« On est tous une cible potentielle. » Corse Matin l’a écrit récemment. L’Université de Corse, Corsica Linea, l’Office hydraulique, l’hôpital de Castelluccio, Corsica Ferries : toutes ont été touchées par une cyberattaque ces derniers mois. Ce n’est pas une formule pour faire peur, c’est un constat. Et il vaut pour tout le monde : une grande institution, une petite association de quartier, une entreprise artisanale, la mairie d’un village.

Depuis deux ans, la France enchaîne les fuites de données à un rythme inédit. France Travail, les opérateurs télécoms, les mutuelles santé, les impôts, l’Éducation nationale : personne n’est épargné. Le point commun de toutes ces affaires n’est pas la technique utilisée. C’est la cible : des bases qui contiennent l’identité, la santé, les finances ou la scolarité de millions de Français — et parfois de vos propres salariés, adhérents ou administrés.

Cet article fait le point, simplement sur ce qui s’est passé. Ce que les criminels font concrètement de ces données volées. Pourquoi votre structure peut être touchée même si elle n’a jamais été piratée directement. Ce que l’Estonie a appris de la pire des façons, et comment le CSIRT CyberCorsica agit chaque jour, en Corse, pour que vous n’ayez pas à affronter tout ça seul.

Ce qui s’est passé ces deux dernières années

Voici, en un coup d’œil, les principales fuites de données qui ont touché l’État français et les organismes qui gèrent nos données personnelles depuis 2024. La liste s’est encore allongée cet été 2026. Les volumes annoncés varient parfois d’une source à l’autre : nous retenons ici les chiffres les plus recoupés avec les communications officielles.

D’autres organismes ont été touchés sur la même période : le CROUS (774 000 étudiants) ou encore la Fédération française de rugby (plus de 500 000 licenciés). Le message est clair : aucun secteur — santé, éducation, administration, sport, transport — n’est épargné. Et aucun type d’acteur non plus. Collectivités, entreprises, associations, et même l’État lui-même — au sommet de la hiérarchie administrative — en a fait les frais à plusieurs reprises, en l’espace de quelques semaines à peine.

Une fois volées, à quoi servent vraiment ces données ?

On a tendance à minimiser une fuite de données, un peu comme un vol de matériel sans grande conséquence. C’est une erreur : une donnée personnelle volée n’a rien d’anodin, parce qu’elle n’a de valeur que si elle est utilisée. Contrairement à un objet dérobé, elle permet à un cybercriminel d’aller beaucoup plus loin que le simple vol initial. Il peut construire un nouveau scénario d’attaque sur mesure : un email de rentrée scolaire crédible, un faux technicien qui connaît déjà votre contrat. Il peut aussi se faire réellement passer pour vous auprès d’un tiers. Ou encore ouvrir un compte, un crédit, une ligne téléphonique en votre nom — sans que vous le sachiez avant qu’il ne soit trop tard.

Voici quatre exemples bien réels, observés ces derniers mois, chez nous, en Corse.

La rentrée scolaire, un moment idéal pour les escrocs. Chaque rentrée réunit les mêmes ingrédients : un calendrier connu de tous, de vraies factures à régler (cantine, fournitures, transport, assurance). Et désormais, des informations précises sur les élèves, issues des fuites d’ÉduConnect ou d’établissements piratés. Les escrocs n’inventent plus rien. Ils reprennent le nom de l’école, la classe de l’enfant, le montant exact d’une cotisation. Ils envoient par SMS ou email une fausse demande de paiement — ou un faux lien vers l’espace numérique de l’établissement. Le but réel : voler vos identifiants et vos coordonnées bancaires.

Le vol de votre ligne téléphonique par « eSIM swap ». C’est l’arnaque la plus spectaculaire. La Gendarmerie nationale a tiré la sonnette d’alarme fin août 2026. Trois informations suffisent : votre nom, votre date de naissance, votre email — souvent trouvées dans une fuite comme celles de Free ou SFR. Un escroc se fait alors passer pour vous auprès de votre opérateur mobile. Il active à distance une eSIM (une carte SIM numérique, sans puce physique) sur son propre téléphone. Votre ligne bascule chez lui instantanément, sans qu’il ait besoin de se déplacer en boutique. Il reçoit alors vos SMS de vérification bancaire à votre place, et peut vider vos comptes en quelques minutes. Le réflexe qui protège : remplacez, quand c’est possible, la vérification par SMS par une application dédiée (Google Authenticator, Microsoft Authenticator). Et si votre téléphone perd le réseau sans raison, appelez immédiatement votre opérateur, puis votre banque.

La formation professionnelle et le crédit détournés en votre nom. Moins spectaculaire, tout aussi révélateur. Avec un numéro de sécurité sociale ou des identifiants volés, des officines créent de faux dossiers de formation au nom de victimes. Elles facturent des prestations fictives directement sur leurs droits au Compte personnel de formation (CPF) — parfois plusieurs milliers d’euros. Le même principe permet d’ouvrir un crédit à la consommation au nom de quelqu’un d’autre. Dans les deux cas, la victime ne s’en aperçoit souvent qu’au moment d’un prélèvement refusé, ou d’un fichage bancaire injustifié.

Le cambriolage rendu possible par une fuite de données sportives. C’est sans doute l’exemple le plus concret d’un préjudice qui sort totalement du monde numérique. En novembre 2025, la fuite des fichiers de la Fédération française de tir (FFTir) a exposé l’identité, l’adresse et les coordonnées de près d’un million de licenciés actuels et anciens — des pratiquants du tir sportif, donc, dans bien des cas, des détenteurs d’armes à leur domicile. Une trentaine de cambriolages ont depuis été signalés comme potentiellement liés à cette fuite. Des malfaiteurs ont pu cibler directement les domiciles de tireurs identifiés grâce aux données volées. Des campagnes d’escroquerie s’y sont ajoutées : de faux appels se présentant comme la police ou la gendarmerie, pour tenter de « récupérer les armes » des victimes — une pratique que les forces de l’ordre n’emploient jamais par téléphone.

Et si un autre danger visait votre association, votre entreprise ou votre collectivité ?

On pense souvent que ces fuites de données ne concernent que « la vie privée ». C’est une erreur qui coûte cher. La grande majorité des cyberattaques qui paralysent aujourd’hui une entreprise, une association ou une mairie ne commencent pas par une attaque technique sophistiquée. Elles commencent par un compte piraté.

Le mécanisme est simple — et c’est bien là le problème. Beaucoup d’entre nous réutilisent le même mot de passe, ou une variante très proche, pour leur messagerie personnelle et pour leurs outils professionnels. Or ce mot de passe personnel a pu être volé ailleurs : chez votre banque, votre opérateur télécom, un site marchand. Il circule alors librement sur les marchés clandestins du dark web, aux côtés de millions d’autres identifiants. Une étude récente évoque plus de 8 millions d’identifiants volés par des logiciels espions appelés « infostealers », dont plus de 194 000 concernant des internautes français. Un attaquant n’a alors qu’à tester ce même mot de passe sur votre messagerie professionnelle, votre logiciel de comptabilité, ou l’accès VPN de votre structure. S’il fonctionne, la porte est grande ouverte.

Ce n’est pas une hypothèse d’école. Le rapport annuel InterCERT France a analysé 366 incidents survenus en 2025. Sa conclusion : les comptes compromis sont devenus le mode d’entrée numéro un des attaquants dans les organisations françaises, devant les failles techniques classiques. L’ANSSI pointe directement la cause, dans son panorama de la cybermenace 2025 : « il est parfois difficile pour les entités victimes de réagir face à ce type d’attaques dont elles ne maîtrisent pas toujours le vecteur d’intrusion, notamment en l’absence de cloisonnement des usages professionnels et personnels. » Autrement dit : un ordinateur ou un mot de passe utilisé à la fois à la maison et au bureau devient un pont direct entre votre vie privée et les systèmes de votre structure.

Les petites structures ne sont pas épargnées. Bien au contraire. Les TPE, PME et associations représentent la catégorie la plus touchée par les rançongiciels en France : 37 % des cas en 2025. Les collectivités territoriales comptent pour 11 % des incidents — souvent parce qu’elles disposent de moins de moyens pour se protéger que les grandes organisations, tout en gérant des données tout aussi sensibles.

Même les plus grandes administrations n’y échappent pas. La Direction générale des Finances publiques, qui gère les données fiscales de tous les Français, a subi trois piratages distincts en six mois en 2026 : des identifiants volés, un accès interne usurpé, puis un contournement de la double authentification. Si un service aussi protégé peut être touché plusieurs fois par le même type de faille humaine, aucune structure — quelle que soit sa taille — ne peut se croire à l’abri par principe.

Concrètement, pour une association, une entreprise ou une collectivité corse, cela veut dire trois choses simples. Un mot de passe professionnel ne doit jamais être identique à un mot de passe personnel. L’authentification à double facteur doit être activée partout où c’est possible, en priorité sur les messageries et les accès à distance. Et il faut savoir, sans attendre une crise, où trouver de l’aide pour vérifier son exposition et réagir vite en cas de doute.

Ce que l’Estonie a appris de la pire des façons

Pour comprendre ce qu’implique une vraie politique de résilience, direction l’Estonie. Un petit pays de 1,3 million d’habitants, devenu une référence mondiale en cybersécurité. Pour une raison précise : il a été le premier au monde à subir une cyberattaque visant à déstabiliser un État tout entier.

Le 27 avril 2007, dans un climat de tension avec la Russie, l’Estonie a subi une vague d’attaques pendant plusieurs semaines. Le site du Parlement, plusieurs ministères, les grandes banques du pays, les rédactions des principaux médias nationaux : tous ont été mis hors service, tour à tour. L’épisode a été qualifié, à l’époque, de premier cas de « cyberguerre » contre un État.

La réponse estonienne a marqué un tournant. Dès 2008, le pays obtient l’installation à Tallinn du centre de cyberdéfense de l’OTAN — aujourd’hui l’un des hauts lieux mondiaux de la recherche sur le sujet. Mais l’Estonie ne s’est pas arrêtée là. Elle a créé une réserve de volontaires civils, ingénieurs et informaticiens, mobilisables en cas de crise numérique. Et surtout, elle a fait de l’éducation sa priorité. Toutes les écoles du pays sont connectées à Internet dès 1997. La cybersécurité fait partie intégrante des programmes scolaires depuis. L’idée qui guide cette politique est simple : la résilience numérique d’un pays ne peut pas reposer uniquement sur l’État. Elle doit reposer sur une population formée dès le plus jeune âge.

C’est cette même idée qui inspire, à l’échelle de la Corse, l’action du CSIRT CyberCorsica.

En Corse, on a choisi d’agir avant, plutôt que de subir

Le CSIRT CyberCorsica a été inauguré par la Collectivité de Corse en avril 2024. Sa mission : être le premier point de contact des entreprises, associations et collectivités de l’île en cas d’incident. Premier niveau de réponse, orientation vers des prestataires spécialisés, accompagnement pendant la crise, veille permanente sur les menaces du territoire — en lien avec l’ANSSI et le CERT-FR national.

Mais comme l’Estonie après 2007, nous avons fait un choix : ne pas nous limiter à la réponse aux incidents. Depuis 2026, l’opération Cyber Ghjuventù, menée avec l’Académie de Corse, fait se rencontrer collégiens, lycéens et professionnels de la cybersécurité. Échanges directs sur les risques et les métiers. Podcasts réalisés par les élèves eux-mêmes. Puis un grand défi-quiz ouvert à tous les collégiens et lycéens corses, sur l’espace numérique LEIA.

En parallèle, la mallette cyber permet d’apprendre à réagir face à une cyberattaque de façon ludique et concrète. C’est un outil pédagogique diffusé au niveau territorial, avec le soutien de notre CSIRT et du CLUSIR. Une version pensée spécifiquement pour les jeunes est en cours de construction en Corse.

Sensibiliser la jeunesse insulaire est essentiel. Mais votre vigilance, aujourd’hui, l’est tout autant. C’est pour cela que le CSIRT CyberCorsica organise régulièrement des matinées cyber gratuites, ouvertes aux entreprises, associations et collectivités de Corse. Des rendez-vous concrets, animés par une équipe qui analyse la menace au quotidien. Pas de discours théorique : des cas vécus, des solutions pratiques, des réponses applicables dès le lendemain. Nous proposons aussi une vision de votre surface exposée sur Internet — pour savoir où vous en êtes avant qu’un attaquant ne le découvre à votre place.

Une fuite de données ailleurs en France peut sembler lointaine, pourtant elle ne l’est pas. Elle peut être, demain, le mot de passe qui ouvre la porte de votre messagerie professionnelle. Le prétexte d’un faux SMS à un parent d’élève. Ou le premier maillon d’une usurpation d’identité. Autant s’y préparer ensemble, dès aujourd’hui.

Sources

• Corse Matin, repris par le CSIRT CyberCorsica — « On est tous une cible potentielle »
• CNIL — France Travail : la CNIL enquête sur la fuite de données
• Orange Actu — Nouvelle cyberattaque France Travail, 340 000 demandeurs d’emploi
• CNIL — Violation de données Viamedis / Almerys
• KPMG — Fuite de données chez Free : conséquences et mesures
• Usine Digitale — SFR victime d’une fuite de données personnelles, un an après la précédente
• OFII (X/Twitter) — Communication officielle sur la cyberattaque du 1er janvier 2026
• economie.gouv.fr — FICOBA : tout savoir sur l’accès illégitime au fichier national des comptes bancaires
• Cyberattaque.org — 678 438 lignes de données fiscales de Français en fuite après le piratage des impôts
• FrenchBreaches — DGFiP (SPDC) : les données de plus de 2 millions de propriétaires exposées
• Cybermalveillance.gouv.fr — Violation de données personnelles de la Fédération Française de Tir (FFTir)
• L’Essor — Fuite de données : 30 cambriolages potentiellement liés au piratage de la Fédération de tir
• Tom’s Guide — Après le fisc, une fuite géante revendiquée à l’Éducation nationale
• FrenchBreaches — Piratage massif de l’Éducation nationale : des millions d’élèves et de personnels exposés
• Europe Infos — Zéro Logement Vacant piraté : 149 millions de lignes revendiquées
• ZATAZ — Zéro Logement Vacant visé par une fuite massive
• Caducée.net — Cegedim : l’ampleur de la fuite précisée, 164 000 personnes avec données sensibles
• Ministère de l’Éducation nationale — Incident de sécurité affectant les données de certains élèves
• ZATAZ — Rentrée scolaire 2026 : les arnaques à surveiller
• Clubic — La Gendarmerie alerte sur le SIM swapping
• Cybermalveillance.gouv.fr — Campagnes d’escroqueries au Compte Personnel de Formation (CPF)
• ZATAZ — Liste infostealer de 8,29 millions d’identifiants, dont plus de 194 000 Français
• DataSecurityBreach — Les comptes compromis, porte d’entrée préférée des attaquants (rapport InterCERT France)
• CERT-FR / ANSSI — Panorama de la cybermenace 2025
• CERT-FR — Collectivités territoriales : synthèse de la menace
• Wikipédia — Cyberattaques de 2007 en Estonie
• CCDCOE — About us
• Wathi — L’Estonie, un modèle de transformation numérique entre éducation et cybersécurité
• CSIRT CyberCorsica — Cyber Ghjuventù : éveiller les jeunes aux enjeux de la cybersécurité
• Ambizione Digitale (Collectivité de Corse) — CSIRT CyberCorsica
• Hub Corsica — Présentation de la mallette cyber en Corse