseignes : la vie numérique française repose sur un nombre réduit de très grands acteurs, chacun détenant des fichiers massifs. À chaque incident chez l’un d’eux, ce sont des millions de comptes qui basculent d’un coup dans les statistiques.

Un cercle vicieux alimenté par les fuites précédentes

Les données déjà volées servent de matière première aux attaques suivantes : campagnes de phishing crédibles, tentatives de connexion automatisées avec les mots de passe divulgués, arnaques téléphoniques personnalisées. Plus un pays a fui, plus il devient facile à attaquer.

Le vrai danger : les données volées ne périment pas

C’est sans doute l’enseignement le plus important de l’étude. Comme le rappelle le responsable sécurité de Surfshark, une accalmie statistique ne doit jamais donner un faux sentiment de sécurité : les données dérobées ne disparaissent pas avec le temps et peuvent être exploitées des années après la fuite initiale.

Concrètement, un mot de passe que vous utilisiez en 2022 et qui a fui cette année-là peut servir aujourd’hui à une attaque par credential stuffing : des robots testent automatiquement les anciens couples e-mail/mot de passe sur des centaines de services. Si vous avez réutilisé ce mot de passe ailleurs, ou si vous ne l’avez jamais changé, la porte est toujours ouverte.

Que faire, concrètement, si vous êtes en France ?

Au vu de ces chiffres, le plus réaliste est de partir d’un principe simple : certaines de vos données ont déjà fui. La bonne stratégie ne consiste pas à espérer passer entre les gouttes, mais à faire en sorte qu’une fuite ne donne accès à rien d’important.

1. Vérifiez votre exposition

Des services gratuits comme Have I Been Pwned vous indiquent dans quelles fuites connues votre adresse e-mail apparaît. C’est le point de départ : vous saurez quels comptes traiter en priorité.

2. Éliminez les mots de passe réutilisés

C’est la mesure la plus rentable de toutes. Un mot de passe unique par compte transforme chaque fuite en incident isolé au lieu d’une réaction en chaîne. Générez des identifiants longs, aléatoires et distincts en quelques secondes avec un générateur de mots de passe, en commençant par vos comptes critiques : messagerie, banque, impôts, santé.

3. Changez les mots de passe anciens des comptes sensibles

Si le mot de passe de votre boîte mail a plus de quelques années et n’a jamais été renouvelé, considérez qu’il circule peut-être déjà. Remplacez-le par une version longue et unique.

4. Activez la double authentification partout où c’est possible

Même avec un mot de passe volé, un attaquant se heurtera à une seconde barrière. Priorité absolue : votre messagerie principale, qui sert de clé de récupération pour tous vos autres comptes. Quand un service propose les passkeys, adoptez-les.

5. Méfiez-vous des sollicitations qui « savent des choses » sur vous

Un appel ou un e-mail qui mentionne votre vrai nom, votre opérateur ou une opération récente n’est pas forcément légitime : ces informations proviennent souvent des fuites précédentes. Ne communiquez jamais un code reçu par SMS, et raccrochez pour rappeler vous-même le numéro officiel au moindre doute.

Ce qu’il faut retenir

La France concentre désormais plus de la moitié des comptes compromis en Europe, avec 43,4 millions de comptes touchés en six mois et une exposition par habitant record. Ces chiffres décrivent un environnement où les fuites ne sont plus des accidents exceptionnels mais une composante permanente de la vie numérique.

Face à cela, votre meilleure protection ne dépend ni des entreprises ni des institutions : elle tient à l’architecture de vos propres comptes. Des mots de passe uniques, longs et aléatoires, une double authentification systématique, et le tour est joué : la prochaine fuite qui contiendra votre adresse ne donnera accès à rien. Prenez cinq minutes aujourd’hui pour sécuriser vos comptes prioritaires avec FortixPass.