À retenir
- Environ 80 % des Français ont des données en vente sur le darknet, a estimé le général André Petillot le 8 octobre à Toulon
- Adresse, téléphone, courriel et données de santé figurent dans les fichiers revendus, selon le numéro deux de la gendarmerie
- La France a compté 43,4 millions de comptes compromis entre janvier et juin 2026, d’après une étude Surfshark publiée le 28 juillet
- La CNIL et Cybermalveillance.gouv.fr ont publié le 1er octobre une fiche en trois étapes pour les personnes touchées
Au sommaire
Le général André Petillot, major général de la gendarmerie nationale, a estimé jeudi 8 octobre à Toulon que quatre Français sur cinq ont des informations personnelles proposées à la vente sur le darknet. Il s’exprimait aux Rencontres stratégiques de la Méditerranée, organisées par l’institut FMES.
« À peu près 80 % des Français ont leurs données en vente sur le darknet à des niveaux plus ou moins importants », a déclaré l’officier.
L’ordre de grandeur est donné à l’oral, lors d’une séance plénière consacrée à la guerre hybride.
À Toulon, le général Petillot décrit des profils entièrement exposés
Tous les Français ne sont pas touchés au même degré. « Il y a des gens pour lesquels il y a tout, l’adresse, téléphone, adresse mail, données de santé », a précisé le major général.
Ces fichiers servent ensuite à monter « des faux dossiers de prêts, des escroqueries de toute nature », selon le général Petillot.
Hugues Foulon, directeur général d’Orange Cyberdefense, participait à la même séance. Il a jugé qu’« un certain nombre d’infrastructures publiques ne sont pas à la hauteur » de la protection attendue.
43,4 millions de comptes compromis en six mois, selon Surfshark
L’estimation de la gendarmerie rejoint un chiffrage publié cet été. Entre janvier et juin 2026, 43,4 millions de comptes français ont été compromis, selon une étude de l’éditeur Surfshark publiée le 28 juillet 2026.
La hausse atteint 62,3 % par rapport au second semestre 2025. La France se classe au deuxième rang mondial, derrière les États-Unis et leurs 90,8 millions de comptes.
La CNIL détaille trois étapes depuis le 1er octobre
Aucun service public ne permet de savoir si ses propres données circulent. La CNIL indique qu’elle ne peut pas confirmer à une personne sa présence dans une base piratée : c’est l’organisme victime qui doit prévenir les personnes concernées.
Pour celles qui reçoivent ce type de message, la CNIL et Cybermalveillance.gouv.fr ont publié le 1er octobre 2026 la fiche « Violation de données personnelles, que faire en 3 étapes clés ? ».
- La première semaine : conserver le message reçu, changer le mot de passe compromis en commençant par la messagerie principale, activer la double authentification, se méfier des courriels, SMS et appels inhabituels.
- Les semaines suivantes : surveiller ses comptes bancaires, ne signer aucun mandat de prélèvement douteux, vérifier les sessions actives, l’adresse de récupération et l’absence de redirection automatique sur sa messagerie.
- Au quotidien : communiquer moins de données et supprimer les comptes inutilisés.
Recevoir une alerte ne signifie pas que les données ont déjà servi à une fraude, rappelle la fiche.
Usurpation d’identité : plainte, banque et fichier Ficoba
Un courrier de relance pour un crédit jamais demandé ou un prélèvement inconnu doivent alerter. Dans ce cas, la CNIL recommande de déposer plainte rapidement auprès de la police ou de la gendarmerie et de prévenir sa banque.
Deux vérifications complètent la démarche : le fichier des incidents de crédit tenu par la Banque de France, et le Ficoba, qui recense les comptes bancaires ouverts au nom d’une personne.
La CNIL invite aussi à prévenir les proches moins à l’aise avec le numérique, en particulier lorsque des données de santé sont en cause.
