Été 2026 : les fuites de données en France, ce que ça change pour une PME

De juin à septembre 2026, la presse française a enchaîné les dossiers de fuites de données. Ce hub ne recopie pas les unes. Il classe ce qui est confirmé par un organisme, ce qui reste revendiqué par un attaquant, et ce qu’une PME peut décider dès cette semaine. (L’incident ANTS / France Titres d’avril 2026, hors fenêtre, n’est rappelé qu’en une phrase : le même ressort — accès légitime, fichier central, phishing de suivi.)

Six dossiers, six niveaux de preuve

• Piratage des impôts / DGFiP — confirmé par Bercy (août 2026), ~678 000 usagers, vecteur compte agent, revendication ZeroBytes.
• Éducation nationale — intrusion du 25 juillet confirmée ; le ministère limite le SI formation ; ZeroBytes revendique un périmètre beaucoup plus large, non tranché publiquement.
• SFR / outil interne fibre (NOVA) — incident confirmé, détection le 2 juillet ; 2,1 millions de lignes = revendication ; attribution ZeroBytes non officielle.
• Intermarché Drive — confirmé, 287 605 clients informés, enquête ouverte. Pas d’e-mail ni d’IBAN selon l’enseigne.
• Alaxione — intrusion reconnue ; millions de profils = revendication ; l’entreprise parle de données de test. Expertise indépendante non publiée au 2 septembre.
• SDIS / collectivités — cinq départements confirmés par le parquet en juillet ; Bas-Rhin confirmé fin août ; autres listes encore revendiquées.

Ce qui se répète — utile pour une PME

Ce n’est pas « la France est à terre ». Trois mécaniques reviennent :

1. Un compte déjà autorisé (agent, prestataire, outil interne), pas forcément un 0-day.
2. Un fichier métier (fiscal, RH, fibre, Drive, agenda, annuaire pompiers) plus précieux qu’un site vitrine.
3. Un décalage entre détection technique et information des personnes — qui nourrit le phishing d’accompagnement.

Une PME de 40 personnes avec un ERP, un Drive Microsoft 365 et deux prestataires informatiques est sur ce schéma. Pas besoin d’être un ministère.

Par où commencer, concrètement

L’ordre n’a pas changé ; l’été 2026 le rend seulement plus vendable en comité de direction :

1. Cartographier les comptes qui peuvent exporter (pas seulement se connecter).
2. Lancer un audit cybersécurité PME ou, si vous êtes une PME indépendante de plus de 10 salariés, vérifier le Diag Cyber BPI (un Diag par site ≤ 250, 8 jours, 8 800 € HT, 50 % soit 4 400 € HT sous réserve d’éligibilité).
3. Si un portail client, un Drive ou un outil interne est exposé : test d’intrusion application web.
4. Pour tenir ensuite : RSSI externalisé — c’est l’accompagnement cybersécurité, pas un outil de plus.

Méthode éditoriale

Nous n’avons pas recopié les articles de presse. Chaque chiffre est attribué soit à un organisme (DGFiP, ministère, SFR, Intermarché, parquet, SIS 67), soit à une revendication. Quand les deux divergent, nous le disons. Page rédigée le 2 septembre 2026 à partir de sources publiques françaises.