{"meta":{"project":"France Cyberwatch 2025-2026","reviewedThrough":"2026-08-16","schemaVersion":"1.3.0","scope":{"en":"Curated public-interest dataset of major publicly reported cyberattacks and data breaches affecting French public institutions and companies in 2025 and 2026. It is not a complete register. Unknown or disputed victim counts are not converted into confirmed statistics.","fr":"Jeu de données d’intérêt public sur les principales cyberattaques et fuites de données rendues publiques touchant des institutions publiques et des entreprises françaises en 2025 et 2026. Il ne constitue pas un registre exhaustif. Les nombres de victimes inconnus ou contestés ne sont pas convertis en statistiques confirmées."},"methodology":{"en":"Prefer official disclosures. Keep unknown values as null. Keep disputed attacker claims in labels or notes rather than numeric fields used for charts. Do not attribute attackers unless public evidence supports the attribution.","fr":"Privilégier les communiqués officiels. Conserver les valeurs inconnues à null. Garder les revendications contestées dans les libellés ou notes plutôt que dans les champs numériques utilisés pour les graphiques. Ne pas attribuer une attaque sans éléments publics suffisants."},"rules":{"affectedCounts":{"en":"Plot only incidents where affected is a non-null numeric value.","fr":"Ne représenter que les incidents dont le champ affected est une valeur numérique non nulle."},"unknownCounts":{"en":"Display as Unknown / under investigation, never as zero.","fr":"Afficher comme Inconnu / sous enquête, jamais comme zéro."},"disputedClaims":{"en":"Do not include disputed attacker-claimed victim counts in aggregate charts.","fr":"Ne pas inclure les nombres de victimes revendiqués et contestés dans les graphiques agrégés."}},"lang":"fr","total":2,"returned":2,"offset":0,"limit":100,"withoutPublishedCount":0},"incidents":[{"id":"ficoba","date":"2026-01-31","year":2026,"org":"DGFiP / FICOBA","domain":"economie.gouv.fr","kind":"government","sector":"Finance / tax","sectorLabel":"Finances / fiscalité","severity":"critical","status":"confirmed","affected":1200000,"affectedLabel":"Environ 1,2 million de comptes bancaires","data":"Identifiants de comptes (RIB/IBAN), identité du titulaire et adresse postale. L’identifiant fiscal n’a pas été consulté. Pas de soldes.","method":"Identifiants volés d’un fonctionnaire extérieur à la DGFiP, habilité aux échanges interministériels — pas une faille logicielle de FICOBA.","risk":"Hameçonnage bancaire et fiscal ciblé, fraude à l’identité et arnaques au faux conseiller.","confidence":"Communication officielle des autorités et réponses parlementaires ultérieures","sourceName":"French Finance Ministry","sourceId":"ficoba","sourceUrl":"https://presse.economie.gouv.fr/acces-illegitimes-au-fichier-national-des-comptes-bancaires-ficoba/","sourceIds":["ficoba","ficobaFaqPage","ficobaImpots","ficobaQ13230","ficobaQ13370"],"lastResearched":"2026-08-16","url":"/fr/incident/ficoba","detail":{"lead":"De fin janvier au 13 février 2026, un attaquant a utilisé les identifiants d’un fonctionnaire extérieur à la DGFiP habilité à interroger FICOBA dans le cadre des échanges interministériels. Environ 1,2 million d’enregistrements de comptes bancaires — moins de 1 % du fichier — ont été consultés ou extraits.\n\nLe chiffre de 1,2 million désigne des comptes bancaires, pas des personnes uniques. Une personne peut détenir plusieurs comptes, et un compte peut avoir plusieurs titulaires.","timeline":[{"date":"2026-01-28","label":"Début des consultations illégitimes de FICOBA à l’aide des identifiants d’un fonctionnaire habilité extérieur à la DGFiP."},{"date":"2026-02-13","label":"Dernier jour de la fenêtre d’accès illégitime indiquée dans les réponses parlementaires ultérieures."},{"date":"2026-02-16","label":"La DGFiP procède à sa première notification à la CNIL, selon une réponse parlementaire ultérieure."},{"date":"2026-02-18","label":"Le ministère des Finances rend public l’incident et le périmètre d’environ 1,2 million de comptes."},{"date":"2026-02-23","label":"La DGFiP complète sa notification à la CNIL."},{"date":"2026-02-24","label":"Les banques commencent à recevoir, par voie sécurisée, les informations sur leurs comptes figurant dans l’ensemble consulté."},{"date":"2026-04-28","label":"Réponse parlementaire : le compte compromis appartenait à une autre administration, et non à une faille logicielle de FICOBA."}],"how":"L’attaque a utilisé des identifiants valides rattachés à un utilisateur interministériel habilité, extérieur à la DGFiP. Les autorités n’ont pas publié comment ces identifiants ont été volés. Une réponse parlementaire indique que l’incident vient de l’usage d’un compte dans une administration tierce, et non d’une vulnérabilité logicielle de FICOBA.","taken":"Identifiants de comptes bancaires (RIB, IBAN), identité du titulaire et adresse postale. Le ministère des Finances a indiqué que l’identifiant fiscal n’avait pas été consulté lors des accès illégitimes.","notTaken":"FICOBA ne contient ni soldes ni historiques d’opérations. L’incident n’a pas compromis les mots de passe bancaires, les mots de passe impots.gouv.fr ni l’accès aux espaces fiscaux sécurisés. Un IBAN est sensible pour la fraude, mais ce n’est pas un identifiant qui donne le contrôle d’une banque en ligne.","impact":"Les préjudices en aval les plus crédibles sont l’hameçonnage bancaire et fiscal ciblé, la fraude à l’identité et les tentatives de prélèvements non autorisés. La combinaison d’une identité réelle, d’une adresse et d’un IBAN est particulièrement utile pour une arnaque au faux conseiller bancaire ou à l’usurpation administrative.","response":"La DGFiP a restreint les accès externes, travaillé avec l’ANSSI et les responsables de sécurité du ministère, notifié la CNIL, déposé plainte, contacté les usagers concernés et transmis aux banques les informations compte par compte pour renforcer la surveillance et les alertes clients. Les réponses parlementaires ultérieures indiquent que les accès externes sont restés coupés le temps des travaux de sécurisation.","methodDisclosure":"disclosed","revision":"Les documents parlementaires ultérieurs confirment le premier récit public et précisent la frontière de sécurité : les identifiants compromis appartenaient à un fonctionnaire extérieur à la DGFiP, et l’incident n’était pas une faille logicielle de FICOBA.","quotes":[{"text":"usurpé les identifiants d’un fonctionnaire","original":"usurpé les identifiants d’un fonctionnaire","originalLang":"fr","attribution":"Ministère de l’Économie et des Finances, 18 février 2026","sourceId":"ficoba"},{"text":"1,2 millions de comptes","original":"1,2 millions de comptes","originalLang":"fr","attribution":"Ministère de l’Économie et des Finances, 18 février 2026","sourceId":"ficoba"}]}},{"id":"bouygues","date":"2025-08-04","year":2025,"org":"Bouygues Telecom","domain":"bouyguestelecom.fr","kind":"company","sector":"Telecommunications","sectorLabel":"Télécommunications","severity":"critical","status":"confirmed","affected":6400000,"affectedLabel":"6,4 millions de comptes clients","data":"Identité, coordonnées, données contractuelles et BIC/IBAN sur 6,4 millions de comptes clients — pas un décompte de personnes distinctes. Mots de passe et cartes non exposés.","method":"Accès non autorisé ; la voie d’accès initiale n’a pas été publiée.","risk":"Usurpation ciblée et fraudes au prélèvement. Un IBAN n’est pas un accès à la banque en ligne.","confidence":"Communication officielle de l’entreprise","sourceName":"Bouygues Telecom","sourceId":"bouygues","sourceUrl":"https://www.corporate.bouyguestelecom.fr/archives-communique-presse/bouygues-telecom-annonce-avoir-ete-victime-dune-cyberattaque/","sourceIds":["bouygues","bouyguesFaq","bouyguesCybermalveillance","bouyguesLemonde","bouyguesTechcrunch"],"lastResearched":"2026-08-16","url":"/fr/incident/bouygues","detail":{"lead":"Bouygues Telecom a détecté une cyberattaque le 4 août 2025 et l’a rendue publique deux jours plus tard. L’intrusion a donné un accès non autorisé à des données personnelles liées à 6,4 millions de comptes clients. Ce chiffre compte des comptes, pas nécessairement 6,4 millions de personnes distinctes. Les champs exposés comprenaient des coordonnées et des données d’état civil, des informations contractuelles et des identifiants bancaires tels que BIC et IBAN. Bouygues a indiqué que les mots de passe des comptes et les numéros de carte n’étaient pas exposés.","timeline":[{"date":"2025-08-04","label":"Bouygues Telecom détecte l’attaque ; les équipes techniques stoppent l’accès non autorisé."},{"date":"2025-08-06","label":"Annonce publique : 6,4 millions de comptes ; CNIL notifiée ; plainte déposée ; notification des clients commencée."},{"date":"2025-08-13","label":"Bouygues et Cybermalveillance.gouv.fr publient des conseils pratiques sur l’hameçonnage, la fraude liée à l’IBAN et la contestation des prélèvements."},{"date":"2026-02-04","label":"Cybermalveillance.gouv.fr met à jour sa fiche de conseils, en conservant le périmètre de 6,4 millions de comptes et les consignes anti-fraude."}],"how":"Bouygues a décrit l’événement comme un accès non autorisé et indiqué que ses équipes techniques l’avaient stoppé. L’entreprise n’a pas identifié publiquement la voie d’accès initiale, une vulnérabilité ni un attaquant.","taken":"Coordonnées des clients, données d’état civil, données contractuelles, BIC et IBAN. La synthèse publique de Cybermalveillance mentionne aussi l’identité de l’entreprise et le SIREN pour les dossiers professionnels concernés. Le chiffre de 6,4 millions compte des comptes clients, pas nécessairement 6,4 millions de personnes physiques distinctes.","notTaken":"Bouygues a indiqué que les mots de passe des comptes clients et les numéros de carte n’étaient pas exposés. Détenir un IBAN n’équivaut pas à détenir des identifiants bancaires et ne permet pas automatiquement de déplacer de l’argent.","impact":"Le risque durable est l’usurpation ciblée. Un arnaqueur qui connaît l’opérateur, l’identité, le contexte contractuel et l’IBAN d’une victime peut se faire passer de façon crédible pour un conseiller télécom, un service antifraude bancaire, un recouvreur ou un intermédiaire de paiement. L’exposition peut aussi servir à des tentatives de prélèvement frauduleux, même si les banques offrent des voies de contestation.","response":"Bouygues a contenu l’accès non autorisé, notifié la CNIL, déposé plainte et informé les clients concernés par e-mail ou SMS. Sa FAQ a expliqué ce qu’un IBAN permet ou non, et renvoyé les clients vers leur banque en cas d’activité suspecte. Cybermalveillance.gouv.fr a publié des conseils publics destinés à réduire la fraude de suivi.","methodDisclosure":"undisclosed","revision":"Le chiffre confirmé de 6,4 millions désigne des comptes clients, et la présence d’IBAN ne doit pas être décrite comme une compromission de la banque en ligne.","quotes":[{"text":"accès non autorisé à certaines données personnelles de 6,4 millions de comptes clients","original":"accès non autorisé à certaines données personnelles de 6,4 millions de comptes clients","originalLang":"fr","attribution":"Bouygues Telecom","sourceId":"bouygues"}]}}]}