Le vol d’identité numérique en France ne se mesure plus seulement en plaintes déposées. Il se lit dans les volumes de comptes compromis, les types de données exposées et la vitesse à laquelle ces informations circulent sur des marchés parallèles. Quels indicateurs permettent de quantifier cette menace et de comparer son évolution récente ?
Comptes compromis en France : les chiffres du premier semestre 2026
La progression des fuites de données en France suit une courbe que les comparaisons européennes rendent plus lisible. Le tableau ci-dessous met en regard les volumes connus sur deux périodes consécutives.
| Période | Comptes français compromis | Rang européen |
|---|---|---|
| Second semestre 2025 | 26,7 millions | Non précisé |
| Premier semestre 2026 | 43,4 millions | 1er pays le plus touché en Europe |
| Variation | hausse de 62,3 % en six mois | – |
Ces données, issues d’une analyse Surfshark reprise par 01net en juillet 2026, placent la France au premier rang européen des fuites de comptes en ligne. En parallèle, Économie Matin rapporte que 1,7 milliard de données de Français circulent déjà hors de tout contrôle, alimentant des campagnes automatisées de connexion frauduleuse et d’usurpation d’identité.
L’écart entre les deux semestres ne s’explique pas par un seul incident. Plusieurs fuites massives se sont succédé, touchant des services publics comme des opérateurs privés.
Piratage du fisc et données fiscales exposées : anatomie d’une fuite ciblée
Fin juin 2026, le système d’information de la Direction générale des finances publiques a subi un accès qualifié d’illégitime par Bercy. Le ministère de l’Économie et des Finances a confirmé la consultation et l’extraction de données concernant des particuliers et des professionnels. Le décompte initial évoque 678 438 lignes de données fiscales revendiquées par les attaquants, selon france-epargne.fr.
Les données fiscales ne sont pas de simples identifiants. Elles contiennent des informations de revenus, d’adresse et de situation familiale qui, croisées avec d’autres bases déjà en circulation, permettent de construire un profil crédible pour des demandes de crédit ou des ouvertures de compte.
Pourquoi les données fiscales valent plus qu’un mot de passe
Un mot de passe volé se change en quelques minutes. Un avis d’imposition, lui, reste exploitable pendant des années. Les escrocs l’utilisent comme pièce justificative pour des démarches administratives ou bancaires, rendant la détection bien plus lente.
Les quelque 700 000 contribuables concernés devaient être prévenus individuellement par l’administration. Cette notification elle-même crée un risque : des campagnes d’hameçonnage imitant les messages officiels du fisc ont été anticipées par les spécialistes en cybersécurité dès l’annonce de la fuite.
Usurpation d’identité bancaire : le cas Crédit Agricole et la fraude par SIM swap
Le vol d’identité numérique ne se limite pas aux services publics. En 2026, une campagne de phishing usurpant l’identité du Crédit Agricole a fait des centaines de victimes, selon frenchbreaches.com. RTL rapporte par ailleurs que près de 21 millions de clients exposés à une fraude massive ont été identifiés dans une cyberattaque visant la première banque de France.
Le mécanisme du SIM swap illustre la sophistication croissante de ces attaques. Le Monde a couvert en août 2026 une décision de justice condamnant à la fois l’opérateur téléphonique et la banque après un détournement de numéro de téléphone ayant permis le vol de 17 000 euros sur un compte personnel.
Le SIM swap fonctionne en trois étapes :
- L’attaquant collecte suffisamment de données personnelles (nom, date de naissance, numéro de compte) via des fuites précédentes pour convaincre un opérateur téléphonique de transférer le numéro de la victime sur une nouvelle carte SIM.
- Une fois le numéro détourné, il intercepte les codes de validation par SMS envoyés par la banque et valide des virements ou des changements de mot de passe.
- La victime perd l’accès à sa ligne téléphonique, souvent sans comprendre immédiatement ce qui se passe, ce qui laisse aux fraudeurs une fenêtre d’action de plusieurs heures.
Cette décision judiciaire est notable : elle établit une double responsabilité, celle de l’opérateur pour un contrôle d’identité insuffisant et celle de la banque pour un dispositif d’authentification trop dépendant du SMS.
FranceConnect+ et identité numérique : le durcissement de l’accès aux services publics
Face à la multiplication des usurpations, l’État a renforcé les exigences d’authentification. Depuis août 2026, les demandes d’aides Anah (MaPrimeRénov’, MaPrimeAdapt’, Ma Prime Logement Décent) passent obligatoirement par un compte FranceConnect+ avec vérification d’identité renforcée. Ce niveau impose une authentification à deux facteurs adossée à un titre d’identité vérifié, via l’application France Identité ou La Poste.
FranceConnect donne accès à plus de 1 500 services publics avec un seul identifiant. La version renforcée (FranceConnect+) ajoute une couche biométrique ou documentaire qui rend l’usurpation nettement plus difficile. Le déploiement de France Identité s’étend désormais aux Français de l’étranger, selon le ministère des Affaires étrangères.
Limites du dispositif actuel
Le basculement vers FranceConnect+ ne couvre pas encore tous les services. Les Numériques soulignent qu’un paramètre de confidentialité dans FranceConnect mérite une vérification urgente pour limiter la surface d’exposition. Et le passage obligatoire par une application mobile exclut de fait une partie des usagers peu équipés ou peu à l’aise avec le numérique.
Le renforcement de l’identification en ligne progresse, mais il reste fragmentaire. Les fuites de données déjà survenues continuent d’alimenter un stock d’informations exploitables pendant des années. Changer un mot de passe ne suffit pas quand ce sont les données fiscales et bancaires qui circulent. La double condamnation opérateur-banque dans l’affaire du SIM swap trace une piste juridique, mais la prévention repose encore largement sur la vigilance individuelle et la généralisation de l’authentification forte à l’ensemble des services sensibles.
