[{"data":1,"prerenderedAt":2084},["ShallowReactive",2],{"cyberwatch":3,"explainer-podcast-slugs":1751,"explainers":1752},{"schemaVersion":4,"project":5,"summaryStats":17,"sources":60,"incidents":382,"patterns":1511,"recommendations":1578,"ui":1715},"1.3.0",{"name":6,"defaultLocale":7,"supportedLocales":8,"reviewedThrough":10,"scope":11,"methodology":14},"France Cyberwatch 2025-2026","en",[7,9],"fr","2026-08-16",{"en":12,"fr":13},"Curated public-interest dataset of major publicly reported cyberattacks and data breaches affecting French public institutions and companies in 2025 and 2026. It is not a complete register. Unknown or disputed victim counts are not converted into confirmed statistics.","Jeu de données d’intérêt public sur les principales cyberattaques et fuites de données rendues publiques touchant des institutions publiques et des entreprises françaises en 2025 et 2026. Il ne constitue pas un registre exhaustif. Les nombres de victimes inconnus ou contestés ne sont pas convertis en statistiques confirmées.",{"en":15,"fr":16},"Prefer official disclosures. Keep unknown values as null. Keep disputed attacker claims in labels or notes rather than numeric fields used for charts. Do not attribute attackers unless public evidence supports the attribution.","Privilégier les communiqués officiels. Conserver les valeurs inconnues à null. Garder les revendications contestées dans les libellés ou notes plutôt que dans les champs numériques utilisés pour les graphiques. Ne pas attribuer une attaque sans éléments publics suffisants.",{"anssi2025":18,"cnil2025":25,"sectorDistributionPercent":29},{"securityEventsHandled":19,"reports":20,"incidents":21,"possibleDataLeakEvents":22,"confirmedLeakRatePercent":23,"sourceId":24},3586,2209,1366,460,42,"anssi",{"personalDataBreachNotifications":26,"approxShareInvolvingHackingPercent":27,"sourceId":28},6167,50,"cnil",[30,36,42,48,54],{"id":31,"value":32,"label":33},"education-research",34,{"en":34,"fr":35},"Education & research","Éducation & recherche",{"id":37,"value":38,"label":39},"ministries-local-government",24,{"en":40,"fr":41},"Ministries & local government","Ministères & collectivités",{"id":43,"value":44,"label":45},"health",10,{"en":46,"fr":47},"Health","Santé",{"id":49,"value":50,"label":51},"telecom",9,{"en":52,"fr":53},"Telecom","Telecoms",{"id":55,"value":56,"label":57},"other",23,{"en":58,"fr":59},"Other","Autres",[61,67,72,79,86,92,98,103,109,114,119,124,130,135,140,146,151,156,160,166,172,178,183,189,195,199,205,210,214,219,225,231,237,242,247,253,258,264,269,274,279,284,289,295,300,306,311,316,320,325,330,335,340,346,352,358,364,368,372,377],{"id":24,"name":62,"url":63,"publisher":64,"kind":65,"published":66},"ANSSI - Panorama de la cybermenace 2025","https:\u002F\u002Fcyber.gouv.fr\u002Factualites\u002Fpanorama-de-la-cybermenace-2025\u002F","ANSSI","official","2026-03-11",{"id":28,"name":68,"url":69,"publisher":70,"kind":65,"published":71},"CNIL - Annual report 2025","https:\u002F\u002Fwww.cnil.fr\u002Fen\u002Fannual-report-2025","CNIL","2026-05-19",{"id":73,"name":74,"url":75,"publisher":76,"kind":77,"published":78},"orange","Orange - Security incident disclosure","https:\u002F\u002Fnewsroom.orange.com\u002Fthe-orange-group-announces-that-it-filed-a-complaint-on-monday-28-july-concerning-a-security-incident-on-one-of-its-information-systems\u002F?lang=eng","Orange","primary","2025-07-28",{"id":80,"name":81,"url":82,"publisher":83,"kind":84,"published":85},"orangeFollowup","ZDNet — Orange later confirmed a limited data leak","https:\u002F\u002Fwww.zdnet.fr\u002Factualites\u002Fla-cyberattaque-dorange-se-solde-finalement-par-une-fuite-de-donnees-480732.htm","ZDNet France","secondary","2025-08-25",{"id":87,"name":88,"url":89,"publisher":90,"kind":84,"published":91},"orange01net","01net — Orange data published on a leak site","https:\u002F\u002Fwww.01net.com\u002Factualites\u002Fcyberattaque-contre-orange-donnees-piratees-diffusees-dark-web.html","01net","2025-08-26",{"id":93,"name":94,"url":95,"publisher":96,"kind":77,"published":97},"airfranceKlm","KLM — customer notice on a personal-data incident","https:\u002F\u002Fnieuws.klm.com\u002Fklm-informeert-klanten-over-incident-met-persoonsgegevens\u002F","KLM","2025-08-06",{"id":99,"name":100,"url":101,"publisher":102,"kind":84,"published":97},"airfrance","ITPro — Air France and KLM third-party breach","https:\u002F\u002Fwww.itpro.com\u002Fsecurity\u002Fdata-breaches\u002Fair-france-and-klm-confirm-customer-data-stolen-in-third-party-breach","ITPro",{"id":104,"name":105,"url":106,"publisher":107,"kind":84,"published":108},"airfranceBleeping","BleepingComputer — Air France and KLM third-party breach","https:\u002F\u002Fwww.bleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fair-france-and-klm-disclose-data-breaches-impacting-customers\u002F","BleepingComputer","2025-08-07",{"id":110,"name":111,"url":112,"publisher":113,"kind":84,"published":108},"airfranceSecurityweek","SecurityWeek — Air France, KLM customer data accessed","https:\u002F\u002Fwww.securityweek.com\u002Fair-france-klm-say-hackers-accessed-customer-data\u002F","SecurityWeek",{"id":115,"name":116,"url":117,"publisher":118,"kind":77,"published":97},"bouygues","Bouygues Telecom - Cyberattack disclosure","https:\u002F\u002Fwww.corporate.bouyguestelecom.fr\u002Farchives-communique-presse\u002Fbouygues-telecom-annonce-avoir-ete-victime-dune-cyberattaque\u002F","Bouygues Telecom",{"id":120,"name":121,"url":122,"publisher":118,"kind":77,"published":123},"bouyguesFaq","Bouygues Telecom — customer FAQ on the August 2025 attack","https:\u002F\u002Fmag.bouyguestelecom.fr\u002Fcybersecurite\u002Fcyberattaque-fuite-de-donnees-questions\u002F","2025-08-13",{"id":125,"name":126,"url":127,"publisher":128,"kind":65,"published":129},"bouyguesCybermalveillance","Cybermalveillance.gouv.fr — Bouygues Telecom breach advice","https:\u002F\u002Fwww.cybermalveillance.gouv.fr\u002Ftous-nos-contenus\u002Factualites\u002Fviolation-de-donnees-personnelles-bouygues-telecom-202508","Cybermalveillance.gouv.fr","2026-02-04",{"id":131,"name":132,"url":133,"publisher":134,"kind":84,"published":108},"bouyguesLemonde","Le Monde — Bouygues Telecom breach and the telecom sector","https:\u002F\u002Fwww.lemonde.fr\u002Feconomie\u002Farticle\u002F2025\u002F08\u002F07\u002Fle-piratage-d-ampleur-de-bouygues-telecom-confirme-que-les-operateurs-telecoms-sont-dans-le-viseur-des-cybercriminels_6627266_3234.html","Le Monde",{"id":136,"name":137,"url":138,"publisher":139,"kind":84,"published":108},"bouyguesTechcrunch","TechCrunch — Bouygues Telecom data breach","https:\u002F\u002Ftechcrunch.com\u002F2025\u002F08\u002F07\u002Fdata-breach-at-french-telecom-giant-bouygues-affects-millions-of-customers\u002F","TechCrunch",{"id":141,"name":142,"url":143,"publisher":144,"kind":77,"published":145},"wedaCnil","WEDA — CNIL breach-notification guidance","https:\u002F\u002Fassistance.weda.fr\u002Fhubfs\u002F2025-11_Notification%20violation%20CNIL%20WEDA.pdf","WEDA","2025-11-12",{"id":147,"name":148,"url":149,"publisher":70,"kind":65,"published":150},"wedaCnilDirect","CNIL — question on the WEDA breach notification","https:\u002F\u002Fwww.cnil.fr\u002Fen\u002Fcnil-direct\u002Fquestion\u002F2652","2025-11-11",{"id":152,"name":153,"url":154,"publisher":134,"kind":84,"published":155},"wedaLemonde","Le Monde — WEDA cyberattack, paralysis and data leak","https:\u002F\u002Fwww.lemonde.fr\u002Fpixels\u002Farticle\u002F2025\u002F11\u002F18\u002Fune-cyberattaque-contre-weda-logiciel-utilise-par-des-milliers-de-medecins-provoque-paralysie-et-fuite-de-donnees_6653915_4408996.html","2025-11-18",{"id":157,"name":158,"url":159,"publisher":90,"kind":84,"published":155},"weda","01net — WEDA medical-software attack","https:\u002F\u002Fwww.01net.com\u002Factualites\u002Fcyberattaque-inquietante-france-donnees-medicales-auraient-piratees-23-000-professionnels-sante-paralyses.html",{"id":161,"name":162,"url":163,"publisher":164,"kind":84,"published":165},"wedaCaducee","Caducee.net — WEDA, 23,000 health professionals","https:\u002F\u002Fwww.caducee.net\u002Factualite-medicale\u002F16693\u002Fcyberattaque-weda-23-000-soignants-concernes.html","Caducee.net","2025-11-19",{"id":167,"name":168,"url":169,"publisher":170,"kind":84,"published":171},"wedaAvec","AVEC Santé Nouvelle-Aquitaine — WEDA guidance for practices","https:\u002F\u002Favecsantena.fr\u002Fcyberattaque-du-logiciel-weda-que-sest-il-passe-et-comment-reagir-pour-une-msp\u002F","AVEC Santé Nouvelle-Aquitaine","2025-11-17",{"id":173,"name":174,"url":175,"publisher":176,"kind":77,"published":177},"eurofiberInitial","Eurofiber France — 13 November incident announcement","https:\u002F\u002Fwww.eurofiber.com\u002Ffr-fr\u002Factualites\u002Fincident-de-cybersecurite-chez-eurofiber-france","Eurofiber France","2025-11-13",{"id":179,"name":180,"url":181,"publisher":176,"kind":77,"published":182},"eurofiber","Eurofiber France - November 2025 incident review","https:\u002F\u002Fwww.eurofiber.com\u002Ffr-fr\u002Factualites\u002Fincident-de-cybersecurite-du-13-novembre-enseignements-et-actions-engagees","2025-12-15",{"id":184,"name":185,"url":186,"publisher":187,"kind":77,"published":188},"eurofiberCloud","Eurofiber Cloud Infra — November incident review","https:\u002F\u002Feurofibercloudinfra.fr\u002F2025\u002F12\u002F22\u002Fincident-de-cybersecurite-du-13-novembre-enseignements-et-actions-engagees\u002F","Eurofiber Cloud Infra","2025-12-22",{"id":190,"name":191,"url":192,"publisher":193,"kind":65,"published":194},"interiorSenate","Sénat — Commission des lois, audition de Laurent Nuñez","https:\u002F\u002Fwww.senat.fr\u002Fcompte-rendu-commissions\u002F20260112\u002Flois.html","Sénat","2026-01-13",{"id":196,"name":197,"url":198,"publisher":193,"kind":65,"published":194},"interiorSenateNews","Sénat — Audition de Laurent Nuñez","https:\u002F\u002Fwww.senat.fr\u002Factualite\u002Faudition-de-laurent-nunez-6388.html",{"id":200,"name":201,"url":202,"publisher":203,"kind":65,"published":204},"interiorAssemblee","Assemblée nationale — séance du 17 décembre 2025","https:\u002F\u002Fquestions.assemblee-nationale.fr\u002Fdyn\u002F17\u002Fcomptes-rendus\u002Fseance\u002Fsession-ordinaire-de-2025-2026\u002Fpremiere-seance-du-mercredi-17-decembre-2025","Assemblée nationale","2025-12-17",{"id":206,"name":207,"url":208,"publisher":209,"kind":84,"published":194},"interiorPublicSenat","Public Sénat — MFA after the Interior Ministry intrusion","https:\u002F\u002Fwww.publicsenat.fr\u002Factualites\u002Fpolitique\u002Fcyberattaque-contre-le-ministere-de-linterieur-laurent-nunez-va-generaliser-la-double-identification-pour-lacces-aux-applications","Public Sénat",{"id":211,"name":212,"url":213,"publisher":134,"kind":84,"published":204},"interior","Le Monde — Interior Ministry databases pirated","https:\u002F\u002Fwww.lemonde.fr\u002Fen\u002Fpixels\u002Farticle\u002F2025\u002F12\u002F17\u002Fhackers-pirate-french-interior-ministry-databases_6748599_13.html",{"id":215,"name":216,"url":217,"publisher":218,"kind":84,"published":204},"interiorFrance24","France 24 — Interior Ministry, tens of files extracted","https:\u002F\u002Fwww.france24.com\u002Ffr\u002Finfo-en-continu\u002F20251217-des-dizaines-de-fichiers-sensibles-du-ministere-de-l-interieur-voles-lors-dune-attaque-informatique","France 24",{"id":220,"name":221,"url":222,"publisher":223,"kind":77,"published":224},"ficoba","French Finance Ministry - FICOBA illegal access","https:\u002F\u002Fpresse.economie.gouv.fr\u002Facces-illegitimes-au-fichier-national-des-comptes-bancaires-ficoba\u002F","Ministry of Finance","2026-02-18",{"id":226,"name":227,"url":228,"publisher":229,"kind":77,"published":230},"ficobaFaqPage","Ministry of Economy — FICOBA, what to know","https:\u002F\u002Fwww.economie.gouv.fr\u002Factualites\u002Fficoba-tout-savoir-lacces-illegitime-au-fichier-national-des-comptes-bancaires","Ministry of Economy and Finance","2026-03-03",{"id":232,"name":233,"url":234,"publisher":235,"kind":77,"published":236},"ficobaImpots","impots.gouv.fr — FICOBA illegitimate access","https:\u002F\u002Fwww.impots.gouv.fr\u002Factualite\u002Facces-illegitimes-au-fichier-national-des-comptes-bancaires-ficoba","DGFiP","2026-02-27",{"id":238,"name":239,"url":240,"publisher":203,"kind":65,"published":241},"ficobaQ13230","Assemblée nationale — question n°13230 on FICOBA","https:\u002F\u002Fquestions.assemblee-nationale.fr\u002Fq17\u002F17-13230QE.htm","2026-04-28",{"id":243,"name":244,"url":245,"publisher":203,"kind":65,"published":246},"ficobaQ13370","Assemblée nationale — question n°13370 on FICOBA user support","https:\u002F\u002Fquestions.assemblee-nationale.fr\u002Fq17\u002F17-13370QE.htm","2026-06-09",{"id":248,"name":249,"url":250,"publisher":251,"kind":77,"published":252},"eduCompas","French Education Ministry - COMPAS incident","https:\u002F\u002Fwww.education.gouv.fr\u002Fincident-de-securite-affectant-les-donnees-de-certains-personnels-de-l-education-nationale-470657","Ministry of Education","2026-03-23",{"id":254,"name":255,"url":256,"publisher":193,"kind":65,"published":257},"eduCompasSenat","Sénat — cyber protection of administrations, COMPAS response","https:\u002F\u002Fwww.senat.fr\u002Fquestions\u002Fbase\u002F2026\u002FqSEQ26030760G.html","2026-03-26",{"id":259,"name":260,"url":261,"publisher":262,"kind":84,"published":263},"eduCompasRtl","RTL — 243,000 education staff after COMPAS","https:\u002F\u002Fwww.rtl.fr\u002Factu\u002Fsciences-tech\u002Fils-peuvent-nous-localiser-l-inquietude-des-enseignants-apres-le-piratage-des-coordonnees-de-243-000-agents-de-l-education-nationale-7900616158","RTL","2026-03-24",{"id":265,"name":266,"url":267,"publisher":268,"kind":84,"published":252},"eduCompasAef","AEF Info — COMPAS, 243,000 education staff","https:\u002F\u002Fwww.aefinfo.fr\u002Fdepeche\u002F747986","AEF Info",{"id":270,"name":271,"url":272,"publisher":251,"kind":77,"published":273},"eduStudents","French Education Ministry - EduConnect incident","https:\u002F\u002Fwww.education.gouv.fr\u002Fincident-de-securite-affectant-les-donnees-de-certains-eleves-de-l-education-nationale-504443","2026-04-14",{"id":275,"name":276,"url":277,"publisher":134,"kind":84,"published":278},"eduStudentsLemonde","Le Monde — education sector as a cyber target","https:\u002F\u002Fwww.lemonde.fr\u002Fpixels\u002Farticle\u002F2026\u002F04\u002F18\u002Ffuites-de-donnees-l-education-nationale-une-cible-vulnerable-face-aux-cyberattaques_6681062_4408996.html","2026-04-18",{"id":280,"name":281,"url":282,"publisher":283,"kind":84,"published":273},"eduStudentsAa","Anadolu Agency — pupil data compromised","https:\u002F\u002Fwww.aa.com.tr\u002Ffr\u002Ffrance\u002Fcyberattaque-contre-l-%C3%A9ducation-nationale-des-donn%C3%A9es-d-%C3%A9l%C3%A8ves-compromises\u002F3905581","Anadolu Agency",{"id":285,"name":286,"url":287,"publisher":90,"kind":84,"published":288},"eduStudents01net","01net — seven arrests after a wider DumpSec investigation","https:\u002F\u002Fwww.01net.com\u002Factualites\u002Ffuite-donnees-france-arrete-7-jeunes-hackers-apres-plus-1500-cyberattaques.html","2026-06-12",{"id":290,"name":291,"url":292,"publisher":293,"kind":77,"published":294},"ants","France Titres \u002F ANTS - April 2026 incident update","https:\u002F\u002Fmairie.ants.gouv.fr\u002Ftoute-l-actualite\u002Fincident-de-securite-relatif-au-portail-antsgouvfr-point-detape-du-21-avril-2026","France Titres \u002F ANTS","2026-04-21",{"id":296,"name":297,"url":298,"publisher":299,"kind":77,"published":294},"antsInterior","Interior Ministry — ANTS portal incident update","https:\u002F\u002Fwww.interieur.gouv.fr\u002Factualites\u002Fcommuniques-de-presse\u002Fpoint-detape-du-21-avril-2026-concernant-lincident-de-securite-relatif-au-portail-antsgouvfr","Ministry of the Interior",{"id":301,"name":302,"url":303,"publisher":304,"kind":84,"published":305},"antsTf1Maintenance","TF1 Info — ANTS portal closed for maintenance","https:\u002F\u002Fwww.tf1info.fr\u002Fjustice-faits-divers\u002Fpiratage-massif-de-l-ants-agence-nationale-titres-securises-le-portail-ferme-des-ce-vendredi-24-avril-pour-maintenance-2438027.html","TF1 Info","2026-04-24",{"id":307,"name":308,"url":309,"publisher":134,"kind":84,"published":310},"antsLemonde","Le Monde — what is known about the ANTS leak","https:\u002F\u002Fwww.lemonde.fr\u002Fpixels\u002Farticle\u002F2026\u002F04\u002F22\u002Ffuite-de-donnees-a-l-ants-site-qui-gere-les-demandes-de-pieces-d-identite-ce-que-l-on-sait_6682414_4408996.html","2026-04-22",{"id":312,"name":313,"url":314,"publisher":134,"kind":84,"published":315},"antsLemondeArrest","Le Monde — 15-year-old arrested over the ANTS leak","https:\u002F\u002Fwww.lemonde.fr\u002Fpixels\u002Farticle\u002F2026\u002F04\u002F30\u002Fpiratage-de-l-ants-un-mineur-de-15-ans-interpelle_6684591_4408996.html","2026-04-30",{"id":317,"name":318,"url":319,"publisher":304,"kind":84,"published":315},"antsTf1Breach3d","TF1 Info — prosecutor statement on the ANTS arrest","https:\u002F\u002Fwww.tf1info.fr\u002Fjustice-faits-divers\u002Fpiratage-de-l-ants-ce-que-l-on-sait-de-breach3d-l-adolescent-de-15-ans-place-en-garde-a-vue-2439078.html",{"id":321,"name":322,"url":323,"publisher":251,"kind":77,"published":324},"eduStaff","French Education Ministry - Staff-data incident","https:\u002F\u002Fwww.education.gouv.fr\u002Fincident-de-securite-affectant-les-donnees-de-personnels-de-l-education-nationale-505407","2026-07-31",{"id":326,"name":327,"url":328,"publisher":139,"kind":84,"published":329},"cevaTechcrunch","TechCrunch — CEVA Logistics warehouse breach","https:\u002F\u002Ftechcrunch.com\u002F2026\u002F08\u002F10\u002Fa-data-breach-at-shipping-giant-ceva-logistics-is-rippling-across-banks-retailers-steam-gamers-and-beyond\u002F","2026-08-10",{"id":331,"name":332,"url":333,"publisher":334,"kind":84,"published":329},"cevaVerge","The Verge — Steam hardware shipper breach","https:\u002F\u002Fwww.theverge.com\u002Fgames\u002F977314\u002Fvalve-steam-hardware-shipping-data-breach","The Verge",{"id":336,"name":337,"url":338,"publisher":339,"kind":84,"published":329},"cevaPcgamer","PC Gamer — Valve notice on the CEVA shipping breach","https:\u002F\u002Fwww.pcgamer.com\u002Fgaming-industry\u002Fsteam-user-data-may-have-been-compromised-by-a-cyberattack-targeting-valves-european-shipping-partner\u002F","PC Gamer",{"id":341,"name":342,"url":343,"publisher":344,"kind":84,"published":345},"cevaComputing","Computing — CEVA Logistics hack across Europe","https:\u002F\u002Fwww.computing.co.uk\u002Fnews\u002F2026\u002Fsecurity\u002Fceva-logistics-hack-affects-firms-across-europe","Computing","2026-08-12",{"id":347,"name":348,"url":349,"publisher":350,"kind":84,"published":351},"ceva","TechRadar — CEVA Logistics knock-on effects","https:\u002F\u002Fwww.techradar.com\u002Fpro\u002Fsecurity\u002Fthe-ceva-logistics-data-breach-is-having-major-knock-on-effects-across-europe-heres-what-we-know","TechRadar","2026-08-11",{"id":353,"name":354,"url":355,"publisher":356,"kind":84,"published":357},"santeParisien","Le Parisien \u002F AFP — Santé publique France contractor, 80,000 people","https:\u002F\u002Fwww.leparisien.fr\u002Ffaits-divers\u002Fcyberattaque-dun-prestataire-de-sante-publique-france-80-000-personnes-concernees-par-la-fuite-de-donnees-13-08-2026-FTP4SNTQI5DOVMQDCBBTQX5F4U.php","Le Parisien","2026-08-13",{"id":359,"name":360,"url":361,"publisher":362,"kind":84,"published":363},"sante","E-Santé — Santé publique France contractor breach","https:\u002F\u002Fwww.e-sante.fr\u002Fcyberattaque-chez-sante-publique-france-les-donnees-de-contact-de-80-000-usagers-piratees\u002Factualite\u002F744070","E-Santé","2026-08-14",{"id":365,"name":366,"url":367,"publisher":223,"kind":77,"published":363},"dgfip","French Finance Ministry - DGFiP illegal access","https:\u002F\u002Fpresse.economie.gouv.fr\u002Facces-illegitime-au-systeme-dinformation-de-la-direction-generale-des-finances-publiques\u002F",{"id":369,"name":370,"url":371,"publisher":134,"kind":84,"published":363},"dgfipLemonde","Le Monde — French taxpayers’ data stolen","https:\u002F\u002Fwww.lemonde.fr\u002Fen\u002Fpixels\u002Farticle\u002F2026\u002F08\u002F14\u002Ffrench-taxpayers-data-stolen-in-hack-of-finance-ministry_6756510_13.html",{"id":373,"name":374,"url":375,"publisher":376,"kind":84,"published":363},"dgfipBriefing","Le Figaro — DGFiP briefing on the 678,000-account intrusion","https:\u002F\u002Fwww.lefigaro.fr\u002Fconjoncture\u002Fpiratage-de-l-administration-fiscale-la-dgfip-revele-les-contours-du-vol-de-donnees-de-678-000-comptes-20260814","Le Figaro",{"id":378,"name":379,"url":380,"publisher":381,"kind":84,"published":10},"dgfipEntrevue","Entrevue — Paris prosecutor opens an inquiry","https:\u002F\u002Fentrevue.fr\u002Fsociete\u002Fpiratage-du-fisc-le-parquet-de-paris-ouvre-une-enquete-sur-678-000-victimes\u002F","Entrevue",[383,473,541,609,689,758,846,940,1029,1118,1208,1278,1358,1422],{"id":73,"date":384,"year":385,"org":386,"domain":387,"kind":388,"sector":389,"severity":390,"status":391,"affected":392,"affectedLabel":393,"data":396,"method":399,"risk":402,"sourceName":76,"confidence":405,"sourceId":73,"sourceUrl":75,"logo":408,"sourceIds":411,"detail":412,"lastResearched":10},"2025-07-25",2025,{"en":76,"fr":76},"orange.com","company","Telecommunications","high","confirmed",null,{"en":394,"fr":395},"Limited business-related files later acknowledged stolen; no customer-person count","Fichiers d’entreprises limités ensuite reconnus comme volés ; pas de décompte de clients",{"en":397,"fr":398},"Later acknowledged: limited old or low-sensitivity business-related files. No confirmed consumer-database theft.","Reconnu ensuite : fichiers d’entreprises anciens ou peu sensibles, en volume limité. Pas de vol confirmé d’une base grand public.",{"en":400,"fr":401},"Cyberattack on an information system; the initial access route has not been published.","Cyberattaque d’un système d’information ; la voie d’accès initiale n’a pas été publiée.",{"en":403,"fr":404},"Service disruption, then reconnaissance and phishing risk from leaked business files.","Perturbation de services, puis risque de reconnaissance et d’hameçonnage à partir des fichiers d’entreprises fuités.",{"en":406,"fr":407},"Official disclosure, later qualified by a spokesperson. WarLock is press reporting, not Orange attribution.","Communication officielle, ensuite précisée par un porte-parole. WarLock relève de la presse, pas d’une attribution d’Orange.",{"domain":387,"strategy":409,"file":410},"domain-favicon-or-official-logo","orange.svg",[73,80,87],{"lead":413,"timeline":416,"how":434,"taken":437,"notTaken":440,"impact":443,"response":446,"methodDisclosure":449,"attackerClaim":450,"revision":453,"quotes":456},{"en":414,"fr":415},"Orange detected a cyberattack on one of its information systems on 25 July 2025. Isolating potentially affected services interrupted some business-management platforms and several consumer-facing services, mainly in France. On 28 July the company said it had found no evidence that Orange or customer data had been exfiltrated.\n\nThat first conclusion did not hold. In August, material attributed to the intrusion appeared on a criminal leak site. Orange then acknowledged limited access and that old or low-sensitivity information concerning business customers had been taken. No verified customer-person count has been published. A separate Orange Belgium event affecting about 850,000 accounts is not this incident.","Orange a détecté une cyberattaque sur l’un de ses systèmes d’information le 25 juillet 2025. L’isolement des services potentiellement concernés a interrompu certaines plateformes de gestion entreprises et plusieurs services grand public, principalement en France. Le 28 juillet, l’entreprise indiquait n’avoir aucun élément montrant une exfiltration de données Orange ou clients.\n\nCette première conclusion n’a pas tenu. En août, des éléments attribués à l’intrusion sont apparus sur un site de fuites criminel. Orange a alors reconnu un accès limité et le vol d’informations anciennes ou peu sensibles concernant des clients entreprises. Aucun décompte vérifié de personnes n’a été publié. L’événement distinct d’Orange Belgique, qui concerne environ 850 000 comptes, n’est pas cet incident.",[417,421,425,430],{"date":384,"label":418},{"en":419,"fr":420},"Orange detects a cyberattack on one information system.","Orange détecte une cyberattaque sur un système d’information.",{"date":78,"label":422},{"en":423,"fr":424},"Public disclosure: services isolated, complaint filed, no evidence of exfiltration at that stage.","Annonce publique : services isolés, plainte déposée, aucun élément d’exfiltration à ce stade.",{"date":426,"label":427},"2025-07-30",{"en":428,"fr":429},"Initial recovery target for the principal disrupted services, under heightened monitoring.","Objectif initial de rétablissement des principaux services perturbés, sous surveillance renforcée.",{"date":85,"label":431},{"en":432,"fr":433},"ZDNet and then 01net report that Orange has acknowledged limited access and theft of old or low-sensitivity business-related information.","ZDNet puis 01net indiquent qu’Orange a reconnu un accès limité et le vol d’informations d’entreprises anciennes ou peu sensibles.",{"en":435,"fr":436},"Orange has not published an initial-access vector. Isolation of potentially affected services caused part of the visible outage. Later security reporting characterised the event as a ransomware or extortion incident associated with WarLock on the basis of leak-site activity; that is reporting, not a formal attribution by Orange.","Orange n’a pas publié de vecteur d’accès initial. L’isolement des services potentiellement concernés a causé une partie de la panne visible. La presse spécialisée a ensuite décrit l’événement comme une attaque par rançongiciel ou extorsion associée à WarLock, d’après l’activité d’un site de fuites ; il s’agit d’un récit journalistique, pas d’une attribution formelle d’Orange.",{"en":438,"fr":439},"Later reporting, quoting an Orange spokesperson, described stolen material as old or low-sensitivity data related to business customers, obtained through only limited access. ZDNet reported that seven internal documents appeared on the leak site. There is still no public, verified number of individuals affected by this France incident.","Des articles ultérieurs, citant un porte-parole d’Orange, ont décrit le matériel volé comme des données anciennes ou peu sensibles liées à des clients entreprises, obtenues via un accès seulement limité. ZDNet a indiqué que sept documents internes étaient apparus sur le site de fuites. Il n’existe toujours pas de nombre public et vérifié de personnes concernées par cet incident en France.",{"en":441,"fr":442},"Orange did not confirm theft of passwords, payment-card data, or a French consumer customer database in this incident. The Orange Belgium breach disclosed later in August is a separate event and is not counted here.","Orange n’a pas confirmé le vol de mots de passe, de données de cartes bancaires ni d’une base de clients grand public français dans cet incident. La violation d’Orange Belgique, rendue publique plus tard en août, est un événement distinct et n’est pas comptée ici.",{"en":444,"fr":445},"The immediate impact was operational: disruption to business-management services and some consumer services while systems were isolated. The secondary impact was trust and disclosure risk, because the public account evolved from no evidence of exfiltration to an acknowledged limited leak. Even old operational documents can aid reconnaissance, impersonation, supplier fraud and follow-on phishing.","L’impact immédiat a été opérationnel : perturbation des services de gestion entreprises et de certains services grand public pendant l’isolement des systèmes. L’impact secondaire a porté sur la confiance et la communication, le récit public étant passé de l’absence d’éléments d’exfiltration à une fuite limitée reconnue. Même des documents opérationnels anciens peuvent servir à la reconnaissance, à l’usurpation, à la fraude fournisseur et à l’hameçonnage ultérieur.",{"en":447,"fr":448},"Orange Cyberdefense isolated affected or potentially affected services, Orange filed a complaint, and authorities were notified. Services were progressively restored under enhanced monitoring. After data appeared publicly, Orange said affected companies had been informed before publication and that it was cooperating with them and the competent authorities.","Orange Cyberdefense a isolé les services concernés ou potentiellement concernés, Orange a déposé plainte et les autorités ont été informées. Les services ont été rétablis progressivement sous surveillance renforcée. Après la publication des données, Orange a indiqué que les entreprises concernées avaient été informées avant la diffusion et qu’elle coopérait avec elles et les autorités compétentes.","undisclosed",{"en":451,"fr":452},"Reporting linked a leak-site publication of about 4 GB to the WarLock extortion operation. Orange did not publish a formal attacker attribution, and the claimed volume is not a victim count.","La presse a associé la publication d’environ 4 Go sur un site de fuites à l’opération d’extorsion WarLock. Orange n’a pas publié d’attribution formelle de l’attaquant, et le volume revendiqué n’est pas un décompte de victimes.",{"en":454,"fr":455},"The 28 July statement was accurate only as a statement of what the company knew then. A durable record has to preserve the later revision: Orange initially found no evidence of exfiltration, then acknowledged that a limited set of older or low-sensitivity business-related data had been stolen and published. The scope of affected people remains unknown.","Le communiqué du 28 juillet n’était exact que comme état des connaissances de l’entreprise à cette date. Un dossier durable doit conserver la révision ultérieure : Orange n’avait d’abord aucun élément d’exfiltration, puis a reconnu qu’un ensemble limité de données d’entreprises plus anciennes ou peu sensibles avait été volé et publié. Le nombre de personnes concernées reste inconnu.",[457,463,469],{"original":458,"originalLang":9,"translation":459,"attribution":460,"sourceId":73},"isoler les services potentiellement concernés et limiter les impacts","isolate the potentially affected services and limit the impact",{"en":461,"fr":462},"Orange, 28 July 2025","Orange, 28 juillet 2025",{"original":464,"originalLang":9,"translation":465,"attribution":466,"sourceId":87},"un accès limité","limited access",{"en":467,"fr":468},"Orange spokesperson, reported by 01net","Porte-parole d’Orange, rapporté par 01net",{"original":470,"originalLang":9,"translation":471,"attribution":472,"sourceId":87},"des données obsolètes ou de faible sensibilité","old or low-sensitivity data",{"en":467,"fr":468},{"id":99,"date":97,"year":385,"org":474,"domain":476,"kind":388,"sector":477,"severity":390,"status":391,"affected":392,"affectedLabel":478,"data":481,"method":484,"risk":487,"sourceName":96,"confidence":490,"sourceId":93,"sourceUrl":95,"logo":493,"sourceIds":495,"detail":496,"lastResearched":10},{"en":475,"fr":475},"Air France \u002F KLM","airfrance.com","Aviation",{"en":479,"fr":480},"Number not publicly disclosed","Nombre non rendu public",{"en":482,"fr":483},"Names, contact details, Flying Blue number and status, and subjects of customer-service requests. Passwords, travel data, passport and card numbers were reported unaffected.","Noms, coordonnées, numéro et statut Flying Blue, et objet des demandes au service client. Mots de passe, données de voyage, passeports et cartes bancaires n’étaient pas concernés, selon les compagnies.",{"en":485,"fr":486},"Unauthorised access to a third-party customer-service platform; the vendor is unnamed.","Accès non autorisé à une plateforme tierce de service client ; le prestataire n’est pas nommé.",{"en":488,"fr":489},"Highly believable phishing and impersonation using real loyalty and support context.","Hameçonnage et usurpation très crédibles grâce au contexte réel de fidélité et d’assistance.",{"en":491,"fr":492},"Confirmed by the airlines; customer count unpublished; any Salesforce link is unconfirmed.","Confirmé par les compagnies ; effectif clients non publié ; un éventuel lien Salesforce n’est pas confirmé.",{"domain":476,"strategy":409,"file":494},"airfrance.svg",[93,99,104,110],{"lead":497,"timeline":500,"how":509,"taken":512,"notTaken":515,"impact":518,"response":521,"methodDisclosure":524,"revision":525,"quotes":528},{"en":498,"fr":499},"Air France and KLM disclosed in early August 2025 that an external platform used for customer service had been accessed without authorisation. They stressed that the compromised environment was a third-party customer-service platform, not their core airline networks. The number of customers was never publicly disclosed.","Air France et KLM ont indiqué début août 2025 qu’une plateforme externe utilisée pour le service client avait été accédée sans autorisation. Elles ont souligné que l’environnement compromis était une plateforme tierce de service client, et non leurs réseaux aériens centraux. Le nombre de clients n’a jamais été rendu public.",[501,505],{"date":97,"label":502},{"en":503,"fr":504},"Air France and KLM begin public notification of unauthorised access to an external customer-service platform.","Air France et KLM commencent à informer publiquement d’un accès non autorisé à une plateforme externe de service client.",{"date":108,"label":506},{"en":507,"fr":508},"Security press reports the breach and confirms the companies will not disclose the victim count while the investigation is active.","La presse spécialisée relaye l’incident et confirme que les compagnies ne publieront pas le nombre de victimes tant que l’enquête est en cours.",{"en":510,"fr":511},"The airlines confirmed that the unauthorised activity occurred on an external platform used by their contact centres and said their own networks were not affected. They did not publicly name the vendor. Security reporting connected the incident to a broader campaign against third-party CRM services; BleepingComputer asked whether Salesforce was involved and the company declined to confirm. The vendor and any social-engineering path remain unconfirmed by Air France-KLM.","Les compagnies ont confirmé que l’activité non autorisée avait eu lieu sur une plateforme externe utilisée par leurs centres de contact et ont indiqué que leurs propres réseaux n’étaient pas concernés. Elles n’ont pas nommé le prestataire. La presse spécialisée a rattaché l’incident à une campagne plus large contre des services CRM tiers ; BleepingComputer a demandé si Salesforce était en cause et l’entreprise a refusé de le confirmer. Le prestataire et d’éventuelle ingénierie sociale restent non confirmés par Air France-KLM.",{"en":513,"fr":514},"Names, contact information, Flying Blue membership number and status, and the subject of requests made to customer service. Some notices also referred to notes connected with those interactions. That combination can let a fraudster construct highly plausible messages that refer to a real loyalty account and a genuine prior support issue.","Noms, coordonnées, numéro et statut Flying Blue, et l’objet des demandes faites au service client. Certaines notifications évoquent aussi des notes liées à ces échanges. Cette combinaison permet à un fraudeur de rédiger des messages très plausibles qui citent un vrai compte de fidélité et une véritable demande d’assistance antérieure.",{"en":516,"fr":517},"The airlines said passwords, passport numbers, payment-card information, travel itineraries and Flying Blue mileage balances were not affected. Core Air France and KLM networks were also described as unaffected.","Les compagnies ont indiqué que les mots de passe, numéros de passeport, données de cartes bancaires, itinéraires de voyage et soldes de miles Flying Blue n’étaient pas concernés. Les réseaux centraux d’Air France et de KLM ont aussi été décrits comme non affectés.",{"en":519,"fr":520},"The direct operational impact appears limited compared with incidents that took production systems offline. The primary risk is fraud: an attacker can use real support history and loyalty information to impersonate an airline, claim a booking or account issue, or attempt credential theft through a fake support flow.","L’impact opérationnel direct paraît limité par rapport aux incidents qui mettent hors service des systèmes de production. Le risque principal est la fraude : un attaquant peut s’appuyer sur un vrai historique d’assistance et des informations de fidélité pour se faire passer pour la compagnie, invoquer un problème de réservation ou de compte, ou tenter de voler des identifiants via un faux parcours d’assistance.",{"en":522,"fr":523},"The companies and the external provider cut off the unauthorised access, took measures intended to prevent recurrence, notified data-protection authorities — Air France the CNIL, KLM the Dutch authority — and contacted affected customers. Customers were warned about suspicious email and telephone contact.","Les compagnies et le prestataire externe ont coupé l’accès non autorisé, pris des mesures destinées à éviter une récidive, notifié les autorités de protection des données — Air France la CNIL, KLM l’autorité néerlandaise — et contacté les clients concernés. Ceux-ci ont été mis en garde contre les e-mails et appels suspects.","partial",{"en":526,"fr":527},"The original account remains broadly accurate. The victim count is unknown, and a possible Salesforce connection is not company-confirmed.","Le récit d’origine reste globalement exact. Le nombre de victimes est inconnu, et un éventuel lien avec Salesforce n’est pas confirmé par les compagnies.",[529,535],{"original":530,"originalLang":7,"translation":531,"attribution":532,"sourceId":104},"unusual activity on an external platform we use for customer service","activité inhabituelle sur une plateforme externe que nous utilisons pour le service client",{"en":533,"fr":534},"Air France-KLM statement, in English","Déclaration Air France-KLM, en anglais",{"original":536,"originalLang":7,"translation":537,"attribution":538,"sourceId":93},"direct action to stop the unauthorized access","action directe pour stopper l’accès non autorisé",{"en":539,"fr":540},"KLM customer communication, English rendering","Communication client KLM, version anglaise",{"id":115,"date":542,"year":385,"org":543,"domain":544,"kind":388,"sector":389,"severity":545,"status":391,"affected":546,"affectedLabel":547,"data":550,"method":553,"risk":556,"sourceName":118,"confidence":559,"sourceId":115,"sourceUrl":117,"logo":562,"sourceIds":564,"detail":565,"lastResearched":10},"2025-08-04",{"en":118,"fr":118},"bouyguestelecom.fr","critical",6400000,{"en":548,"fr":549},"6.4 million customer accounts","6,4 millions de comptes clients",{"en":551,"fr":552},"Identity, contact, contract data and BIC\u002FIBAN on 6.4 million customer accounts — not a unique-person count. Passwords and cards not exposed.","Identité, coordonnées, données contractuelles et BIC\u002FIBAN sur 6,4 millions de comptes clients — pas un décompte de personnes distinctes. Mots de passe et cartes non exposés.",{"en":554,"fr":555},"Unauthorised access; the initial access route has not been published.","Accès non autorisé ; la voie d’accès initiale n’a pas été publiée.",{"en":557,"fr":558},"Targeted impersonation and direct-debit scams. An IBAN is not online-banking access.","Usurpation ciblée et fraudes au prélèvement. Un IBAN n’est pas un accès à la banque en ligne.",{"en":560,"fr":561},"Official company disclosure","Communication officielle de l’entreprise",{"domain":544,"strategy":409,"file":563},"bouygues.svg",[115,120,125,131,136],{"lead":566,"timeline":569,"how":586,"taken":589,"notTaken":592,"impact":595,"response":598,"methodDisclosure":449,"revision":601,"quotes":604},{"en":567,"fr":568},"Bouygues Telecom detected a cyberattack on 4 August 2025 and disclosed it two days later. The intrusion gave unauthorised access to personal data linked to 6.4 million customer accounts. That figure is a count of accounts, not necessarily 6.4 million unique people. Exposed fields included contact and civil-status information, contract information and banking identifiers such as BIC and IBAN. Bouygues said account passwords and payment-card numbers were not exposed.","Bouygues Telecom a détecté une cyberattaque le 4 août 2025 et l’a rendue publique deux jours plus tard. L’intrusion a donné un accès non autorisé à des données personnelles liées à 6,4 millions de comptes clients. Ce chiffre compte des comptes, pas nécessairement 6,4 millions de personnes distinctes. Les champs exposés comprenaient des coordonnées et des données d’état civil, des informations contractuelles et des identifiants bancaires tels que BIC et IBAN. Bouygues a indiqué que les mots de passe des comptes et les numéros de carte n’étaient pas exposés.",[570,574,578,582],{"date":542,"label":571},{"en":572,"fr":573},"Bouygues Telecom detects the attack; technical teams stop the unauthorised access.","Bouygues Telecom détecte l’attaque ; les équipes techniques stoppent l’accès non autorisé.",{"date":97,"label":575},{"en":576,"fr":577},"Public disclosure: 6.4 million accounts; CNIL notified; complaint filed; customer notification begins.","Annonce publique : 6,4 millions de comptes ; CNIL notifiée ; plainte déposée ; notification des clients commencée.",{"date":123,"label":579},{"en":580,"fr":581},"Bouygues and Cybermalveillance.gouv.fr publish practical guidance on phishing, IBAN-related fraud and direct-debit disputes.","Bouygues et Cybermalveillance.gouv.fr publient des conseils pratiques sur l’hameçonnage, la fraude liée à l’IBAN et la contestation des prélèvements.",{"date":129,"label":583},{"en":584,"fr":585},"Cybermalveillance.gouv.fr updates its public advice page, preserving the 6.4 million-account scope and fraud guidance.","Cybermalveillance.gouv.fr met à jour sa fiche de conseils, en conservant le périmètre de 6,4 millions de comptes et les consignes anti-fraude.",{"en":587,"fr":588},"Bouygues has described the event as unauthorised access and said its technical teams stopped it. The company has not publicly identified the initial access vector, a vulnerability, or an attacker.","Bouygues a décrit l’événement comme un accès non autorisé et indiqué que ses équipes techniques l’avaient stoppé. L’entreprise n’a pas identifié publiquement la voie d’accès initiale, une vulnérabilité ni un attaquant.",{"en":590,"fr":591},"Customer contact details, civil-status information, contract data, and BIC\u002FIBAN. Cybermalveillance’s public summary also notes company identity and SIREN for relevant professional records. The 6.4 million figure is a count of customer accounts, not necessarily 6.4 million unique natural persons.","Coordonnées des clients, données d’état civil, données contractuelles, BIC et IBAN. La synthèse publique de Cybermalveillance mentionne aussi l’identité de l’entreprise et le SIREN pour les dossiers professionnels concernés. Le chiffre de 6,4 millions compte des comptes clients, pas nécessairement 6,4 millions de personnes physiques distinctes.",{"en":593,"fr":594},"Bouygues said customer account passwords and payment-card numbers were not exposed. Possession of an IBAN does not equal possession of bank credentials and does not automatically allow an attacker to move money.","Bouygues a indiqué que les mots de passe des comptes clients et les numéros de carte n’étaient pas exposés. Détenir un IBAN n’équivaut pas à détenir des identifiants bancaires et ne permet pas automatiquement de déplacer de l’argent.",{"en":596,"fr":597},"The durable risk is targeted impersonation. A scammer who knows a victim’s operator, identity, contract context and IBAN can convincingly pose as a telecom employee, bank fraud unit, debt collector or payment intermediary. The exposure can also support fraudulent direct-debit attempts, although banks provide dispute mechanisms for unauthorised debits.","Le risque durable est l’usurpation ciblée. Un arnaqueur qui connaît l’opérateur, l’identité, le contexte contractuel et l’IBAN d’une victime peut se faire passer de façon crédible pour un conseiller télécom, un service antifraude bancaire, un recouvreur ou un intermédiaire de paiement. L’exposition peut aussi servir à des tentatives de prélèvement frauduleux, même si les banques offrent des voies de contestation.",{"en":599,"fr":600},"Bouygues contained the unauthorised access, notified the CNIL, filed a criminal complaint and informed affected customers by email or SMS. Its FAQ explained what an IBAN can and cannot enable and referred customers to their bank when suspicious activity appears. Cybermalveillance.gouv.fr published public guidance designed to reduce follow-on fraud.","Bouygues a contenu l’accès non autorisé, notifié la CNIL, déposé plainte et informé les clients concernés par e-mail ou SMS. Sa FAQ a expliqué ce qu’un IBAN permet ou non, et renvoyé les clients vers leur banque en cas d’activité suspecte. Cybermalveillance.gouv.fr a publié des conseils publics destinés à réduire la fraude de suivi.",{"en":602,"fr":603},"The confirmed 6.4 million number is customer accounts, and the presence of IBAN data should not be described as a compromise of online banking.","Le chiffre confirmé de 6,4 millions désigne des comptes clients, et la présence d’IBAN ne doit pas être décrite comme une compromission de la banque en ligne.",[605],{"original":606,"originalLang":9,"translation":607,"attribution":608,"sourceId":115},"accès non autorisé à certaines données personnelles de 6,4 millions de comptes clients","unauthorized access to certain personal data of 6.4 million customer accounts",{"en":118,"fr":118},{"id":157,"date":610,"year":385,"org":611,"domain":613,"kind":388,"sector":614,"severity":545,"status":391,"affected":392,"affectedLabel":615,"data":618,"method":621,"risk":624,"sourceName":144,"confidence":627,"sourceId":141,"sourceUrl":143,"logo":630,"sourceIds":632,"detail":633,"lastResearched":10},"2025-11-10",{"en":612,"fr":612},"Weda","weda.fr","Healthcare",{"en":616,"fr":617},"23,000 health professionals operationally locked out; patient count unknown","23 000 professionnels de santé privés d’accès ; nombre de patients inconnu",{"en":619,"fr":620},"Cross-tenant patient-data risk via API. Patient count unknown; 23,000 is operational lockout of health professionals.","Risque de données patients inter-cabinets via l’API. Nombre de patients inconnu ; 23 000 est le blocage opérationnel de professionnels de santé.",{"en":622,"fr":623},"Authenticated customer accounts plus a cross-tenant API authorisation weakness.","Comptes clients authentifiés et faille d’autorisation d’API inter-cabinets.",{"en":625,"fr":626},"Patient-care disruption plus potential exposure of highly sensitive health information.","Perturbation des soins et exposition potentielle d’informations de santé très sensibles.",{"en":628,"fr":629},"WEDA’s CNIL-notification material; patient count still under investigation.","Document WEDA de notification CNIL ; le nombre de patients reste en cours d’investigation.",{"domain":613,"strategy":409,"file":631},"weda.svg",[141,147,152,157,161,167],{"lead":634,"timeline":637,"how":655,"taken":658,"notTaken":661,"impact":664,"response":667,"methodDisclosure":670,"revision":671,"quotes":674},{"en":635,"fr":636},"WEDA’s own material prepared to help customers complete CNIL breach notifications states that monitoring detected an abnormal activity spike at 17:00 on 10 November 2025 on a customer account making many API calls. Once a user was authenticated to a WEDA customer account, the API could return patient data even when those patients were not attached to that healthcare professional’s account.\n\nAround 23,000 health professionals lost normal access when WEDA shut the application at 23:00. That figure is operational lockout, not a patient count. WEDA classified the event as a confidentiality loss and listed patients as the affected category, while stating that the approximate number of records and people was still under investigation.","Le document WEDA destiné à aider ses clients à remplir la notification CNIL indique que la supervision a détecté, à 17 h le 10 novembre 2025, un pic d’activité anormal sur un compte client multipliant les appels d’API. Une fois un utilisateur authentifié sur un compte client WEDA, l’API pouvait renvoyer des données patients même lorsque ces patients n’étaient pas rattachés au compte de ce professionnel de santé.\n\nEnviron 23 000 professionnels de santé ont perdu l’accès normal lorsque WEDA a fermé l’application à 23 h. Ce chiffre décrit un blocage opérationnel, pas un décompte de patients. WEDA a classé l’événement comme une perte de confidentialité et indiqué les patients comme catégorie concernée, tout en précisant que le nombre approximatif d’enregistrements et de personnes était encore en cours d’investigation.",[638,642,646,650],{"date":610,"label":639},{"en":640,"fr":641},"17:00: abnormal API activity on a customer account. A second account shows the same pattern around 21:00. At 23:00 WEDA shuts the application for all users.","17 h : activité API anormale sur un compte client. Un second compte montre le même schéma vers 21 h. À 23 h, WEDA ferme l’application pour tous les utilisateurs.",{"date":150,"label":643},{"en":644,"fr":645},"CNIL says it has been informed of the WEDA data breach from this date.","La CNIL indique avoir été informée de la violation de données WEDA à compter de cette date.",{"date":145,"label":647},{"en":648,"fr":649},"WEDA mobilises forensic support, files a complaint with the Police nationale, and begins exchanges with ANSSI.","WEDA mobilise une assistance forensique, dépose plainte auprès de la Police nationale et entame des échanges avec l’ANSSI.",{"date":651,"label":652},"2025-11-14",{"en":653,"fr":654},"Partial access resumes. Login plus password alone is no longer sufficient; Pro Santé Connect or CPx is required, and vulnerable endpoints are decommissioned.","Accès partiel rétabli. Identifiant et mot de passe seuls ne suffisent plus ; Pro Santé Connect ou CPx est exigé, et les points d’accès vulnérables sont retirés.",{"en":656,"fr":657},"The suspicious activity came through authenticated customer accounts. The relevant API had an authorisation-boundary problem: a connected customer account could query patient data not attached to that professional. That is a failure of authorisation after a valid session, not merely an unspecified server intrusion. The material does not establish how the attacker obtained control of the customer accounts — phishing, credential stuffing, account reuse or another technique is not proven. WEDA labelled the cause as an external malicious act in the hacking, malware or phishing category for CNIL notification.","L’activité suspecte est passée par des comptes clients authentifiés. L’API concernée avait un problème de frontière d’autorisation : un compte client connecté pouvait interroger des données patients non rattachées à ce professionnel. Il s’agit d’un défaut d’autorisation après une session valide, pas seulement d’une intrusion serveur non précisée. Le document n’établit pas comment l’attaquant a pris le contrôle des comptes clients — hameçonnage, stuffing d’identifiants, réutilisation de comptes ou autre technique ne sont pas prouvés. WEDA a qualifié la cause d’acte malveillant externe, dans la catégorie piratage, maliciel ou hameçonnage pour la notification CNIL.",{"en":659,"fr":660},"WEDA’s primary material says the API could call patient data stored in WEDA databases across customer boundaries. It instructs customer organisations to classify the affected category as patients and says the approximate number of records and persons remained under investigation. That supports a patient-data confidentiality-breach risk. It does not support inventing a national patient count. The 23,000 figure is the number of health professionals operationally affected by the shutdown.","Le document primaire de WEDA indique que l’API pouvait appeler des données patients stockées dans les bases WEDA au-delà des frontières entre clients. Il demande aux organisations clientes de classer la catégorie concernée comme les patients, et précise que le nombre approximatif d’enregistrements et de personnes restait en cours d’investigation. Cela étaye un risque de violation de confidentialité de données de santé. Cela ne justifie pas d’inventer un décompte national de patients. Le chiffre de 23 000 est le nombre de professionnels de santé touchés opérationnellement par l’arrêt.",{"en":662,"fr":663},"No reliable public final total of affected patient records was found. The evidence does not establish mass export of all WEDA patient records. Local providers who later told their own patients that their specific practice had not identified health data as compromised should not be generalised into a claim that no WEDA patient data anywhere was accessed.","Aucun total public fiable et définitif de dossiers patients concernés n’a été trouvé. Les éléments ne permettent pas d’établir l’export massif de l’ensemble des dossiers patients WEDA. Les professionnels locaux qui ont ensuite indiqué à leurs patients que leur cabinet n’avait pas identifié de données de santé compromises ne doivent pas être généralisés en une affirmation qu’aucune donnée patient WEDA n’a été consultée nulle part.",{"en":665,"fr":666},"The outage immediately disrupted care workflows. Clinicians temporarily worked without normal electronic access to histories, prescriptions, correspondence and billing tools, sometimes reverting to paper and asking patients to bring recent documents. The confidentiality risk is unusually serious because the system stores health information. Even unauthorised access to a smaller subset of medical data can create significant privacy and discrimination risks.","L’arrêt a immédiatement perturbé les parcours de soins. Les cliniciens ont temporairement travaillé sans accès électronique normal aux antécédents, prescriptions, courriers et outils de facturation, en revenant parfois au papier et en demandant aux patients d’apporter des documents récents. Le risque de confidentialité est particulièrement grave parce que le système stocke des informations de santé. Même un accès non autorisé à un sous-ensemble plus restreint de données médicales peut créer des risques importants de vie privée et de discrimination.",{"en":668,"fr":669},"WEDA shut the service, disabled suspicious accounts, blocked source IP addresses, brought in forensic support, contacted ANSSI, filed a police complaint and supported CNIL notification. Before reopening, it reviewed Pro Santé Connect, tightened source-IP restrictions, decommissioned vulnerable endpoints, and restricted professional login to stronger healthcare authentication methods during the degraded recovery period.","WEDA a fermé le service, désactivé les comptes suspects, bloqué les adresses IP sources, fait appel à une assistance forensique, contacté l’ANSSI, déposé plainte et accompagné la notification CNIL. Avant la réouverture, elle a revu Pro Santé Connect, durci les restrictions d’IP sources, retiré les points d’accès vulnérables et limité la connexion des professionnels à des mécanismes d’authentification santé plus forts pendant la période de rétablissement dégradé.","disclosed",{"en":672,"fr":673},"An unspecified intrusion is too vague given WEDA’s later primary document. The public record now supports authenticated customer accounts used to call APIs, an API that could return patient data outside the customer’s own scope, and a confidentiality breach. The affected patient count still remains unknown.","Parler d’une intrusion non précisée est trop vague au vu du document primaire ultérieur de WEDA. Le dossier public étaye désormais l’usage de comptes clients authentifiés pour appeler des API, une API capable de renvoyer des données patients hors du périmètre du client, et une perte de confidentialité. Le nombre de patients concernés reste inconnu.",[675,681,685],{"original":676,"originalLang":9,"translation":677,"attribution":678,"sourceId":141},"un pic d’activité anormal","an abnormal activity spike",{"en":679,"fr":680},"WEDA CNIL-notification material","Document WEDA de notification CNIL",{"original":682,"originalLang":9,"translation":683,"attribution":684,"sourceId":141},"Perte de la confidentialité","loss of confidentiality",{"en":679,"fr":680},{"original":686,"originalLang":9,"translation":687,"attribution":688,"sourceId":141},"toujours en cours d’investigation","still under investigation",{"en":679,"fr":680},{"id":179,"date":177,"year":385,"org":690,"domain":691,"kind":388,"sector":692,"severity":390,"status":391,"affected":392,"affectedLabel":693,"data":696,"method":699,"risk":702,"sourceName":176,"confidence":705,"sourceId":179,"sourceUrl":181,"logo":708,"sourceIds":710,"detail":711,"lastResearched":10},{"en":176,"fr":176},"eurofiber.com","Telecom \u002F cloud supplier",{"en":694,"fr":695},"Customer scope not expressed as a verified person count","Périmètre client non exprimé en nombre vérifié de personnes",{"en":697,"fr":698},"Identification data, hashed passwords, ticket content and some attachments. Banking or critical data and network\u002Fcloud integrity were not compromised, Eurofiber said.","Données d’identification, mots de passe hachés, contenu de tickets et certaines pièces jointes. Données bancaires ou critiques et intégrité réseau\u002Fcloud non compromises, selon Eurofiber.",{"en":700,"fr":701},"Blind SQL injection against the user database, then REST-API exfiltration of tickets and documents.","Injection SQL aveugle contre la base utilisateurs, puis exfiltration via l’API REST de tickets et documents.",{"en":703,"fr":704},"Supplier ticketing data can expose configuration and support history about many downstream organisations.","Les tickets d’un fournisseur peuvent exposer la configuration et l’historique de support de nombreuses organisations clientes.",{"en":706,"fr":707},"Official company post-incident disclosure","Communication officielle de l’entreprise après l’incident",{"domain":691,"strategy":409,"file":709},"eurofiber.svg",[173,179,184],{"lead":712,"timeline":715,"how":729,"taken":732,"notTaken":735,"impact":738,"response":741,"methodDisclosure":670,"revision":744,"quotes":747},{"en":713,"fr":714},"Eurofiber France published a detailed postmortem of an incident affecting its customer ticketing platform for Eurofiber France and regional brands, plus the ATE \u002F Eurofiber Cloud Infra France customer portal. The company traced the first activity to 6 November 2025, when the attacker used blind SQL injection against the user database. From 10 November, exfiltration intensified through REST API calls targeting tickets and documents. Monitoring detected anomalies on 13 November at 14:49.","Eurofiber France a publié un retour d’expérience détaillé d’un incident touchant sa plateforme de ticketing client pour Eurofiber France et ses marques régionales, ainsi que le portail client ATE \u002F Eurofiber Cloud Infra France. L’entreprise a fait remonter les premières traces au 6 novembre 2025, lorsque l’attaquant a utilisé une injection SQL aveugle contre la base des utilisateurs. À partir du 10 novembre, l’exfiltration s’est intensifiée via des appels à l’API REST visant tickets et documents. La supervision a détecté des anomalies le 13 novembre à 14 h 49.",[716,721,725],{"date":717,"label":718},"2025-11-06",{"en":719,"fr":720},"Earliest traces identified later: blind SQL injection targeting the user database.","Premières traces identifiées a posteriori : injection SQL aveugle visant la base des utilisateurs.",{"date":610,"label":722},{"en":723,"fr":724},"Exfiltration intensifies through REST API calls targeting tickets and documents.","L’exfiltration s’intensifie via des appels à l’API REST visant tickets et documents.",{"date":177,"label":726},{"en":727,"fr":728},"Monitoring detects abnormal activity at 14:49. Crisis response begins. Eurofiber reports the vulnerability patched and the affected server isolated by 18:15.","La supervision détecte une activité anormale à 14 h 49. La cellule de crise s’ouvre. Eurofiber indique la vulnérabilité corrigée et le serveur concerné isolé à 18 h 15.",{"en":730,"fr":731},"Eurofiber states that a vulnerability in the ticketing software, known in the security community under a CVE reference, permitted SQL injection and API-based data extraction. A customised version in Eurofiber’s environment had not been identified by the vendor as vulnerable. The company did not name the product or the CVE identifier in its own postmortem; this record does not treat a later product name as confirmed.","Eurofiber indique qu’une vulnérabilité du logiciel de ticketing, connue dans la communauté de la sécurité sous une référence CVE, a permis une injection SQL et une extraction de données via API. Une version personnalisée dans l’environnement d’Eurofiber n’avait pas été identifiée comme vulnérable par l’éditeur. L’entreprise n’a nommé ni le produit ni l’identifiant CVE dans son propre retour d’expérience ; cette fiche ne traite pas un nom de produit ultérieur comme confirmé.",{"en":733,"fr":734},"Identification data such as name, first name, email, hashed password and, where present, phone or profile information. Ticket content, ticket exchanges and some attachments were also affected. Eurofiber said only about 2 percent of the oldest tickets had attachments in the affected category. The scope included Eurofiber France and regional brands Eurafibre, FullSave, Netiwan and Avelia, plus the Eurofiber Cloud Infra France portal. Customers outside France were reported unaffected.","Données d’identification telles que nom, prénom, e-mail, mot de passe haché et, le cas échéant, téléphone ou informations de profil. Le contenu des tickets, les échanges et certaines pièces jointes étaient aussi concernés. Eurofiber a indiqué qu’environ 2 % seulement des tickets les plus anciens avaient des pièces jointes dans la catégorie affectée. Le périmètre comprenait Eurofiber France et les marques régionales Eurafibre, FullSave, Netiwan et Avelia, ainsi que le portail Eurofiber Cloud Infra France. Les clients hors de France n’étaient pas concernés, selon l’entreprise.",{"en":736,"fr":737},"Eurofiber said banking or critical data were not compromised. It also said the integrity and availability of the underlying network and cloud services were not compromised by the attack.","Eurofiber a indiqué que les données bancaires ou critiques n’avaient pas été compromises. Elle a aussi indiqué que l’intégrité et la disponibilité des services réseau et cloud sous-jacents n’avaient pas été compromises par l’attaque.",{"en":739,"fr":740},"The direct service impact was limited, but the downstream intelligence value is significant. A supplier’s support tickets can expose hostnames, architecture details, troubleshooting logs, screenshots and attachments about many organisations at once. This is a supplier-exposure case even without a large public victim count.","L’impact direct sur le service a été limité, mais la valeur de renseignement en aval est importante. Les tickets de support d’un fournisseur peuvent exposer des noms d’hôtes, des détails d’architecture, des journaux de dépannage, des captures d’écran et des pièces jointes concernant de nombreuses organisations à la fois. Il s’agit d’un cas d’exposition fournisseur, même sans large décompte public de victimes.",{"en":742,"fr":743},"Eurofiber activated a crisis cell with its SOC provider, preserved forensic evidence, isolated and patched the vulnerable service, rotated passwords and API keys, tightened IP restrictions, notified customers and authorities, and introduced stronger authentication and API-token protection. The company also reported an extortion attempt in its follow-up.","Eurofiber a activé une cellule de crise avec son prestataire SOC, préservé les preuves forensiques, isolé et corrigé le service vulnérable, renouvelé les mots de passe et clés d’API, durci les restrictions d’IP, informé les clients et les autorités, et introduit une authentification plus forte et une protection des jetons d’API. L’entreprise a aussi signalé une tentative d’extorsion dans son suivi.",{"en":745,"fr":746},"The postmortem justifies treating the exploitation mechanism — SQL injection and REST-API exfiltration — as disclosed, while still leaving the attacker’s identity and any later product name unconfirmed by Eurofiber.","Le retour d’expérience justifie de traiter le mécanisme d’exploitation — injection SQL et exfiltration via l’API REST — comme divulgué, tout en laissant l’identité de l’attaquant et tout nom de produit ultérieur non confirmés par Eurofiber.",[748,754],{"original":749,"originalLang":7,"translation":750,"attribution":751,"sourceId":179},"The first traces of the attack date back to November 6","Les premières traces de l’attaque remontent au 6 novembre",{"en":752,"fr":753},"Eurofiber France post-incident review","Retour d’expérience d’Eurofiber France",{"original":755,"originalLang":9,"translation":756,"attribution":757,"sourceId":179},"injection SQL","SQL injection",{"en":176,"fr":176},{"id":211,"date":759,"year":385,"org":760,"domain":763,"kind":764,"sector":765,"severity":545,"status":766,"affected":392,"affectedLabel":767,"data":770,"method":773,"risk":776,"sourceName":193,"confidence":779,"sourceId":190,"sourceUrl":192,"logo":782,"sourceIds":784,"detail":785,"lastResearched":10},"2025-12-11",{"en":761,"fr":762},"French Interior Ministry","Ministère de l’Intérieur","interieur.gouv.fr","government","Law enforcement","disputed",{"en":768,"fr":769},"72 TAJ files and tens of thousands of TAJ index rows; 23 FPR files and ~3,000 FPR index elements; 1 Interpol file — not a person count","72 fiches TAJ et des dizaines de milliers de lignes d’index TAJ ; 23 fiches FPR et environ 3 000 éléments d’index FPR ; 1 fiche Interpol — pas un nombre de personnes",{"en":771,"fr":772},"72 full TAJ files plus tens of thousands of TAJ index rows; 23 FPR files plus ~3,000 FPR index elements; 1 Interpol file after 10 viewed. Not a person count.","72 fiches TAJ complètes plus des dizaines de milliers de lignes d’index TAJ ; 23 fiches FPR plus environ 3 000 éléments d’index FPR ; 1 fiche Interpol après consultation de 10. Pas un décompte de personnes.",{"en":774,"fr":775},"Compromised police mailboxes, then application passwords found in email, then a police portal. MFA stopped apps that already had it.","Messageries de police compromises, puis mots de passe d’applications trouvés dans les e-mails, puis un portail de police. La MFA a stoppé les applications qui en avaient déjà.",{"en":777,"fr":778},"Exceptionally sensitive law-enforcement information, potential danger to individuals, investigations and operational security.","Informations policières extrêmement sensibles, risques pour les personnes, les enquêtes et la sécurité opérationnelle.",{"en":780,"fr":781},"Senate reconstruction of a confirmed breach; 16.4 million remains an attacker claim.","Reconstruction sénatoriale d’une violation confirmée ; 16,4 millions reste une revendication d’attaquant.",{"domain":763,"strategy":409,"file":783},"interior.svg",[190,196,200,206,211,215],{"lead":786,"timeline":789,"how":813,"taken":816,"notTaken":819,"impact":822,"response":825,"methodDisclosure":524,"attackerClaim":828,"revision":831,"quotes":834},{"en":787,"fr":788},"A criminal actor claimed access to data on more than 16 million people. The interior minister later rejected the idea that millions of complete records had been extracted. A Senate hearing on 13 January 2026 reconstructed a narrower, still serious scope: 72 full TAJ files plus tens of thousands of TAJ index rows, 23 FPR files plus about 3,000 FPR index elements, and 1 Interpol file exfiltrated after 10 were viewed. Those quantities are operational record counts, not a unique-person total.\n\nThe path ran from compromised professional mailboxes, through application passwords that agents had exchanged in email, to a Police nationale portal. Applications that already had MFA were attempted but not successfully penetrated.","Un acteur criminel a revendiqué l’accès aux données de plus de 16 millions de personnes. Le ministre de l’Intérieur a ensuite écarté l’idée que des millions de dossiers complets avaient été extraits. Une audition au Sénat le 13 janvier 2026 a reconstitué un périmètre plus étroit, toujours grave : 72 fiches TAJ complètes plus des dizaines de milliers de lignes d’index TAJ, 23 fiches FPR plus environ 3 000 éléments d’index FPR, et 1 fiche Interpol exfiltrée après consultation de 10. Ces quantités sont des comptes d’enregistrements opérationnels, pas un total de personnes distinctes.\n\nLe chemin est allé de messageries professionnelles compromises, via des mots de passe d’applications que des agents avaient échangés par e-mail, jusqu’à un portail de la Police nationale. Les applications déjà protégées par la MFA ont été tentées mais pas pénétrées avec succès.",[790,795,800,805,809],{"date":791,"label":792},"2025-11-25",{"en":793,"fr":794},"DGPN notices that passwords to several police mailboxes have been changed.","La DGPN constate que les mots de passe de plusieurs messageries de police ont été changés.",{"date":796,"label":797},"2025-11-28",{"en":798,"fr":799},"Services reset mailbox passwords themselves.","Les services réinitialisent eux-mêmes les mots de passe des messageries.",{"date":801,"label":802},"2025-12-08",{"en":803,"fr":804},"The ministry knows that an unauthorised person has accessed a Police nationale portal and several applications. A criminal investigation is opened.","Le ministère sait qu’une personne non autorisée a accédé à un portail de la Police nationale et à plusieurs applications. Une enquête pénale est ouverte.",{"date":204,"label":806},{"en":807,"fr":808},"Minister Laurent Nuñez publicly confirms access to TAJ and FPR and extraction of dozens of confidential files. A 22-year-old suspect is arrested.","Le ministre Laurent Nuñez confirme publiquement l’accès au TAJ et au FPR et l’extraction de dizaines de fiches confidentielles. Un suspect de 22 ans est interpellé.",{"date":194,"label":810},{"en":811,"fr":812},"Nuñez gives the Senate the 72 TAJ, 23 FPR and Interpol figures, and describes MFA remediation.","Nuñez donne au Sénat les chiffres 72 TAJ, 23 FPR et Interpol, et décrit la généralisation de la MFA.",{"en":814,"fr":815},"Compromised professional mailboxes gave the attacker access to messages in which some agents had exchanged passwords for internal applications. Those credentials opened a police portal shared across services — exposing roughly 150 applications, of which the attacker consulted seven — and enabled access to applications that were not protected by stronger factors. Nuñez told senators that applications already protected by MFA were attempted but not successfully penetrated. The initial failure was a chain: mailbox compromise, poor handling of application passwords in email, reuse of credentials to internal applications, then selective querying and extraction from sensitive police systems.","Des messageries professionnelles compromises ont donné à l’attaquant accès à des messages dans lesquels certains agents avaient échangé des mots de passe d’applications internes. Ces identifiants ont ouvert un portail de police partagé entre services — exposant environ 150 applications, dont l’attaquant en a consulté sept — et permis d’accéder aux applications non protégées par un facteur plus fort. Nuñez a indiqué aux sénateurs que les applications déjà protégées par la MFA avaient été tentées mais pas pénétrées avec succès. La défaillance initiale est une chaîne : compromission de messagerie, mauvaise gestion des mots de passe d’applications dans les e-mails, réutilisation des identifiants vers des applications internes, puis interrogation et extraction sélectives de systèmes de police sensibles.",{"en":817,"fr":818},"TAJ contains around 19 million files, but the attacker did not export all of them. The minister said 72 complete TAJ files were exfiltrated, together with tens of thousands of summary or index lines containing identity information but not the reason for a person’s TAJ listing. For FPR, 23 complete files and around 3,000 summary elements were extracted. Ten Interpol files were viewed and one was exfiltrated. These quantities are operational record counts, not a clean number of unique natural persons.","Le TAJ contient environ 19 millions de fiches, mais l’attaquant ne les a pas toutes exportées. Le ministre a indiqué que 72 fiches TAJ complètes avaient été exfiltrées, ainsi que des dizaines de milliers de lignes de synthèse ou d’index contenant des informations d’identité mais pas le motif d’inscription au TAJ. Pour le FPR, 23 fiches complètes et environ 3 000 éléments de synthèse ont été extraits. Dix fiches Interpol ont été consultées et une a été exfiltrée. Ces quantités sont des comptes d’enregistrements opérationnels, pas un nombre net de personnes physiques distinctes.",{"en":820,"fr":821},"The minister said there was no extraction of millions of complete police records and no ransom demand. No destruction or modification of the police files was reported. An HR application available through the portal was not visited, according to the later hearing.","Le ministre a indiqué qu’il n’y avait pas eu d’extraction de millions de dossiers de police complets ni de demande de rançon. Aucune destruction ni modification des fichiers de police n’a été signalée. Une application RH accessible via le portail n’a pas été visitée, selon l’audition ultérieure.",{"en":823,"fr":824},"The sensitivity of even a small number of full police records is extreme. They can contain investigative, law-enforcement or personal information whose disclosure may affect witnesses, suspects, officers or active operations. Index rows can also be damaging because identity data from a police context can enable targeting or intimidation. The incident also showed that a hardened central database can still be exposed through weaker identity practices on surrounding systems.","La sensibilité même d’un petit nombre de dossiers de police complets est extrême. Ils peuvent contenir des informations d’enquête, de police ou personnelles dont la divulgation peut toucher des témoins, des suspects, des agents ou des opérations en cours. Les lignes d’index peuvent aussi être dommageables, car des données d’identité dans un contexte policier peuvent permettre un ciblage ou une intimidation. L’incident a aussi montré qu’une base centrale durcie peut encore être exposée par des pratiques d’identité plus faibles sur les systèmes périphériques.",{"en":826,"fr":827},"The ministry opened a criminal investigation, arrested a suspect on 17 December, reset administrative messaging passwords, removed roughly a thousand accounts belonging to departed personnel, worked with ANSSI on retrospective hunting and log review, and expanded MFA. Nuñez said MFA would be generalised across ministry applications, and the ministry reviewed access profiles and messaging practices.","Le ministère a ouvert une enquête pénale, interpellé un suspect le 17 décembre, réinitialisé les mots de passe de la messagerie administrative, supprimé environ un millier de comptes d’agents partis, travaillé avec l’ANSSI sur une chasse rétrospective et une revue de journaux, et étendu la MFA. Nuñez a indiqué que la MFA serait généralisée sur les applications du ministère, et le ministère a revu les profils d’accès et les pratiques de messagerie.",{"en":829,"fr":830},"A group using the name Indra claimed access to data on more than 16 million people and associated the figure with police files. That number closely resembled the size of TAJ rather than the amount later shown to have been extracted. The 16.4 million claim remains disputed attacker marketing, not a confirmed person count.","Un groupe se présentant sous le nom d’Indra a revendiqué l’accès aux données de plus de 16 millions de personnes et a associé ce chiffre à des fichiers de police. Ce nombre ressemblait de près à la taille du TAJ, plutôt qu’au volume dont l’extraction a ensuite été établie. La revendication de 16,4 millions reste du marketing d’attaquant contesté, pas un décompte confirmé de personnes.",{"en":832,"fr":833},"The first public account of “dozens of files” was reasonable immediately after the December disclosure. The January Senate hearing supplies the precise categories and counts disclosed by the minister, while a unique-person total remains unknown and the 16.4 million claim stays outside the numeric affected field.","Le premier récit public parlant de « dizaines de fiches » était raisonnable juste après l’annonce de décembre. L’audition de janvier au Sénat fournit les catégories et les comptes précis indiqués par le ministre, tandis qu’un total de personnes distinctes reste inconnu et que la revendication de 16,4 millions reste hors du champ numérique affected.",[835,840],{"original":836,"originalLang":9,"translation":837,"attribution":838,"sourceId":200},"Ce qui s’est passé est très grave","What happened is very serious",{"en":839,"fr":839},"Laurent Nuñez",{"original":841,"originalLang":9,"translation":842,"attribution":843,"sourceId":190},"hygiène numérique","digital hygiene",{"en":844,"fr":845},"Laurent Nuñez, Senate hearing","Laurent Nuñez, audition au Sénat",{"id":220,"date":847,"year":848,"org":849,"domain":851,"kind":764,"sector":852,"severity":545,"status":391,"affected":853,"affectedLabel":854,"data":857,"method":860,"risk":863,"sourceName":866,"confidence":867,"sourceId":220,"sourceUrl":222,"logo":870,"sourceIds":872,"detail":873,"lastResearched":10},"2026-01-31",2026,{"en":850,"fr":850},"DGFiP \u002F FICOBA","economie.gouv.fr","Finance \u002F tax",1200000,{"en":855,"fr":856},"About 1.2 million bank accounts","Environ 1,2 million de comptes bancaires",{"en":858,"fr":859},"Bank-account identifiers (RIB\u002FIBAN), account-holder identity and postal address. The tax identifier was not consulted. No balances.","Identifiants de comptes (RIB\u002FIBAN), identité du titulaire et adresse postale. L’identifiant fiscal n’a pas été consulté. Pas de soldes.",{"en":861,"fr":862},"Stolen credentials of a civil servant outside DGFiP, authorised for inter-ministry queries — not a FICOBA software flaw.","Identifiants volés d’un fonctionnaire extérieur à la DGFiP, habilité aux échanges interministériels — pas une faille logicielle de FICOBA.",{"en":864,"fr":865},"Targeted bank and tax phishing, identity fraud and fake-adviser scams.","Hameçonnage bancaire et fiscal ciblé, fraude à l’identité et arnaques au faux conseiller.","French Finance Ministry",{"en":868,"fr":869},"Official government disclosure and later parliamentary answers","Communication officielle des autorités et réponses parlementaires ultérieures",{"domain":851,"strategy":409,"file":871},"economie.svg",[220,226,232,238,243],{"lead":874,"timeline":877,"how":911,"taken":914,"notTaken":917,"impact":920,"response":923,"methodDisclosure":670,"revision":926,"quotes":929},{"en":875,"fr":876},"From late January through 13 February 2026, an attacker used credentials belonging to a civil servant outside DGFiP who was authorised to query FICOBA for inter-ministry information exchange. About 1.2 million bank-account records — less than 1 percent of the register — were consulted or extracted.\n\nThe 1.2 million figure refers to bank accounts, not unique people. One person can hold more than one account, and one account can have several holders.","De fin janvier au 13 février 2026, un attaquant a utilisé les identifiants d’un fonctionnaire extérieur à la DGFiP habilité à interroger FICOBA dans le cadre des échanges interministériels. Environ 1,2 million d’enregistrements de comptes bancaires — moins de 1 % du fichier — ont été consultés ou extraits.\n\nLe chiffre de 1,2 million désigne des comptes bancaires, pas des personnes uniques. Une personne peut détenir plusieurs comptes, et un compte peut avoir plusieurs titulaires.",[878,883,888,893,897,902,907],{"date":879,"label":880},"2026-01-28",{"en":881,"fr":882},"Illegitimate FICOBA consultations begin using the credentials of an authorised civil servant outside DGFiP.","Début des consultations illégitimes de FICOBA à l’aide des identifiants d’un fonctionnaire habilité extérieur à la DGFiP.",{"date":884,"label":885},"2026-02-13",{"en":886,"fr":887},"Last day of the illegitimate access window stated in later parliamentary answers.","Dernier jour de la fenêtre d’accès illégitime indiquée dans les réponses parlementaires ultérieures.",{"date":889,"label":890},"2026-02-16",{"en":891,"fr":892},"DGFiP makes its first CNIL notification, according to a later parliamentary response.","La DGFiP procède à sa première notification à la CNIL, selon une réponse parlementaire ultérieure.",{"date":224,"label":894},{"en":895,"fr":896},"Finance Ministry publicly discloses the incident and the approximately 1.2 million-account scope.","Le ministère des Finances rend public l’incident et le périmètre d’environ 1,2 million de comptes.",{"date":898,"label":899},"2026-02-23",{"en":900,"fr":901},"DGFiP supplements its CNIL notification.","La DGFiP complète sa notification à la CNIL.",{"date":903,"label":904},"2026-02-24",{"en":905,"fr":906},"Banks begin receiving securely transmitted information about their accounts in the consulted set.","Les banques commencent à recevoir, par voie sécurisée, les informations sur leurs comptes figurant dans l’ensemble consulté.",{"date":241,"label":908},{"en":909,"fr":910},"Parliamentary answer: the compromised account belonged to another administration, not a FICOBA software exploit.","Réponse parlementaire : le compte compromis appartenait à une autre administration, et non à une faille logicielle de FICOBA.",{"en":912,"fr":913},"The attack used valid credentials attached to an authorised inter-ministry user outside DGFiP. The government has not published how those credentials were stolen. A parliamentary response states that the incident resulted from use of an account in a third administration and was not the result of a software vulnerability in FICOBA itself.","L’attaque a utilisé des identifiants valides rattachés à un utilisateur interministériel habilité, extérieur à la DGFiP. Les autorités n’ont pas publié comment ces identifiants ont été volés. Une réponse parlementaire indique que l’incident vient de l’usage d’un compte dans une administration tierce, et non d’une vulnérabilité logicielle de FICOBA.",{"en":915,"fr":916},"Bank-account identifiers such as RIB and IBAN, account-holder identity and postal address. The Finance Ministry said the tax identifier was not consulted during the illegitimate access.","Identifiants de comptes bancaires (RIB, IBAN), identité du titulaire et adresse postale. Le ministère des Finances a indiqué que l’identifiant fiscal n’avait pas été consulté lors des accès illégitimes.",{"en":918,"fr":919},"FICOBA does not contain account balances or transaction history. The incident did not compromise bank passwords, impots.gouv.fr passwords or access to taxpayers’ secured tax spaces. An IBAN is sensitive for fraud, but it is not a credential that grants online-banking control.","FICOBA ne contient ni soldes ni historiques d’opérations. L’incident n’a pas compromis les mots de passe bancaires, les mots de passe impots.gouv.fr ni l’accès aux espaces fiscaux sécurisés. Un IBAN est sensible pour la fraude, mais ce n’est pas un identifiant qui donne le contrôle d’une banque en ligne.",{"en":921,"fr":922},"The most credible downstream harms are targeted bank and tax phishing, identity fraud and attempts to create unauthorised direct debits. The combination of a real identity, address and IBAN is especially useful for a fake-bank adviser or administrative impersonation scam.","Les préjudices en aval les plus crédibles sont l’hameçonnage bancaire et fiscal ciblé, la fraude à l’identité et les tentatives de prélèvements non autorisés. La combinaison d’une identité réelle, d’une adresse et d’un IBAN est particulièrement utile pour une arnaque au faux conseiller bancaire ou à l’usurpation administrative.",{"en":924,"fr":925},"DGFiP restricted external access, worked with ANSSI and ministry security officials, notified the CNIL, filed a complaint, contacted affected users, and provided banks with account-level information so they could strengthen monitoring and customer warnings. Later parliamentary responses say external access remained cut while security work continued.","La DGFiP a restreint les accès externes, travaillé avec l’ANSSI et les responsables de sécurité du ministère, notifié la CNIL, déposé plainte, contacté les usagers concernés et transmis aux banques les informations compte par compte pour renforcer la surveillance et les alertes clients. Les réponses parlementaires ultérieures indiquent que les accès externes sont restés coupés le temps des travaux de sécurisation.",{"en":927,"fr":928},"Later parliamentary material confirms the first public account and adds the security-boundary finding: the compromised credentials belonged to a civil servant outside DGFiP, and the incident was not a FICOBA software exploit.","Les documents parlementaires ultérieurs confirment le premier récit public et précisent la frontière de sécurité : les identifiants compromis appartenaient à un fonctionnaire extérieur à la DGFiP, et l’incident n’était pas une faille logicielle de FICOBA.",[930,936],{"original":931,"originalLang":9,"translation":932,"attribution":933,"sourceId":220},"usurpé les identifiants d’un fonctionnaire","impersonated or used a civil servant’s credentials",{"en":934,"fr":935},"French Finance Ministry, 18 February 2026","Ministère de l’Économie et des Finances, 18 février 2026",{"original":937,"originalLang":9,"translation":938,"attribution":939,"sourceId":220},"1,2 millions de comptes","1.2 million accounts",{"en":934,"fr":935},{"id":941,"date":942,"year":848,"org":943,"domain":946,"kind":764,"sector":947,"severity":390,"status":391,"affected":948,"affectedLabel":949,"data":952,"method":955,"risk":958,"sourceName":961,"confidence":962,"sourceId":248,"sourceUrl":250,"logo":965,"sourceIds":967,"detail":968,"lastResearched":10},"educompas","2026-03-15",{"en":944,"fr":945},"Education Ministry \u002F COMPAS","Ministère de l’Éducation \u002F COMPAS","education.gouv.fr","Education",243000,{"en":950,"fr":951},"About 243,000 agents, trainees and permanent staff","Environ 243 000 agents, stagiaires et titulaires",{"en":953,"fr":954},"Identity, addresses, phone numbers and absence periods without the medical reason; tutor names and professional numbers.","Identité, adresses, téléphones et périodes d’absence sans le motif médical ; noms et numéros professionnels des tuteurs.",{"en":956,"fr":957},"Impersonation of an external account.","Usurpation d’un compte externe.",{"en":959,"fr":960},"Harassment, impersonation and workplace-targeted fraud against education staff.","Harcèlement, usurpation et fraudes ciblant le personnel de l’Éducation.","French Education Ministry",{"en":963,"fr":964},"Official government disclosure","Communication officielle des autorités",{"domain":946,"strategy":409,"file":966},"education.png",[248,254,259,265],{"lead":969,"timeline":972,"how":1000,"taken":1003,"notTaken":1006,"impact":1009,"response":1012,"methodDisclosure":524,"revision":1015,"quotes":1018},{"en":970,"fr":971},"An attacker used an impersonated external account to reach COMPAS, the Education Ministry information system used to manage trainee teachers. The fraudulent access occurred on 15 March 2026. The ministry’s security operations centre was alerted on 19 March after unauthorised dissemination of COMPAS data was identified.\n\nAbout 243,000 agents, including trainees and permanent staff recorded in the system, had data exfiltrated. That figure is an official approximate person count.","Un attaquant a utilisé un compte externe usurpé pour atteindre COMPAS, le système d’information du ministère de l’Éducation utilisé pour la gestion des enseignants stagiaires. L’accès frauduleux a eu lieu le 15 mars 2026. Le centre opérationnel de sécurité du ministère a été alerté le 19 mars après identification d’une diffusion non autorisée de données COMPAS.\n\nLes données d’environ 243 000 agents, dont des stagiaires et des titulaires enregistrés dans le système, ont été exfiltrées. Ce chiffre est un effectif officiel approximatif de personnes.",[973,977,982,987,991,995],{"date":942,"label":974},{"en":975,"fr":976},"Fraudulent access to COMPAS occurs after impersonation of an external account.","Accès frauduleux à COMPAS après usurpation d’un compte externe.",{"date":978,"label":979},"2026-03-19",{"en":980,"fr":981},"COSSIM, the ministry security operations centre, is alerted. External access is closed and a crisis cell is activated.","Le COSSIM, centre opérationnel de sécurité du ministère, est alerté. L’accès externe est fermé et une cellule de crise est activée.",{"date":983,"label":984},"2026-03-21",{"en":985,"fr":986},"CNIL is notified, according to a later Senate response.","La CNIL est notifiée, selon une réponse ultérieure au Sénat.",{"date":252,"label":988},{"en":989,"fr":990},"Public disclosure establishes an approximate 243,000-person scope.","L’annonce publique établit un périmètre d’environ 243 000 personnes.",{"date":263,"label":992},{"en":993,"fr":994},"A complaint is filed, according to the minister’s Senate response.","Une plainte est déposée, selon la réponse de la ministre au Sénat.",{"date":996,"label":997},"2026-04-01",{"en":998,"fr":999},"The ministry says the 243,000 people concerned will be individually informed by this date.","Le ministère indique que les 243 000 personnes concernées seront informées individuellement à cette date.",{"en":1001,"fr":1002},"The ministry says the access followed impersonation of an external account. It does not describe a software vulnerability in COMPAS or explain how the external account was obtained. The event is therefore compromised credentials used for valid authenticated access.","Le ministère indique que l’accès a suivi l’usurpation d’un compte externe. Il ne décrit pas de vulnérabilité logicielle dans COMPAS ni n’explique comment le compte externe a été obtenu. Il s’agit donc d’identifiants compromis utilisés pour un accès authentifié valide.",{"en":1004,"fr":1005},"Names and other identity information, postal addresses, phone numbers and periods of absence without the health reason, for about 243,000 agents recorded in COMPAS. Tutor identity and professional telephone numbers were also exposed. Security reporting said samples later appeared on data-trading venues; any reseller volume is not a second official count.","Noms et autres éléments d’identité, adresses postales, téléphones et périodes d’absence sans le motif de santé, pour environ 243 000 agents enregistrés dans COMPAS. L’identité des tuteurs et leurs numéros professionnels ont aussi été exposés. La presse spécialisée a indiqué que des échantillons sont ensuite apparus sur des places de revente ; tout volume revendiqué n’est pas un second décompte officiel.",{"en":1007,"fr":1008},"The official disclosure emphasised that absence periods did not include the underlying health reason. The public primary source reviewed does not provide evidence for broader claims about medical files or banking credentials.","Le communiqué officiel souligne que les périodes d’absence n’incluaient pas le motif de santé. La source primaire publique examinée n’apporte pas d’éléments pour des allégations plus larges sur des dossiers médicaux ou des identifiants bancaires.",{"en":1010,"fr":1011},"Teachers and other staff expressed concern that the data could be used to locate or target them. Real home addresses, phone numbers and employment context can support harassment, impersonation and tailored fraud even when the dataset does not contain passwords.","Des enseignants et d’autres agents ont exprimé la crainte que ces données servent à les localiser ou à les viser. De vraies adresses personnelles, des numéros de téléphone et un contexte professionnel peuvent étayer du harcèlement, de l’usurpation et des fraudes ciblées, même sans mots de passe dans le jeu de données.",{"en":1013,"fr":1014},"The ministry suspended external access to COMPAS, activated a crisis cell, carried out checks across other systems, notified ANSSI and the CNIL, filed a complaint and informed staff. In parliamentary debate, the minister also described a wider government security programme focused on MFA, segmentation and reduced application exposure.","Le ministère a suspendu l’accès externe à COMPAS, activé une cellule de crise, vérifié d’autres systèmes, notifié l’ANSSI et la CNIL, déposé plainte et informé les agents. Dans le débat parlementaire, la ministre a aussi décrit un programme gouvernemental plus large axé sur la MFA, la segmentation et la réduction de l’exposition des applications.",{"en":1016,"fr":1017},"A later Senate response supplies dates for CNIL notification (21 March), the complaint (24 March) and planned individual notification (by 1 April). It strengthens the cross-case finding that credential impersonation is a recurring weakness.","Une réponse ultérieure au Sénat fournit les dates de notification à la CNIL (21 mars), de la plainte (24 mars) et de l’information individuelle prévue (au 1er avril). Elle renforce le constat transversal que l’usurpation d’identifiants est une faiblesse récurrente.",[1019,1025],{"original":1020,"originalLang":9,"translation":1021,"attribution":1022,"sourceId":248},"usurpation d’un compte externe","impersonation of an external account",{"en":1023,"fr":1024},"French Education Ministry, 23–24 March 2026","Ministère de l’Éducation nationale, 23-24 mars 2026",{"original":1026,"originalLang":9,"translation":1027,"attribution":1028,"sourceId":248},"environ 243 000 agents","about 243,000 agents",{"en":1023,"fr":1024},{"id":1030,"date":273,"year":848,"org":1031,"domain":946,"kind":764,"sector":947,"severity":545,"status":391,"affected":392,"affectedLabel":1034,"data":1037,"method":1040,"risk":1043,"sourceName":961,"confidence":1046,"sourceId":270,"sourceUrl":272,"logo":1049,"sourceIds":1050,"detail":1051,"lastResearched":10},"edustudents",{"en":1032,"fr":1033},"Education Ministry \u002F ÉduConnect","Ministère de l’Éducation \u002F ÉduConnect",{"en":1035,"fr":1036},"Official pupil count unpublished","Effectif officiel d’élèves non publié",{"en":1038,"fr":1039},"Name, ÉduConnect identifier, school and class, email if supplied, and activation code for accounts not yet activated.","Nom, identifiant ÉduConnect, établissement et classe, e-mail s’il était renseigné, et code d’activation des comptes non encore activés.",{"en":1041,"fr":1042},"Impersonated staff account plus a vulnerability exploited shortly before it was fixed.","Compte d’un personnel usurpé, plus une vulnérabilité exploitée peu avant sa correction.",{"en":1044,"fr":1045},"School-themed phishing aimed at pupils and parents.","Hameçonnage à thème scolaire visant les élèves et les parents.",{"en":1047,"fr":1048},"Official disclosure; exact pupil count unpublished","Communication officielle ; effectif exact d’élèves non publié",{"domain":946,"strategy":409,"file":966},[270,275,280,285],{"lead":1052,"timeline":1055,"how":1086,"taken":1089,"notTaken":1092,"impact":1095,"response":1098,"methodDisclosure":524,"attackerClaim":1101,"revision":1104,"quotes":1107},{"en":1053,"fr":1054},"The Education Ministry disclosed on 14 April 2026 that pupil data had been exfiltrated from a service adjacent to ÉduConnect. An authorised staff account was impersonated at the end of 2025, and a security flaw identified in December 2025 was exploited shortly before it was fixed.\n\nThe ministry confirmed exfiltration but did not publish a final pupil count. Criminal claims of 3.5 million pupils and 7.2 million report cards remain claims, not the ministry’s verified scope.","Le ministère de l’Éducation a indiqué le 14 avril 2026 que des données d’élèves avaient été exfiltrées d’un service lié à ÉduConnect. Le compte d’un personnel habilité a été usurpé fin 2025, et une faille identifiée en décembre 2025 a été exploitée peu avant sa correction.\n\nLe ministère confirme l’exfiltration mais n’a pas publié d’effectif définitif d’élèves. Les revendications criminelles de 3,5 millions d’élèves et 7,2 millions de bulletins restent des revendications, pas le périmètre vérifié du ministère.",[1056,1061,1065,1070,1074,1078,1082],{"date":1057,"label":1058},"2025-12-01",{"en":1059,"fr":1060},"An authorised staff account is impersonated at the end of 2025, giving fraudulent access to the pupil-account management service (exact day not published).","Le compte d’un personnel habilité est usurpé fin 2025, donnant un accès frauduleux au service de gestion des comptes élèves (jour exact non publié).",{"date":182,"label":1062},{"en":1063,"fr":1064},"A vulnerability in the service is identified in December and, the ministry says, exploited shortly before it was fixed (exact day not published).","Une vulnérabilité du service est identifiée en décembre et, selon le ministère, exploitée peu avant sa correction (jour exact non publié).",{"date":1066,"label":1067},"2026-04-12",{"en":1068,"fr":1069},"A criminal group publicly advertises data it claims came from the education environment, including a multi-million-pupil figure.","Un groupe criminel met en vente des données qu’il présente comme issues de l’environnement éducatif, avec un chiffre de plusieurs millions d’élèves.",{"date":273,"label":1071},{"en":1072,"fr":1073},"Education Ministry publicly confirms exfiltration; the exact pupil count is still under evaluation.","Le ministère de l’Éducation confirme publiquement l’exfiltration ; le nombre exact d’élèves est encore en évaluation.",{"date":278,"label":1075},{"en":1076,"fr":1077},"Le Monde reports that the ministry still does not know the exact number of pupils affected.","Le Monde indique que le ministère ne connaît toujours pas le nombre exact d’élèves concernés.",{"date":246,"label":1079},{"en":1080,"fr":1081},"French investigators arrest seven people reported as alleged members of DumpSec, in a broader investigation into more than 1,500 targeted entities. This is attribution context; it does not validate the advertised pupil count.","Les enquêteurs français interpellent sept personnes présentées comme de présumés membres de DumpSec, dans une enquête plus large visant plus de 1 500 entités. C’est un contexte d’attribution ; cela ne valide pas l’effectif d’élèves revendiqué.",{"date":288,"label":1083},{"en":1084,"fr":1085},"Security reporting connects the arrests with a wider DumpSec campaign and repeats the group’s ÉduConnect claims. Those numbers still remain outside the ministry’s confirmed count.","La presse spécialisée relie les interpellations à une campagne DumpSec plus large et reprend les revendications du groupe sur ÉduConnect. Ces chiffres restent hors du décompte confirmé du ministère.",{"en":1087,"fr":1088},"Unlike COMPAS, this incident combines compromised identity with a software weakness. The ministry says an authorised staff account was impersonated and that a vulnerability in the account-management service was exploited shortly before it was fixed. The public statement does not name the vulnerability, provide a CVE, or explain the precise request sequence.","Contrairement à COMPAS, cet incident combine une identité compromise et une faiblesse logicielle. Le ministère indique que le compte d’un personnel habilité a été usurpé et qu’une vulnérabilité du service de gestion des comptes a été exploitée peu avant sa correction. Le communiqué public ne nomme pas la vulnérabilité, ne fournit pas de CVE et n’explique pas la séquence précise des requêtes.",{"en":1090,"fr":1091},"Officially confirmed fields are pupil first and last name, ÉduConnect identifier, school and class, email if provided, and activation code only for accounts not yet activated. The ministry confirmed data exfiltration. It did not publish a final pupil count by the research cutoff.","Les champs officiellement confirmés sont le prénom et le nom de l’élève, l’identifiant ÉduConnect, l’établissement et la classe, l’e-mail s’il était renseigné, et le code d’activation uniquement pour les comptes non encore activés. Le ministère confirme l’exfiltration. Il n’a pas publié d’effectif définitif d’élèves à la date de clôture de la recherche.",{"en":1093,"fr":1094},"The ministry says accounts already activated by pupils and their guardians were not compromised and could continue to be used safely. It reset codes for unactivated accounts and blocked undistributed or unactivated accounts. The official field list does not include health data or social-security numbers.","Le ministère indique que les comptes déjà activés par les élèves et leurs responsables n’ont pas été compromis et pouvaient continuer à être utilisés. Il a réinitialisé les codes des comptes non activés et bloqué les comptes non distribués ou non activés. La liste officielle des champs n’inclut pas de données de santé ni de numéros de sécurité sociale.",{"en":1096,"fr":1097},"Because the dataset concerns minors and schools, the main risk is highly credible school-themed phishing aimed at pupils and parents. School, class, identity and activation context can be used to impersonate a school administrator, parent portal or account-support process.","Parce que le jeu de données concerne des mineurs et des établissements, le risque principal est un hameçonnage très crédible à thème scolaire visant élèves et parents. L’établissement, la classe, l’identité et le contexte d’activation peuvent servir à usurper un chef d’établissement, un portail parents ou un processus d’assistance aux comptes.",{"en":1099,"fr":1100},"The ministry suspended access to the affected service, activated a crisis cell, reset activation codes, blocked unactivated accounts, began strengthening access with MFA, notified ANSSI and CNIL, and filed a complaint. Families were warned to be alert to school-themed fraud.","Le ministère a suspendu l’accès au service touché, activé une cellule de crise, réinitialisé les codes d’activation, bloqué les comptes non activés, commencé à renforcer les accès avec la MFA, notifié l’ANSSI et la CNIL, et déposé plainte. Les familles ont été invitées à la vigilance face aux fraudes à thème scolaire.",{"en":1102,"fr":1103},"DumpSec, or accounts attributed to the group, advertised about 3.5 million pupils and 7.2 million report cards. Those figures remain criminal claims. They are not a substitute for a ministry-verified pupil count.","DumpSec, ou des comptes qui lui sont attribués, ont revendiqué environ 3,5 millions d’élèves et 7,2 millions de bulletins. Ces chiffres restent des revendications criminelles. Ils ne remplacent pas un effectif d’élèves vérifié par le ministère.",{"en":1105,"fr":1106},"In June 2026, French investigators arrested seven people reported as alleged DumpSec members in a broader investigation. That improves attribution context at campaign level. It does not validate the advertised pupil or report-card counts, and the official student count remains unpublished.","En juin 2026, les enquêteurs français ont interpellé sept personnes présentées comme de présumés membres de DumpSec, dans une enquête plus large. Cela renforce le contexte d’attribution au niveau de la campagne. Cela ne valide pas les effectifs d’élèves ou de bulletins revendiqués, et le nombre officiel d’élèves reste non publié.",[1108,1114],{"original":1109,"originalLang":9,"translation":1110,"attribution":1111,"sourceId":270},"le nombre exact est en cours d’évaluation","the exact number is being evaluated",{"en":1112,"fr":1113},"French Education Ministry, 14 April 2026","Ministère de l’Éducation nationale, 14 avril 2026",{"original":1115,"originalLang":9,"translation":1116,"attribution":1117,"sourceId":270},"usurpation d’identité du compte d’un personnel habilité","impersonation of an authorised staff member’s account",{"en":1112,"fr":1113},{"id":290,"date":1119,"year":848,"org":1120,"domain":1121,"kind":764,"sector":1122,"severity":545,"status":391,"affected":1123,"affectedLabel":1124,"data":1127,"method":1130,"risk":1133,"sourceName":1136,"confidence":1137,"sourceId":290,"sourceUrl":292,"logo":1140,"sourceIds":1142,"detail":1143,"lastResearched":10},"2026-04-15",{"en":293,"fr":293},"ants.gouv.fr","Identity \u002F public services",11700000,{"en":1125,"fr":1126},"About 11.7 million accounts that may be concerned","Environ 11,7 millions de comptes qui pourraient être concernés",{"en":1128,"fr":1129},"Login identifier, title, names, email, date of birth and unique account ID; sometimes postal address, place of birth and phone.","Identifiant de connexion, civilité, noms, e-mail, date de naissance et identifiant unique ; parfois adresse postale, lieu de naissance et téléphone.",{"en":1131,"fr":1132},"Official cause still under investigation.","Cause officielle encore en investigation.",{"en":1134,"fr":1135},"Government-themed identity phishing around licences, passports and ID documents.","Hameçonnage d’identité à thème administratif autour des permis, passeports et titres d’identité.","France Titres (ANTS)",{"en":1138,"fr":1139},"Official update; origin still under investigation","Mise à jour officielle ; l’origine est encore en investigation",{"domain":1121,"strategy":409,"file":1141},"ants.svg",[290,296,301,307,312,317],{"lead":1144,"timeline":1147,"how":1174,"taken":1177,"notTaken":1180,"impact":1183,"response":1186,"methodDisclosure":449,"attackerClaim":1189,"revision":1192,"quotes":1195},{"en":1145,"fr":1146},"France Titres, also known as ANTS, detected a security incident on 15 April 2026 involving the ants.gouv.fr portal. The 21 April official update said about 11.7 million individual and professional accounts could be concerned.\n\nThat figure is phrased as accounts that may be concerned. It should not automatically be read as 11.7 million complete records definitely downloaded. Criminal claims of roughly 18 to 19 million records are not the official count.","France Titres, aussi appelée ANTS, a détecté le 15 avril 2026 un incident de sécurité sur le portail ants.gouv.fr. Le point d’étape officiel du 21 avril indiquait qu’environ 11,7 millions de comptes particuliers et professionnels pouvaient être concernés.\n\nCe chiffre est formulé comme des comptes qui pourraient être concernés. Il ne doit pas être lu automatiquement comme 11,7 millions d’enregistrements complets effectivement téléchargés. Les revendications criminelles d’environ 18 à 19 millions d’enregistrements ne sont pas le décompte officiel.",[1148,1152,1157,1161,1165,1170],{"date":1119,"label":1149},{"en":1150,"fr":1151},"ANTS detects the security incident.","L’ANTS détecte l’incident de sécurité.",{"date":1153,"label":1154},"2026-04-16",{"en":1155,"fr":1156},"ANTS reports to the Paris prosecutor that data presented as coming from the incident is being offered for sale. A cyber investigation begins.","L’ANTS signale au parquet de Paris que des données présentées comme issues de l’incident sont mises en vente. Une enquête cyber commence.",{"date":294,"label":1158},{"en":1159,"fr":1160},"Official update: 11.7 million accounts may be concerned. Technical investigation of origin and scope is still ongoing.","Point d’étape : 11,7 millions de comptes pourraient être concernés. L’investigation technique sur l’origine et le périmètre se poursuit.",{"date":305,"label":1162},{"en":1163,"fr":1164},"ANTS places the portal into maintenance from 19:30 to continue security strengthening.","L’ANTS place le portail en maintenance à partir de 19 h 30 pour poursuivre le durcissement de sécurité.",{"date":1166,"label":1167},"2026-04-25",{"en":1168,"fr":1169},"A 15-year-old suspect is arrested.","Un suspect de 15 ans est interpellé.",{"date":315,"label":1171},{"en":1172,"fr":1173},"Paris prosecutor publicly announces the arrest and says the minor is suspected of having contributed to the leak.","Le parquet de Paris annonce publiquement l’interpellation et indique que le mineur est soupçonné d’avoir contribué à la fuite.",{"en":1175,"fr":1176},"The principal ANTS update does not name an initial-access vector or vulnerability. It says internal technical investigations are working to establish origin and scope. Later journalism described an IDOR-style API weakness; researchers also said they had previously reported security flaws. Those accounts remain reporting unless France Titres, investigators or a judicial record confirms the specific technical path.","Le principal point d’étape ANTS ne nomme ni vecteur d’accès initial ni vulnérabilité. Il indique que des investigations techniques internes visent à établir l’origine et le périmètre. La presse a ensuite décrit une faiblesse d’API de type IDOR ; des chercheurs ont aussi dit avoir signalé auparavant des failles. Ces récits restent du journalisme tant que France Titres, les enquêteurs ou une pièce judiciaire ne confirment pas le chemin technique précis.",{"en":1178,"fr":1179},"Potentially affected fields include login identifier, civil-status title, surname and given names, email, date of birth and a unique account ID. For some accounts the dataset also includes postal address, place of birth and phone number. ANTS said the disclosed fields by themselves did not allow someone to log into the named ANTS account.","Les champs potentiellement concernés comprennent l’identifiant de connexion, la civilité, le nom et les prénoms, l’e-mail, la date de naissance et un identifiant unique de compte. Pour certains comptes, le jeu de données inclut aussi l’adresse postale, le lieu de naissance et le téléphone. L’ANTS a indiqué que ces champs, à eux seuls, ne permettaient pas de se connecter au compte nominatif ANTS.",{"en":1181,"fr":1182},"At the 21 April stage, ANTS excluded supporting documents uploaded for administrative procedures and biometric data. Passwords were not listed among the disclosed fields.","Au stade du 21 avril, l’ANTS excluait les pièces justificatives déposées pour les démarches et les données biométriques. Les mots de passe ne figuraient pas parmi les champs divulgués.",{"en":1184,"fr":1185},"The data is highly suitable for government-themed identity phishing. A fraudster can cite a real date of birth, address or ANTS context and impersonate a driving-licence, passport, registration or identity-document process. The main direct danger is not that the leaked fields themselves unlock the portal, but that they make the next social-engineering step more convincing.","Ces données se prêtent très bien à l’hameçonnage d’identité à thème administratif. Un fraudeur peut citer une vraie date de naissance, une adresse ou un contexte ANTS et usurper une démarche de permis, de passeport, d’immatriculation ou de titre d’identité. Le danger direct n’est pas que les champs divulgués ouvrent le portail, mais qu’ils rendent l’étape suivante d’ingénierie sociale plus convaincante.",{"en":1187,"fr":1188},"ANTS notified CNIL, referred the matter to the Paris prosecutor, and an OFAC investigation was opened. The Interior Minister asked the Inspection générale de l’administration to establish the chain of responsibility. Professional and individual users were informed. ANTS advised password changes at the next login as a precaution. The portal was later placed in maintenance for additional hardening.","L’ANTS a notifié la CNIL, saisi le parquet de Paris, et une enquête de l’OFAC a été ouverte. Le ministre de l’Intérieur a demandé à l’Inspection générale de l’administration d’établir la chaîne des responsabilités. Les titulaires de comptes professionnels et particuliers ont été informés. L’ANTS a conseillé de changer le mot de passe à la prochaine connexion, par précaution. Le portail a ensuite été placé en maintenance pour un durcissement supplémentaire.",{"en":1190,"fr":1191},"Sellers on criminal forums claimed a larger dataset, generally in the 18 to 19 million-record range. Official government communications used 11.7 million accounts as the potential scope. The later arrest of a minor suspected of contributing to the leak does not validate the advertised volume.","Des vendeurs sur des forums criminels ont revendiqué un jeu plus large, généralement de l’ordre de 18 à 19 millions d’enregistrements. Les communications officielles retiennent 11,7 millions de comptes comme périmètre potentiel. L’interpellation ultérieure d’un mineur soupçonné d’avoir contribué à la fuite ne valide pas le volume revendiqué.",{"en":1193,"fr":1194},"A 15-year-old was arrested on 25 April. On 30 April the Paris prosecutor said the minor was suspected of having contributed to the data leak. A government information page that mistakenly referred to detection on 15 March is not used here: primary ANTS and Interior Ministry material consistently says 15 April.","Un adolescent de 15 ans a été interpellé le 25 avril. Le 30 avril, le parquet de Paris a indiqué que le mineur était soupçonné d’avoir contribué à la fuite. Une page d’information gouvernementale ayant par erreur parlé d’une détection le 15 mars n’est pas retenue ici : les documents primaires ANTS et ministère de l’Intérieur indiquent de façon cohérente le 15 avril.",[1196,1202],{"original":1197,"originalLang":9,"translation":1198,"attribution":1199,"sourceId":290},"11,7 millions de comptes seraient concernés","11.7 million accounts may be concerned",{"en":1200,"fr":1201},"France Titres \u002F Interior Ministry, 21 April 2026","France Titres \u002F ministère de l’Intérieur, 21 avril 2026",{"original":1203,"originalLang":9,"translation":1204,"attribution":1205,"sourceId":290},"investigations techniques internes","internal technical investigations",{"en":1206,"fr":1207},"France Titres, 21 April 2026","France Titres, 21 avril 2026",{"id":1209,"date":1210,"year":848,"org":1211,"domain":946,"kind":764,"sector":947,"severity":545,"status":391,"affected":392,"affectedLabel":1214,"data":1217,"method":1220,"risk":1223,"sourceName":961,"confidence":1226,"sourceId":321,"sourceUrl":323,"logo":1229,"sourceIds":1230,"detail":1231,"lastResearched":10},"edustaff","2026-07-25",{"en":1212,"fr":1213},"Education Ministry staff system","Système RH du ministère de l’Éducation",{"en":1215,"fr":1216},"A “significant number” of agents since 2001; exact count unpublished","Un « nombre important » d’agents depuis 2001 ; effectif exact non publié",{"en":1218,"fr":1219},"Identity and professional data; for some, address, phone and social-security number. No banking, passwords or pupil data.","Identité et données professionnelles ; pour certains, adresse, téléphone et numéro de sécurité sociale. Pas de données bancaires, de mots de passe ni de données élèves.",{"en":1221,"fr":1222},"Impersonation of a professional account.","Usurpation d’un compte professionnel.",{"en":1224,"fr":1225},"Durable identity fraud using social-security numbers and employment context.","Fraude à l’identité durable via le numéro de sécurité sociale et le contexte professionnel.",{"en":1227,"fr":1228},"Official disclosure; headcount still unpublished","Communication officielle ; effectif encore non publié",{"domain":946,"strategy":409,"file":966},[321],{"lead":1232,"timeline":1235,"how":1249,"taken":1252,"notTaken":1255,"impact":1258,"response":1261,"methodDisclosure":524,"revision":1264,"quotes":1267},{"en":1233,"fr":1234},"The Education Ministry disclosed on 31 July 2026 that a professional account had been impersonated during the night of 25 July, giving fraudulent access to an information system dedicated to staff training. The ministry security operations centre was alerted on 26 July and external access was suspended.\n\nThe system contained identity and professional information about agents who had worked in academies since 2001. The ministry described the potential population only as a significant number of agents. No official quantified update was found before the 16 August research cutoff.","Le ministère de l’Éducation a indiqué le 31 juillet 2026 qu’un compte professionnel avait été usurpé dans la nuit du 25 juillet, donnant un accès frauduleux à un système d’information dédié à la formation des personnels. Le centre opérationnel de sécurité du ministère a été alerté le 26 juillet et l’accès externe a été suspendu.\n\nLe système contenait des informations d’identité et professionnelles sur des agents ayant exercé en académie depuis 2001. Le ministère n’a décrit la population potentielle que comme un nombre important d’agents. Aucune mise à jour officielle chiffrée n’a été identifiée avant la clôture de recherche du 16 août.",[1236,1240,1245],{"date":1210,"label":1237},{"en":1238,"fr":1239},"Fraudulent access occurs during the night after impersonation of a professional account.","Accès frauduleux dans la nuit, après usurpation d’un compte professionnel.",{"date":1241,"label":1242},"2026-07-26",{"en":1243,"fr":1244},"COSSIM is alerted. External access to the system is suspended and a crisis cell is activated.","Le COSSIM est alerté. L’accès externe au système est suspendu et une cellule de crise est activée.",{"date":324,"label":1246},{"en":1247,"fr":1248},"The ministry publicly discloses the incident and says the exact scope is still under investigation.","Le ministère rend public l’incident et indique que le périmètre exact est encore en investigation.",{"en":1250,"fr":1251},"The ministry describes the mechanism as impersonation of a professional account. It does not disclose how that account was compromised, whether MFA was present, or whether any software flaw was also involved. This is the third major Education Ministry incident in the 2026 dataset and the second whose public core is compromised credentials.","Le ministère décrit le mécanisme comme l’usurpation d’un compte professionnel. Il ne précise pas comment ce compte a été compromis, si une MFA était en place, ni si une faille logicielle était aussi en jeu. C’est le troisième incident majeur du ministère de l’Éducation dans le dossier 2026, et le deuxième dont le cœur public est des identifiants compromis.",{"en":1253,"fr":1254},"Potentially exposed information covers identity and professional data, including status and functions, for staff who worked in academies since 2001. For some records, postal address, phone number and social-security number are also present. Because the exact number remains unknown, no numeric value is used in aggregate charts.","Les informations potentiellement exposées portent sur l’identité et les données professionnelles, dont le statut et les fonctions, des personnels ayant exercé en académie depuis 2001. Pour certains dossiers, l’adresse postale, le téléphone et le numéro de sécurité sociale sont aussi présents. Comme l’effectif exact reste inconnu, aucune valeur numérique n’est utilisée dans les agrégats.",{"en":1256,"fr":1257},"The ministry explicitly states that the system does not contain banking data, passwords or pupil data.","Le ministère indique explicitement que le système ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves.",{"en":1259,"fr":1260},"Social-security numbers and long-lived identity information create durable fraud risk. Unlike a password, a social-security identifier is not something a person can simply rotate after a breach. Employment role and contact details also support convincing ministry or payroll impersonation.","Les numéros de sécurité sociale et des informations d’identité durables créent un risque de fraude pérenne. Contrairement à un mot de passe, un identifiant de sécurité sociale ne se change pas simplement après une fuite. Le rôle professionnel et les coordonnées étayent aussi une usurpation convaincante du ministère ou de la paie.",{"en":1262,"fr":1263},"The ministry suspended external access, activated a crisis cell, filed a complaint, notified ANSSI and CNIL, began checks across its other systems, and said potentially affected staff would be informed. It also reiterated that it had been strengthening security for several months.","Le ministère a suspendu l’accès externe, activé une cellule de crise, déposé plainte, notifié l’ANSSI et la CNIL, lancé des vérifications sur ses autres systèmes, et indiqué que les agents potentiellement concernés seraient informés. Il a aussi rappelé qu’il renforçait sa sécurité depuis plusieurs mois.",{"en":1265,"fr":1266},"No later official public person count was identified through the 16 August research cutoff. The record does not guess a headcount from the age of the database or the size of the ministry.","Aucun effectif officiel public ultérieur n’a été identifié jusqu’à la clôture de recherche du 16 août. La fiche ne déduit pas un effectif de l’ancienneté de la base ou de la taille du ministère.",[1268,1274],{"original":1269,"originalLang":9,"translation":1270,"attribution":1271,"sourceId":321},"un nombre important de ses agents","a significant number of its agents",{"en":1272,"fr":1273},"French Education Ministry, 31 July 2026","Ministère de l’Éducation nationale, 31 juillet 2026",{"original":1275,"originalLang":9,"translation":1276,"attribution":1277,"sourceId":321},"les investigations se poursuivent","the investigations are continuing",{"en":1272,"fr":1273},{"id":347,"date":1279,"year":848,"org":1280,"domain":1282,"kind":388,"sector":1283,"severity":390,"status":391,"affected":392,"affectedLabel":1284,"data":1287,"method":1290,"risk":1293,"sourceName":139,"confidence":1296,"sourceId":326,"sourceUrl":328,"logo":1299,"sourceIds":1301,"detail":1302,"lastResearched":10},"2026-07-29",{"en":1281,"fr":1281},"CEVA Logistics","cevalogistics.com","Logistics \u002F supply chain",{"en":1285,"fr":1286},"Unknown person count; eight European warehouses","Effectif inconnu ; huit entrepôts européens",{"en":1288,"fr":1289},"Delivery data for downstream clients: names, addresses, phones, emails and order details.","Données de livraison pour des clients en aval : noms, adresses, téléphones, e-mails et détails de commande.",{"en":1291,"fr":1292},"Initial access not publicly confirmed.","Accès initial non confirmé publiquement.",{"en":1294,"fr":1295},"Supply-chain blast radius and tailored package scams.","Effet de chaîne d’approvisionnement et arnaques aux colis ciblées.",{"en":1297,"fr":1298},"Confirmed by CEVA to customers and press; technical details limited","Confirmé par CEVA aux clients et à la presse ; détails techniques limités",{"domain":1282,"strategy":409,"file":1300},"ceva.png",[326,331,336,341,347],{"lead":1303,"timeline":1306,"how":1329,"taken":1332,"notTaken":1335,"impact":1338,"response":1341,"methodDisclosure":449,"revision":1344,"quotes":1347},{"en":1304,"fr":1305},"A cyber intrusion hit part of CEVA Logistics’ European contract-logistics operation beginning around 29 July 2026. CEVA told affected customers that the incident was identified on 1 August and later confirmed to press that the operational impact was limited to eight European warehouses.\n\nThe breach became visible through CEVA’s customers. Downstream retailers and Valve, which uses CEVA to ship Steam hardware in Europe, warned that shipping information held by CEVA had been accessed or copied. No public person count has been established.","Une intrusion a touché une partie des opérations de logistique contractuelle européenne de CEVA Logistics à compter du 29 juillet 2026 environ. CEVA a indiqué aux clients concernés que l’incident avait été identifié le 1er août, puis confirmé à la presse que l’impact opérationnel était limité à huit entrepôts européens.\n\nLa violation est devenue visible via les clients de CEVA. Des enseignes en aval et Valve, qui utilise CEVA pour expédier du matériel Steam en Europe, ont averti que des informations d’expédition détenues par CEVA avaient été consultées ou copiées. Aucun effectif public de personnes n’a été établi.",[1307,1311,1316,1321,1325],{"date":1279,"label":1308},{"en":1309,"fr":1310},"Start of the intrusion window later communicated in Valve-related notices and reporting.","Début de la fenêtre d’intrusion communiquée ensuite dans les avis et articles liés à Valve.",{"date":1312,"label":1313},"2026-08-01",{"en":1314,"fr":1315},"CEVA identifies the intrusion, activates security measures and informs affected customers. Operational impact is later described as limited to eight European warehouses.","CEVA identifie l’intrusion, active des mesures de sécurité et informe les clients concernés. L’impact opérationnel est ensuite décrit comme limité à huit entrepôts européens.",{"date":1317,"label":1318},"2026-08-07",{"en":1319,"fr":1320},"Valve says it learns that information relating to its European hardware customers was likely compromised. CEVA retained Valve delivery information for up to 90 days after an order.","Valve indique apprendre que des informations relatives à ses clients européens de matériel ont probablement été compromises. CEVA conservait les informations de livraison Valve jusqu’à 90 jours après une commande.",{"date":329,"label":1322},{"en":1323,"fr":1324},"TechCrunch and other outlets detail the multi-client impact. Valve begins broad customer notification.","TechCrunch et d’autres médias détaillent l’impact multi-clients. Valve commence une information large de ses clients.",{"date":345,"label":1326},{"en":1327,"fr":1328},"Additional reporting identifies more affected retailers and notes that the Dutch data-protection authority has received multiple breach notifications connected with the CEVA incident.","D’autres articles identifient d’autres enseignes touchées et indiquent que l’autorité néerlandaise de protection des données a reçu plusieurs notifications liées à l’incident CEVA.",{"en":1330,"fr":1331},"CEVA has not published an initial access method, vulnerability, ransomware family or attacker. Physical operational disruption at warehouses led some commentators to speculate about ransomware or destructive malware; that is not a confirmed technical finding. The confirmed response facts are that CEVA isolated affected systems, activated security protocols and brought in external investigators.","CEVA n’a pas publié de méthode d’accès initiale, de vulnérabilité, de famille de rançongiciel ni d’attaquant. La perturbation opérationnelle des entrepôts a conduit certains commentateurs à évoquer un rançongiciel ou un logiciel destructeur ; ce n’est pas une conclusion technique confirmée. Les faits de réponse confirmés sont que CEVA a isolé les systèmes concernés, activé ses protocoles et fait appel à des enquêteurs externes.",{"en":1333,"fr":1334},"For Valve customers, the likely exposed fields were name, street address, phone number, email address, and hardware product type or order details. Other CEVA clients reported overlapping sets of delivery and customer-contact data. The exact total volume across all clients is unknown. Adding each company’s notification count would also risk double counting.","Pour les clients Valve, les champs probablement exposés étaient le nom, l’adresse, le téléphone, l’e-mail, et le type de matériel ou les détails de commande. D’autres clients de CEVA ont signalé des ensembles comparables de données de livraison et de contact. Le volume total exact, tous clients confondus, est inconnu. Additionner les notifications de chaque entreprise ferait aussi courir un risque de double comptage.",{"en":1336,"fr":1337},"Valve said CEVA does not hold Steam payment information, passwords, Steam Guard codes or other Steam account credentials. CEVA told reporters that air, ocean, ground and rail operations continued and that the identified operational effect was limited to eight warehouses.","Valve a indiqué que CEVA ne détient pas les données de paiement Steam, les mots de passe, les codes Steam Guard ni d’autres identifiants de compte Steam. CEVA a indiqué aux journalistes que les activités air, mer, terre et rail continuaient et que l’effet opérationnel identifié était limité à huit entrepôts.",{"en":1339,"fr":1340},"The breach creates two layers of risk. Operationally, warehouse disruption can delay orders, returns and refunds. From a privacy perspective, stolen delivery context enables persuasive package scams: a criminal who knows a victim’s address and exact recent hardware purchase can plausibly demand a small customs payment, redelivery fee or account verification.","La violation crée deux couches de risque. Sur le plan opérationnel, la perturbation des entrepôts peut retarder commandes, retours et remboursements. Sur le plan de la vie privée, un contexte de livraison volé permet des arnaques aux colis convaincantes : un criminel qui connaît l’adresse d’une victime et un achat récent de matériel peut plausiblement exiger un petit paiement de douane, des frais de réexpédition ou une vérification de compte.",{"en":1342,"fr":1343},"CEVA activated security protocols, isolated affected systems and engaged external investigators. Downstream clients began notifying their customers and relevant data-protection authorities. Valve explicitly warned customers to expect fake messages and said it was pressing CEVA for a fuller account of what had been taken and how.","CEVA a activé ses protocoles de sécurité, isolé les systèmes concernés et fait appel à des enquêteurs externes. Les clients en aval ont commencé à informer leurs propres clients et les autorités de protection des données. Valve a explicitement prévenu ses clients de s’attendre à de faux messages et indiqué qu’elle demandait à CEVA un compte rendu plus complet de ce qui avait été emporté et comment.",{"en":1345,"fr":1346},"The investigation remained ongoing at the 16 August research cutoff. Technical method, total number of affected people and final number of client organisations should be treated as provisional.","L’enquête était encore en cours à la clôture de recherche du 16 août. La méthode technique, le nombre total de personnes concernées et le nombre définitif d’organisations clientes doivent être traités comme provisoires.",[1348,1354],{"original":1349,"originalLang":7,"translation":1350,"attribution":1351,"sourceId":331},"expect fake messages","attendez-vous à de faux messages",{"en":1352,"fr":1353},"Valve customer notice, reported 10 August 2026","Avis client Valve, rapporté le 10 août 2026",{"original":1355,"originalLang":7,"translation":1356,"attribution":1357,"sourceId":331},"Treat all of them as fake.","Considérez-les tous comme frauduleux.",{"en":1352,"fr":1353},{"id":359,"date":357,"year":848,"org":1359,"domain":1362,"kind":764,"sector":1363,"severity":390,"status":391,"affected":1364,"affectedLabel":1365,"data":1368,"method":1371,"risk":1374,"sourceName":1377,"confidence":1378,"sourceId":353,"sourceUrl":355,"logo":1381,"sourceIds":1383,"detail":1384,"lastResearched":10},{"en":1360,"fr":1361},"Santé publique France contractor","Prestataire de Santé publique France","santepubliquefrance.fr","Public health",80000,{"en":1366,"fr":1367},"About 80,000 contact records","Environ 80 000 fiches de contact",{"en":1369,"fr":1370},"Email, postal address and telephone. No medical data, diagnoses or social-security numbers.","E-mail, adresse postale et téléphone. Pas de données médicales, de diagnostics ni de numéros de sécurité sociale.",{"en":1372,"fr":1373},"Attack on a contractor-hosted ordering platform. Initial access not disclosed.","Attaque d’une plateforme de commande hébergée par un prestataire. Accès initial non divulgué.",{"en":1375,"fr":1376},"Health-themed impersonation using real contact details.","Usurpation à thème santé utilisant de vraies coordonnées.","Le Parisien \u002F AFP",{"en":1379,"fr":1380},"Agency confirmation reported by French press","Confirmation de l’agence rapportée par la presse française",{"domain":1362,"strategy":409,"file":1382},"sante.svg",[353,359],{"lead":1385,"timeline":1388,"how":1397,"taken":1400,"notTaken":1403,"impact":1406,"response":1409,"methodDisclosure":524,"revision":1412,"quotes":1415},{"en":1386,"fr":1387},"Santé publique France confirmed on 13 August 2026 that a contractor-hosted platform used to order public-health prevention materials had been attacked. The affected service, moncoupon.santepubliquefrance.fr, operates separately from the agency’s other sites and systems.\n\nAbout 80,000 contact records were affected. The database was used to ship ordered materials and contained email addresses, postal addresses and telephone numbers. This is a public-health-sector breach, but not a breach of medical records.","Santé publique France a confirmé le 13 août 2026 qu’une plateforme hébergée par un prestataire, utilisée pour commander des documents de prévention, avait été attaquée. Le service concerné, moncoupon.santepubliquefrance.fr, fonctionne séparément des autres sites et systèmes de l’agence.\n\nEnviron 80 000 fiches de contact étaient concernées. La base servait à l’envoi des documents commandés et contenait des e-mails, adresses postales et numéros de téléphone. C’est une violation du secteur de la santé publique, mais pas une violation de dossiers médicaux.",[1389,1393],{"date":351,"label":1390},{"en":1391,"fr":1392},"An online claim about the platform appears, according to incident reporting.","Une revendication en ligne concernant la plateforme apparaît, selon les articles sur l’incident.",{"date":357,"label":1394},{"en":1395,"fr":1396},"Santé publique France confirms that a contractor-operated ordering platform has been attacked and that about 80,000 contact records are concerned.","Santé publique France confirme qu’une plateforme de commande exploitée par un prestataire a été attaquée et qu’environ 80 000 fiches de contact sont concernées.",{"en":1398,"fr":1399},"The affected service was a separate contractor-hosted platform used for ordering prevention materials. Santé publique France said it was independent of the agency’s other websites and systems. The initial access path was not disclosed. Posts attributed to the attacker described administrator access and use of an export function; those details are an attacker account, not an official technical finding.","Le service touché était une plateforme distincte, hébergée par un prestataire, utilisée pour commander des documents de prévention. Santé publique France a indiqué qu’elle était indépendante de ses autres sites et systèmes. La voie d’accès initiale n’a pas été divulguée. Des publications attribuées à l’attaquant décrivent un accès administrateur et l’usage d’une fonction d’export ; ces détails sont un récit d’attaquant, pas une conclusion technique officielle.",{"en":1401,"fr":1402},"Contact and delivery fields such as email, postal address and telephone number. Reporting on samples also referred to professional role or organisation for some records. The agency-confirmed scale is approximately 80,000 people.","Champs de contact et de livraison : e-mail, adresse postale et téléphone. Les extraits commentés dans la presse évoquent aussi, pour certaines fiches, la fonction ou l’organisation. L’ampleur confirmée par l’agence est d’environ 80 000 personnes.",{"en":1404,"fr":1405},"Santé publique France said there were no medical records, diagnoses or social-security numbers in the affected database. The platform was separate from the agency’s other systems.","Santé publique France a indiqué qu’il n’y avait ni dossiers médicaux, ni diagnostics, ni numéros de sécurité sociale dans la base touchée. La plateforme était distincte des autres systèmes de l’agence.",{"en":1407,"fr":1408},"The biggest practical risk is health-themed impersonation. Victims may be more likely to trust a message that knows their contact information and refers to a real prevention-material order or Santé publique France context. The brand association can amplify phishing even without clinical data.","Le risque pratique principal est l’usurpation à thème santé. Les victimes peuvent plus facilement faire confiance à un message qui connaît leurs coordonnées et évoque une vraie commande de documents de prévention ou un contexte Santé publique France. L’association de marque peut amplifier l’hameçonnage même sans données cliniques.",{"en":1410,"fr":1411},"The platform was taken into maintenance, passwords were cleared, the CNIL was notified and restoration work began. Public communications emphasised that no health or social-security data was present and warned about follow-on fraud.","La plateforme a été mise en maintenance, les mots de passe ont été supprimés, la CNIL a été notifiée et les travaux de rétablissement ont commencé. Les communications publiques ont souligné l’absence de données de santé ou de sécurité sociale et ont mis en garde contre les fraudes en cascade.",{"en":1413,"fr":1414},"The case was only days old at the 16 August research cutoff. Method, contractor root cause and any later law-enforcement result remain open. Attacker claims of administrator access and an export function stay labeled as claims.","Le dossier n’avait que quelques jours à la clôture de recherche du 16 août. La méthode, la cause racine côté prestataire et d’éventuelles suites judiciaires restent ouvertes. Les revendications d’accès administrateur et d’une fonction d’export restent étiquetées comme des revendications.",[1416],{"original":1417,"originalLang":9,"translation":1418,"attribution":1419,"sourceId":353},"aucune donnée de santé","no health data",{"en":1420,"fr":1421},"Santé publique France, reported by French press, 13 August 2026","Santé publique France, rapporté par la presse française, 13 août 2026",{"id":365,"date":363,"year":848,"org":1423,"domain":851,"kind":764,"sector":852,"severity":545,"status":391,"affected":1426,"affectedLabel":1427,"data":1430,"method":1433,"risk":1436,"sourceName":866,"confidence":1439,"sourceId":365,"sourceUrl":367,"logo":1442,"sourceIds":1443,"detail":1444,"lastResearched":10},{"en":1424,"fr":1425},"DGFiP tax systems","Systèmes fiscaux DGFiP",678000,{"en":1428,"fr":1429},"678,000 individuals and businesses","678 000 particuliers et professionnels",{"en":1431,"fr":1432},"Tax data including reference income, household quotient and withholding rate; business name\u002FSIREN. Cadastral data also consulted. User tax-space passwords not compromised.","Données fiscales dont revenu de référence, quotient familial et taux de prélèvement ; raison sociale\u002FSIREN. Données cadastrales aussi consultées. Mots de passe des espaces fiscaux non compromis.",{"en":1434,"fr":1435},"Stolen credentials of a DGFiP agent and an authorised third party.","Identifiants volés d’un agent DGFiP et d’un tiers habilité.",{"en":1437,"fr":1438},"Highly persuasive tax and wealth-targeted scams using real fiscal circumstances.","Arnaques fiscales et patrimoniales très convaincantes s’appuyant sur de vraies situations fiscales.",{"en":1440,"fr":1441},"Official government disclosure; investigation ongoing","Communication officielle des autorités ; enquête en cours",{"domain":851,"strategy":409,"file":871},[365,369,373,378],{"lead":1445,"timeline":1448,"how":1480,"taken":1483,"notTaken":1486,"impact":1489,"response":1492,"methodDisclosure":670,"revision":1495,"quotes":1498},{"en":1446,"fr":1447},"The DGFiP confirmed on 14 August 2026 that two illegitimate-access incidents in June and July had relied on stolen or impersonated credentials belonging to a DGFiP agent and an authorised third party. When the intrusions were detected, access to the implicated accounts was cut. At that time, however, the access-control review did not identify that data had already been stolen.\n\nThe decisive trigger came on 12 and 13 August, when a malicious actor publicly claimed the intrusions. DGFiP then matched the claims against its logs and established that data concerning a total of 678,000 individuals and businesses had been consulted and extracted before access was terminated.","La DGFiP a confirmé le 14 août 2026 que deux incidents d’accès illégitime en juin et juillet avaient reposé sur des identifiants volés ou usurpés d’un agent DGFiP et d’un tiers habilité. Lorsque les intrusions ont été détectées, l’accès aux comptes en cause a été coupé. À ce moment, toutefois, la revue des accès n’avait pas identifié que des données avaient déjà été volées.\n\nL’élément déclencheur est venu les 12 et 13 août, lorsqu’un acteur malveillant a publiquement revendiqué les intrusions. La DGFiP a alors rapproché ces revendications de ses journaux et établi que des données concernant un total de 678 000 particuliers et professionnels avaient été consultées et extraites avant la coupure des accès.",[1449,1454,1459,1463,1467,1471,1475],{"date":1450,"label":1451},"2026-06-30",{"en":1452,"fr":1453},"A DGFiP agent account is compromised or impersonated (late June). Access is detected and cut. Data theft is not identified at that moment.","Le compte d’un agent DGFiP est compromis ou usurpé (fin juin). L’accès est détecté et coupé. Le vol de données n’est alors pas identifié.",{"date":1455,"label":1456},"2026-07-15",{"en":1457,"fr":1458},"A second illegitimate-access incident occurs in July using credentials of an authorised third party, according to the Finance Ministry’s later statement (exact day not published).","Un second incident d’accès illégitime survient en juillet avec les identifiants d’un tiers habilité, selon le communiqué ultérieur du ministère des Finances (jour exact non publié).",{"date":345,"label":1460},{"en":1461,"fr":1462},"A malicious actor publicly claims access. DGFiP begins deeper investigation against historical logs.","Un acteur malveillant revendique publiquement l’accès. La DGFiP lance une investigation plus poussée sur les journaux historiques.",{"date":357,"label":1464},{"en":1465,"fr":1466},"A further claim or disclosure is made by the malicious actor.","Une revendication ou divulgation supplémentaire est faite par l’acteur malveillant.",{"date":363,"label":1468},{"en":1469,"fr":1470},"Finance Ministry confirms 678,000 individuals and businesses in the established extracted or consulted scope. User tax-space credentials are said to be unaffected.","Le ministère des Finances confirme 678 000 particuliers et professionnels dans le périmètre établi d’extraction ou de consultation. Les identifiants des espaces fiscaux usagers sont indiqués comme non compromis.",{"date":10,"label":1472},{"en":1473,"fr":1474},"French reporting says the Paris prosecutor’s cyber section has opened an investigation and entrusted it to OFAC.","La presse française indique que la section cyber du parquet de Paris a ouvert une enquête et l’a confiée à l’OFAC.",{"date":1476,"label":1477},"2026-08-17",{"en":1478,"fr":1479},"DGFiP plans to contact each affected individual or business from the week of 17 August, with details of the data that may have been consulted or extracted.","La DGFiP prévoit de contacter chaque particulier ou professionnel concerné à compter de la semaine du 17 août, avec le détail des données susceptibles d’avoir été consultées ou extraites.",{"en":1481,"fr":1482},"The official account says the incidents rested on credential impersonation: one DGFiP agent and one authorised third party. The Finance Ministry has not publicly supplied the complete authentication architecture or confirmed the attacker’s claims about specific remote-access products. DGFiP said the theft was missed during the initial response because the attack was sophisticated. Press reporting based on a briefing by director-general Amélie Verdier adds that extraction was slow or broken into patterns that did not look like obvious bulk querying.","Le récit officiel indique que les incidents ont reposé sur l’usurpation d’identifiants : un agent DGFiP et un tiers habilité. Le ministère des Finances n’a pas publié l’architecture d’authentification complète ni confirmé les revendications de l’attaquant sur des produits d’accès distant précis. La DGFiP a indiqué que le vol n’avait pas été identifié lors de la première réponse, l’attaque étant sophistiquée. La presse, s’appuyant sur un briefing de la directrice générale Amélie Verdier, ajoute que l’extraction était lente ou découpée selon des schémas qui ne ressemblaient pas à des requêtes massives évidentes.",{"en":1484,"fr":1485},"The written government statement sets the confirmed combined scope at 678,000 individuals and businesses. It lists reference taxable income, household quotient, withholding-tax rate, business name and SIREN, plus cadastral information relating to addresses and property surface areas.\n\nPress briefing coverage separately reported a cadastral consultation involving around 200,000 accounts. The 14 August written release does not establish that as a second additive victim population, so it is not added to the 678,000.","Le communiqué écrit du gouvernement fixe le périmètre combiné confirmé à 678 000 particuliers et professionnels. Il cite le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, la raison sociale et le SIREN, ainsi que des informations cadastrales relatives aux adresses et aux surfaces.\n\nLa couverture d’un briefing presse a séparément fait état d’une consultation cadastrale d’environ 200 000 comptes. Le communiqué écrit du 14 août n’en fait pas une seconde population de victimes à additionner ; ce chiffre n’est donc pas ajouté aux 678 000.",{"en":1487,"fr":1488},"The Finance Ministry said individual and business Finances publiques spaces were not compromised and that user identifiers and passwords for those spaces were not compromised. Stolen tax data can make fraud extremely convincing, but it does not itself provide a login to a taxpayer’s secured account.","Le ministère des Finances a indiqué que les espaces particuliers et professionnels Finances publiques n’avaient pas été compromis, pas plus que les identifiants et mots de passe de ces espaces. Des données fiscales volées peuvent rendre une fraude extrêmement convaincante, mais elles ne donnent pas à elles seules l’accès à l’espace sécurisé d’un contribuable.",{"en":1490,"fr":1491},"This is one of the highest-risk identity datasets in the collection because it reveals both personal identity and financial circumstances. A scammer who knows a victim’s reference income, household quotient and withholding rate can convincingly impersonate the tax authority, a bank, accountant or wealth-management service. For high-income households, disclosure may also create targeting and physical-security concerns that go beyond ordinary email phishing.","C’est l’un des jeux de données d’identité les plus sensibles du recueil, car il révèle à la fois l’identité personnelle et la situation financière. Un escroc qui connaît le revenu de référence, le quotient familial et le taux de prélèvement d’une victime peut usurper de façon convaincante l’administration fiscale, une banque, un expert-comptable ou un service de gestion de patrimoine. Pour les foyers à hauts revenus, la divulgation peut aussi créer des risques de ciblage et de sécurité physique au-delà de l’hameçonnage ordinaire.",{"en":1493,"fr":1494},"DGFiP cut access associated with the compromised accounts, then made additional preventive cuts to sensitive information systems after the August discoveries. It notified the CNIL, worked with SHFDS and ANSSI, planned individual notification, and announced a criminal complaint. Reporting on 16 August said a Paris prosecutor investigation had been opened with OFAC.","La DGFiP a coupé les accès associés aux comptes compromis, puis procédé à des coupures préventives supplémentaires sur des systèmes sensibles après les découvertes d’août. Elle a notifié la CNIL, travaillé avec le SHFDS et l’ANSSI, prévu une information individuelle et annoncé une plainte pénale. Le 16 août, la presse indiquait qu’une enquête du parquet de Paris avait été ouverte et confiée à l’OFAC.",{"en":1496,"fr":1497},"This case was still evolving at the research cutoff. Criminal posts described a VPN and made additional claims about bypassing authentication controls; those claims remain separate from the official method. The written release also says the exact nature and volume of extracted data and the final number of users concerned were still being investigated, so even the 678,000 figure should be understood as the established scope at 14 August, not necessarily the final endpoint of the inquiry.","Ce dossier évoluait encore à la clôture de la recherche. Des publications criminelles ont décrit un VPN et fait d’autres allégations sur le contournement des contrôles d’authentification ; ces revendications restent distinctes de la méthode officielle. Le communiqué écrit indique aussi que la nature et le volume exacts des données extraites, ainsi que le nombre définitif d’usagers concernés, étaient encore en investigation : le chiffre de 678 000 est donc le périmètre établi au 14 août, pas nécessairement le point d’arrivée de l’enquête.",[1499,1505],{"original":1500,"originalLang":9,"translation":1501,"attribution":1502,"sourceId":365},"un total de 678 000 particuliers et professionnels","a total of 678,000 individuals and businesses",{"en":1503,"fr":1504},"French Finance Ministry, 14 August 2026","Ministère de l’Économie et des Finances, 14 août 2026",{"original":1506,"originalLang":9,"translation":1507,"attribution":1508,"sourceId":365},"n’ont pas été compromis","were not compromised",{"en":1509,"fr":1510},"French Finance Ministry, 14 August 2026, referring to users’ secured tax spaces and credentials","Ministère de l’Économie et des Finances, 14 août 2026, à propos des espaces fiscaux sécurisés et des identifiants des usagers",[1512,1523,1534,1545,1556,1567],{"id":1513,"title":1514,"description":1517,"priority":1520},"stolen-credentials",{"en":1515,"fr":1516},"Stolen credentials","Identifiants volés",{"en":1518,"fr":1519},"Compromised staff or third-party accounts can turn a normal login into a privileged intrusion. FICOBA, Education and DGFiP incidents all highlight identity and access risk.","Des comptes de personnel ou de tiers compromis peuvent transformer une connexion ordinaire en intrusion privilégiée. Les incidents FICOBA, Éducation et DGFiP illustrent le risque lié aux identités et aux accès.",{"en":1521,"fr":1522},"Phishing-resistant MFA + tighter privileges","MFA résistante au phishing + privilèges plus stricts",{"id":1524,"title":1525,"description":1528,"priority":1531},"supplier-exposure",{"en":1526,"fr":1527},"Supplier exposure","Exposition via les fournisseurs",{"en":1529,"fr":1530},"Air France\u002FKLM, Eurofiber, CEVA and Sante publique France show how a supplier can become a route into many organisations or customers at once.","Air France\u002FKLM, Eurofiber, CEVA et Santé publique France montrent comment un fournisseur peut devenir un point de passage vers de nombreuses organisations ou clients.",{"en":1532,"fr":1533},"Vendor security + data minimisation","Sécurité fournisseurs + minimisation des données",{"id":1535,"title":1536,"description":1539,"priority":1542},"legacy-edge-systems",{"en":1537,"fr":1538},"Legacy and edge systems","Systèmes anciens et périmétriques",{"en":1540,"fr":1541},"Old services, exposed gateways and vulnerable internet-facing software create high-value entry points. ANSSI specifically warns about vulnerable edge equipment.","Les services anciens, passerelles exposées et logiciels vulnérables accessibles depuis Internet créent des points d’entrée de grande valeur. ANSSI alerte notamment sur les équipements périmétriques vulnérables.",{"en":1543,"fr":1544},"Asset inventory + rapid patching","Inventaire des actifs + correctifs rapides",{"id":1546,"title":1547,"description":1550,"priority":1553},"post-breach-phishing",{"en":1548,"fr":1549},"Phishing after the breach","Hameçonnage après la fuite",{"en":1551,"fr":1552},"Names, phone numbers, addresses, tax details and order histories make scams much more believable. The breach is often only the first stage of harm to the public.","Noms, téléphones, adresses, données fiscales et historiques de commande rendent les arnaques beaucoup plus crédibles. La fuite n’est souvent que la première étape du préjudice pour le public.",{"en":1554,"fr":1555},"Verified channels + public warnings","Canaux vérifiés + alertes au public",{"id":1557,"title":1558,"description":1561,"priority":1564},"excessive-data-reachability",{"en":1559,"fr":1560},"Too much reachable data","Trop de données accessibles",{"en":1562,"fr":1563},"When a compromised account can query large central databases, the blast radius becomes enormous. Sensitive datasets need segmentation and query-level controls.","Lorsqu’un compte compromis peut interroger de grandes bases centrales, l’impact potentiel devient énorme. Les données sensibles doivent être segmentées et contrôlées au niveau des requêtes.",{"en":1565,"fr":1566},"Least privilege + segmentation + monitoring","Moindre privilège + segmentation + supervision",{"id":1568,"title":1569,"description":1572,"priority":1575},"detection-gaps",{"en":1570,"fr":1571},"Detection gaps","Lacunes de détection",{"en":1573,"fr":1574},"Some breaches were discovered only after attacker claims or after access had already occurred. Logging alone is not enough if unusual extraction is not detected.","Certaines fuites n’ont été détectées qu’après des revendications d’attaquants ou après que l’accès a déjà eu lieu. Les journaux ne suffisent pas si les extractions anormales ne sont pas détectées.",{"en":1576,"fr":1577},"Behaviour analytics + exfiltration alerts","Analyse comportementale + alertes d’exfiltration",{"organizations":1579,"public":1628},[1580,1588,1596,1604,1612,1620],{"id":1581,"title":1582,"description":1585},"phishing-resistant-mfa",{"en":1583,"fr":1584},"Use phishing-resistant MFA","Utiliser une MFA résistante au phishing",{"en":1586,"fr":1587},"Prefer passkeys or hardware-backed authentication for administrators, remote access and sensitive databases. Avoid relying on SMS for privileged access.","Privilégier les passkeys ou l’authentification matérielle pour les administrateurs, les accès distants et les bases sensibles. Éviter de dépendre des SMS pour les accès privilégiés.",{"id":1589,"title":1590,"description":1593},"least-privilege",{"en":1591,"fr":1592},"Make least privilege real","Appliquer réellement le moindre privilège",{"en":1594,"fr":1595},"Separate everyday accounts from privileged accounts, review access continuously, and require stronger controls for bulk queries or exports.","Séparer les comptes courants des comptes privilégiés, revoir les accès en continu et exiger des contrôles renforcés pour les requêtes ou exports massifs.",{"id":1597,"title":1598,"description":1601},"segment-sensitive-systems",{"en":1599,"fr":1600},"Segment sensitive systems","Segmenter les systèmes sensibles",{"en":1602,"fr":1603},"Compromise of email or a training system should not become a route to police, tax, identity or financial datasets.","La compromission d’une messagerie ou d’un système de formation ne doit pas devenir une voie vers des données policières, fiscales, d’identité ou financières.",{"id":1605,"title":1606,"description":1609},"detect-extraction",{"en":1607,"fr":1608},"Detect extraction, not just login","Détecter l’extraction, pas seulement la connexion",{"en":1610,"fr":1611},"Alert on unusual record volumes, new locations, odd query patterns, bulk downloads and service-account behaviour.","Alerter sur les volumes inhabituels, les nouvelles localisations, les requêtes anormales, les téléchargements massifs et le comportement des comptes de service.",{"id":1613,"title":1614,"description":1617},"supplier-perimeter",{"en":1615,"fr":1616},"Treat suppliers as part of your perimeter","Traiter les fournisseurs comme une partie du périmètre",{"en":1618,"fr":1619},"Contract for minimum controls, incident notification, logging, access boundaries and data deletion. Verify, do not just collect questionnaires.","Contractualiser des contrôles minimums, la notification d’incident, les journaux, les limites d’accès et la suppression des données. Vérifier, pas seulement collecter des questionnaires.",{"id":1621,"title":1622,"description":1625},"reduce-retained-data",{"en":1623,"fr":1624},"Reduce retained data","Réduire les données conservées",{"en":1626,"fr":1627},"If a supplier does not need historical data, delete it. Less retained data means less to steal.","Si un fournisseur n’a pas besoin de données historiques, les supprimer. Moins de données conservées signifie moins de données à voler.",[1629,1638,1647,1656,1664,1673,1682,1690,1698,1706],{"id":1630,"title":1631,"description":1634,"explainerSlug":1637},"assume-scam-use",{"en":1632,"fr":1633},"Assume leaked details may be used in scams","Supposer que les données divulguées peuvent servir à des arnaques",{"en":1635,"fr":1636},"A caller knowing your address, IBAN, tax office or recent order is not proof they are legitimate. Hang up and start from a number or site you already trust.","Un appelant connaissant votre adresse, IBAN, centre des impôts ou commande récente n’est pas pour autant légitime. Raccrochez et repartez d’un numéro ou d’un site que vous connaissez déjà.","why-leaks-matter",{"id":1639,"title":1640,"description":1643,"explainerSlug":1646},"open-official-services",{"en":1641,"fr":1642},"Open official services yourself","Ouvrir soi-même les services officiels",{"en":1644,"fr":1645},"Do not use a link from an unexpected email or SMS about taxes, deliveries, identity documents or banking. Open the official app or type the site address yourself. Bookmark that address so you are not guessing under pressure.","Ne pas utiliser un lien d’un e-mail ou SMS inattendu concernant les impôts, livraisons, titres d’identité ou banque. Ouvrir l’application officielle ou saisir soi-même l’adresse du site. Mettre cette adresse en favori pour ne pas la chercher sous la pression.","phishing-that-knows-you",{"id":1648,"title":1649,"description":1652,"explainerSlug":1655},"named-context-still-unofficial",{"en":1650,"fr":1651},"A named school, class or tax office is still not official","Nommer l’école, la classe ou les impôts ne rend pas un message officiel",{"en":1653,"fr":1654},"Those details are exactly what leaks. Open ÉduConnect, impôts or ANTS yourself. Do not use a link from an unexpected SMS.","Ce sont précisément ces informations qui fuitent. Ouvrez vous-même ÉduConnect, les impôts ou ANTS. N’utilisez pas un lien d’un SMS inattendu.","when-the-state-is-the-source",{"id":1657,"title":1658,"description":1661,"explainerSlug":1646},"never-share-codes",{"en":1659,"fr":1660},"Never share a one-time code on an inbound call","Ne jamais dicter un code à usage unique à un appelant",{"en":1662,"fr":1663},"A caller who recites your address or IBAN still needs you to read a banking or tax code, or to approve a payment. Hang up. Open the official app yourself.","Un appelant qui récite votre adresse ou votre IBAN a encore besoin que vous dictiez un code bancaire ou fiscal, ou que vous validiez un paiement. Raccrochez. Ouvrez vous-même l’application officielle.",{"id":1665,"title":1666,"description":1669,"explainerSlug":1672},"no-remote-access",{"en":1667,"fr":1668},"Do not install remote-control software because someone asked","Ne pas installer un logiciel de prise de contrôle sur demande",{"en":1670,"fr":1671},"A “technician”, bank or tax agent who needs you to install a tool so they can “secure your account” is running the fraud. End the call and use the official app.","Un « technicien », une banque ou un agent des impôts qui exige l’installation d’un outil pour « sécuriser votre compte » est en train de commettre la fraude. Raccrochez et utilisez l’application officielle.","iban-and-banking",{"id":1674,"title":1675,"description":1678,"explainerSlug":1681},"unique-passwords-passkeys",{"en":1676,"fr":1677},"Use unique passwords and passkeys","Utiliser des mots de passe uniques et des passkeys",{"en":1679,"fr":1680},"A password manager prevents one stolen password from unlocking several services. If this service held a password you reused, change it on every other account that shared it. Enable MFA wherever available.","Un gestionnaire de mots de passe évite qu’un mot de passe volé ouvre plusieurs services. Si ce service détenait un mot de passe que vous réutilisiez, changez-le sur tous les autres comptes qui le partageaient. Activez la MFA partout où elle est disponible.","passwords-after-a-leak",{"id":1683,"title":1684,"description":1687,"explainerSlug":1672},"watch-financial-activity",{"en":1685,"fr":1686},"Watch financial activity","Surveiller l’activité financière",{"en":1688,"fr":1689},"An exposed IBAN does not normally let someone directly take over an account, but it can support convincing fraud. Review transactions and bank alerts. Turn on alerts for new mandates and unusual transfers.","Un IBAN exposé ne permet normalement pas de prendre directement le contrôle d’un compte, mais peut renforcer des fraudes crédibles. Vérifier les transactions et alertes bancaires. Activer les alertes pour les nouveaux mandats et les virements inhabituels.",{"id":1691,"title":1692,"description":1695,"explainerSlug":1672},"sepa-to-bank",{"en":1693,"fr":1694},"Take unexpected SEPA mandates to your bank","Signaler un mandat SEPA inattendu à sa banque",{"en":1696,"fr":1697},"An exposed IBAN can support a convincing direct-debit story. Do not confirm a mandate with the caller. Dispute it through your bank.","Un IBAN exposé peut étayer un récit crédible de prélèvement. Ne confirmez pas un mandat avec l’appelant. Contestez-le auprès de votre banque.",{"id":1699,"title":1700,"description":1703,"explainerSlug":1637},"preserve-evidence",{"en":1701,"fr":1702},"Preserve evidence","Conserver les preuves",{"en":1704,"fr":1705},"Keep suspicious emails, SMS, URLs and screenshots if you believe stolen data is being used against you. Report through official channels you open yourself, starting at Cybermalveillance.gouv.fr.","Conserver les e-mails, SMS, URL et captures suspects si vous pensez que des données volées sont utilisées contre vous. Signaler via des canaux officiels que vous ouvrez vous-même, en commençant par Cybermalveillance.gouv.fr.",{"id":1707,"title":1708,"description":1711,"explainerSlug":1714},"expect-delayed-attacks",{"en":1709,"fr":1710},"Expect delayed attacks","S’attendre à des attaques différées",{"en":1712,"fr":1713},"Stolen data can circulate for months or years. Increased caution should not end a week after the breach notice. Treat a message that reuses the organisation’s name months later the same way you would treat one that arrives tomorrow.","Les données volées peuvent circuler pendant des mois ou des années. La vigilance ne doit pas s’arrêter une semaine après la notification de fuite. Traitez un message qui réutilise le nom de l’organisation des mois plus tard comme celui qui arriverait demain.","health-school-long-tail",{"severityOrder":1716,"statusValues":1719,"kindValues":1721,"chartRules":1722,"sectorLabels":1732},[545,390,1717,1718],"medium","low",[391,766,1720],"unknown",[764,388],{"affectedCounts":1723,"unknownCounts":1726,"disputedClaims":1729},{"en":1724,"fr":1725},"Plot only incidents where affected is a non-null numeric value.","Ne représenter que les incidents dont le champ affected est une valeur numérique non nulle.",{"en":1727,"fr":1728},"Display as Unknown \u002F under investigation, never as zero.","Afficher comme Inconnu \u002F sous enquête, jamais comme zéro.",{"en":1730,"fr":1731},"Do not include disputed attacker-claimed victim counts in aggregate charts.","Ne pas inclure les nombres de victimes revendiqués et contestés dans les graphiques agrégés.",{"Aviation":1733,"Education":1734,"Finance \u002F tax":1736,"Healthcare":1738,"Identity \u002F public services":1739,"Law enforcement":1741,"Logistics \u002F supply chain":1743,"Public health":1745,"Telecom \u002F cloud supplier":1747,"Telecommunications":1749},{"en":477,"fr":477},{"en":947,"fr":1735},"Éducation",{"en":852,"fr":1737},"Finances \u002F fiscalité",{"en":614,"fr":47},{"en":1122,"fr":1740},"Identité \u002F services publics",{"en":765,"fr":1742},"Forces de l’ordre",{"en":1283,"fr":1744},"Logistique \u002F chaîne d’approvisionnement",{"en":1363,"fr":1746},"Santé publique",{"en":692,"fr":1748},"Télécoms \u002F fournisseur cloud",{"en":389,"fr":1750},"Télécommunications",[1672,1646,1637],{"explainers":1753},[1754,1804,1847,1890,1940,1983,2034],{"slug":1637,"title":1755,"dek":1758,"sections":1761,"takeaways":1790,"relatedIncidentIds":1803},{"en":1756,"fr":1757},"Why leaked data is useful to criminals","Pourquoi les données divulguées intéressent les criminels",{"en":1759,"fr":1760},"A data breach is not only a password problem. The details that leak are what make the next message or phone call look official.","Une fuite de données n’est pas seulement une affaire de mot de passe. Ce sont les détails exposés qui rendent le prochain message ou appel crédible.",[1762,1769,1776,1783],{"heading":1763,"body":1766},{"en":1764,"fr":1765},"The leak writes the script","La fuite écrit le scénario",{"en":1767,"fr":1768},"When criminals get a file of names, addresses, phone numbers, IBANs, school details or tax details, they are collecting facts they can read back to you.\n\nA caller who knows your address, your operator, your child’s school or a contract number is not proving they work for that organisation. They have a copy of a leak, or enough of one to sound real.","Quand des criminels obtiennent un fichier de noms, d’adresses, de téléphones, d’IBAN, de données scolaires ou fiscales, ils collectent des faits qu’ils peuvent vous relire.\n\nUn appelant qui connaît votre adresse, votre opérateur, l’école de votre enfant ou un numéro de contrat ne prouve pas qu’il travaille pour cet organisme. Il a une copie d’une fuite, ou assez d’éléments pour paraître vrai.",{"heading":1770,"body":1773},{"en":1771,"fr":1772},"What they want","Ce qu’ils veulent",{"en":1774,"fr":1775},"Usually they are not emptying an account in one click. They want you to do something: click a link, read out a one-time code, approve a payment, send a document, or stay on the line while they connect to your bank.\n\nLeaked data makes that conversation cheaper to run at scale. A generic “your parcel is waiting” scam is easy to ignore. A message that names the right ministry, the right telco, or the right airline loyalty programme is harder to dismiss.","En général, ils ne vident pas un compte en un clic. Ils veulent vous faire agir : cliquer un lien, dicter un code à usage unique, valider un paiement, envoyer un document, ou rester en ligne pendant qu’ils se connectent à votre banque.\n\nLes données divulguées rendent cette conversation moins chère à industrialiser. Une arnaque générique du type « votre colis vous attend » est facile à ignorer. Un message qui nomme le bon ministère, le bon opérateur ou le bon programme de fidélité aérien est plus difficile à écarter.",{"heading":1777,"body":1780},{"en":1778,"fr":1779},"It does not have to be a password","Il n’est pas besoin d’un mot de passe",{"en":1781,"fr":1782},"Many incidents in this dossier did not publish passwords. They still matter. Identity details, contact details, bank identifiers, tax figures and customer-service notes are enough to impersonate an official service.\n\nIf someone already has the facts an agency would know about you, “they knew my file” is not a reason to trust them. Hang up and open the official site yourself.","Beaucoup d’incidents de ce dossier n’ont pas rendu publics des mots de passe. Ils restent graves. Identité, coordonnées, identifiants bancaires, données fiscales et notes de service client suffisent à usurper un service officiel.\n\nSi quelqu’un a déjà les faits qu’une administration connaîtrait sur vous, « ils connaissaient mon dossier » n’est pas une raison de leur faire confiance. Raccrochez et ouvrez vous-même le site officiel.",{"heading":1784,"body":1787},{"en":1785,"fr":1786},"The news cycle ends. The data does not.","L’actualité passe. Les données restent.",{"en":1788,"fr":1789},"Stolen files are copied, sold and reused. A scam can arrive weeks or years after the original notice. Treating a breach as finished because it left the headlines is how delayed attacks work.","Les fichiers volés sont copiés, revendus et réutilisés. Une arnaque peut arriver des semaines ou des années après la notification initiale. Considérer qu’une fuite est terminée parce qu’elle a quitté les titres, c’est précisément le mode d’emploi des attaques différées.",[1791,1794,1797,1800],{"en":1792,"fr":1793},"Knowing real details about you is not proof of identity.","Connaître de vrais détails sur vous n’est pas une preuve d’identité.",{"en":1795,"fr":1796},"Open taxes, banking, identity documents and school services yourself. Type the address. Do not use a link from an unexpected message.","Ouvrez vous-même impôts, banque, titres d’identité et services scolaires. Saisissez l’adresse. N’utilisez pas un lien d’un message inattendu.",{"en":1798,"fr":1799},"Keep the caution for months, not days.","Gardez la vigilance pendant des mois, pas des jours.",{"en":1801,"fr":1802},"If you think stolen data is being used against you, keep the messages and report through official channels.","Si vous pensez que des données volées sont utilisées contre vous, conservez les messages et signalez-les par les canaux officiels.",[115,99,290,220,365],{"slug":1646,"title":1805,"dek":1808,"sections":1811,"takeaways":1833,"relatedIncidentIds":1846},{"en":1806,"fr":1807},"Phishing that already knows you","Le hameçonnage qui vous connaît déjà",{"en":1809,"fr":1810},"After a leak, the dangerous message is the one that sounds informed. Names, addresses, contract numbers and loyalty IDs are the raw material.","Après une fuite, le message dangereux est celui qui a l’air renseigné. Noms, adresses, numéros de contrat et identifiants de fidélité en sont la matière première.",[1812,1819,1826],{"heading":1813,"body":1816},{"en":1814,"fr":1815},"From bulk spam to a tailored pitch","Du spam de masse au discours sur mesure",{"en":1817,"fr":1818},"Ordinary phishing guesses. After a leak, the message recites. Once a dump includes your name, email, phone, postal address or a customer number, it can mention those facts in the first sentence.\n\nThat is why contact and contract data get stolen. Criminals skip the generic greeting and go straight to a story that looks like it came from your operator, your airline or your child’s school.","Le hameçonnage ordinaire devine. Après une fuite, le message récite. Dès qu’un dump contient votre nom, e-mail, téléphone, adresse postale ou un numéro client, il peut citer ces faits dès la première phrase.\n\nC’est pour cela qu’on vole des coordonnées et des données de contrat. Les criminels sautent la formule générique et passent à une histoire qui semble venir de votre opérateur, de votre compagnie aérienne ou de l’école de votre enfant.",{"heading":1820,"body":1823},{"en":1821,"fr":1822},"The channels","Les canaux",{"en":1824,"fr":1825},"This is not only email. SMS, messaging apps, phone calls and fake login pages use the same trick: lead with a true detail, then ask for a code, a password, a payment or a document.\n\nA phone call is often more convincing than an email because you can hear the urgency. The script does not change. They already know something, and they need you to hand over the access they do not have.","Ce n’est pas seulement l’e-mail. SMS, applications de messagerie, appels et fausses pages de connexion utilisent le même procédé : commencer par un détail vrai, puis demander un code, un mot de passe, un paiement ou un document.\n\nUn appel est souvent plus convaincant qu’un e-mail, parce que l’urgence s’entend. Le scénario ne change pas. Ils savent déjà quelque chose, et ils ont besoin que vous leur donniez l’accès qui leur manque.",{"heading":1827,"body":1830},{"en":1828,"fr":1829},"What a customer-service leak is for","À quoi sert une fuite de service client",{"en":1831,"fr":1832},"Notes from a support mailbox, a loyalty number, a ticket subject line: these look minor until someone uses them. “We are calling about the message you sent on Tuesday” works if they actually have that subject line.\n\nIf someone contacts you out of the blue about a delivery, a bill, a booking or a school account, go to the official app or website yourself.","Des notes d’une messagerie d’assistance, un numéro de fidélité, l’objet d’un ticket : cela paraît mineur jusqu’à ce que quelqu’un s’en serve. « Nous vous appelons au sujet du message que vous avez envoyé mardi » fonctionne s’ils ont réellement cet objet.\n\nSi quelqu’un vous contacte à l’improviste au sujet d’une livraison, d’une facture, d’une réservation ou d’un compte scolaire, ouvrez vous-même l’application ou le site officiel.",[1834,1837,1840,1843],{"en":1835,"fr":1836},"A message that uses your real name, address or contract number is more dangerous, not more trustworthy.","Un message qui utilise votre vrai nom, votre adresse ou votre numéro de contrat est plus dangereux, pas plus digne de confiance.",{"en":1838,"fr":1839},"Never read a one-time code to someone who called you.","Ne dictez jamais un code à usage unique à quelqu’un qui vous a appelé.",{"en":1841,"fr":1842},"Do not use links in unexpected SMS or email. Open the official app or type the site address.","N’utilisez pas les liens d’un SMS ou d’un e-mail inattendu. Ouvrez l’application officielle ou saisissez l’adresse du site.",{"en":1844,"fr":1845},"Airlines, telcos and schools will not ask you to confirm a password over the phone.","Les compagnies aériennes, les opérateurs et les écoles ne vous demanderont pas de confirmer un mot de passe au téléphone.",[115,99,1030],{"slug":1672,"title":1848,"dek":1851,"sections":1854,"takeaways":1876,"relatedIncidentIds":1889},{"en":1849,"fr":1850},"What an IBAN leak lets someone do","Ce qu’une fuite d’IBAN permet",{"en":1852,"fr":1853},"An IBAN in a stolen file is not a PIN. It is still dangerous, because it lets a stranger talk about your bank account as if they already belong in the conversation.","Un IBAN dans un fichier volé n’est pas un code PIN. Il reste dangereux, parce qu’il permet à un inconnu de parler de votre compte comme s’il avait déjà sa place dans la conversation.",[1855,1862,1869],{"heading":1856,"body":1859},{"en":1857,"fr":1858},"What an IBAN is","Ce qu’est un IBAN",{"en":1860,"fr":1861},"An IBAN, and the French RIB, identifies an account so that payments can be sent to it. Banks, employers and tax services use it every day. That is why it appears in customer files and in national account directories.\n\nKnowing an IBAN does not, by itself, let someone log into your bank or take money out. Your bank still needs authentication you control: a password, an app approval, a card reader, a passkey.","Un IBAN, et le RIB français, identifie un compte pour que des paiements puissent y être envoyés. Banques, employeurs et services fiscaux s’en servent tous les jours. C’est pourquoi il figure dans des fichiers clients et dans des répertoires nationaux de comptes.\n\nConnaître un IBAN ne permet pas, à lui seul, de se connecter à votre banque ni d’en sortir de l’argent. Votre banque exige encore une authentification que vous contrôlez : mot de passe, validation dans une application, lecteur de carte, passkey.",{"heading":1863,"body":1866},{"en":1864,"fr":1865},"Why criminals still want it","Pourquoi les criminels le veulent quand même",{"en":1867,"fr":1868},"They want the conversation. A caller who can recite your IBAN, your name and your address can pretend to be the bank, the tax office, an operator collecting a bill, or a company updating a mandate.\n\nTypical asks: approve a SEPA mandate you did not create, send a “refund” the other way, install remote-access software, or read a code from your banking app to cancel a transfer. The IBAN is just the prop. You complete the fraud if you follow the instructions.","Ils veulent la conversation. Un appelant capable de réciter votre IBAN, votre nom et votre adresse peut se faire passer pour la banque, les impôts, un opérateur qui recouvre une facture, ou une entreprise qui « met à jour un mandat ».\n\nDemandes typiques : valider un mandat SEPA que vous n’avez pas créé, renvoyer un « remboursement » dans l’autre sens, installer un logiciel de prise de contrôle, ou dicter un code de l’application bancaire pour « annuler un virement ». L’IBAN n’est que l’accessoire. C’est vous qui terminez la fraude si vous suivez les consignes.",{"heading":1870,"body":1873},{"en":1871,"fr":1872},"Directories of accounts","Les répertoires de comptes",{"en":1874,"fr":1875},"When a file of account holders leaks, or when a national directory of bank accounts is reached without authorisation, the same details appear together: who holds the account, where they live, and the identifier of the account. That combination is enough to run targeted bank and tax impersonation at scale.\n\nIf you are told your details were in such an incident, watch your statements and bank alerts. Treat any unexpected call about a transfer, a mandate or a tax refund as a scam until you have checked in the official app you opened yourself.","Quand un fichier de titulaires de comptes fuit, ou quand un répertoire national de comptes bancaires est atteint sans autorisation, les mêmes éléments apparaissent ensemble : qui détient le compte, où la personne vit, et l’identifiant du compte. Cette combinaison suffit à industrialiser l’usurpation bancaire et fiscale.\n\nSi l’on vous indique que vos données figuraient dans un tel incident, surveillez vos relevés et alertes bancaires. Traitez tout appel inattendu au sujet d’un virement, d’un mandat ou d’un remboursement fiscal comme une arnaque jusqu’à vérification dans l’application officielle que vous avez ouverte vous-même.",[1877,1880,1883,1886],{"en":1878,"fr":1879},"An exposed IBAN is not the same as an emptied account. Do not panic into following the caller’s instructions.","Un IBAN exposé n’est pas un compte vidé. Ne suivez pas les consignes de l’appelant sous le coup de la panique.",{"en":1881,"fr":1882},"Never approve a payment, mandate or code because someone recited your IBAN.","Ne validez jamais un paiement, un mandat ou un code parce que quelqu’un a récité votre IBAN.",{"en":1884,"fr":1885},"Review transactions and alerts. Report suspicious mandates to your bank.","Vérifiez les opérations et les alertes. Signalez les mandats suspects à votre banque.",{"en":1887,"fr":1888},"Tax and bank services will not ask you to verify an IBAN over the phone by sending money.","Les impôts et les banques ne vous demanderont pas de « vérifier » un IBAN au téléphone en envoyant de l’argent.",[115,220],{"slug":1655,"title":1891,"dek":1894,"sections":1897,"takeaways":1926,"relatedIncidentIds":1939},{"en":1892,"fr":1893},"When the leaked file is a government one","Quand le fichier divulgué est un fichier de l’État",{"en":1895,"fr":1896},"A message that sounds like the tax office, the identity-document service or the police is easier to believe. That is why those files are valuable to scammers.","Un message qui a l’air de venir des impôts, du service des titres ou de la police est plus facile à croire. C’est pour cela que ces fichiers intéressent les escrocs.",[1898,1905,1912,1919],{"heading":1899,"body":1902},{"en":1900,"fr":1901},"Why official files are worth more","Pourquoi les fichiers officiels valent plus",{"en":1903,"fr":1904},"France runs services that already know a lot about you: tax, identity documents, driving licences, school administration, law-enforcement files. When those systems are reached without authorisation, criminals do not only get data. They get a costume.\n\n“We are calling from the tax office” is a weak line until the caller can mention a plausible income figure, a withholding rate, a property address or a pending title application. Then it is a strong line.","La France gère des services qui savent déjà beaucoup de choses sur vous : impôts, titres d’identité, permis, administration scolaire, fichiers de police. Quand ces systèmes sont atteints sans autorisation, les criminels n’obtiennent pas seulement des données. Ils obtiennent un costume.\n\n« Nous appelons des impôts » est une phrase faible, jusqu’à ce que l’appelant puisse citer un revenu plausible, un taux de prélèvement, une adresse de bien ou une demande de titre en cours. Alors la phrase devient forte.",{"heading":1906,"body":1909},{"en":1907,"fr":1908},"Identity documents and account files","Titres d’identité et fichiers de comptes",{"en":1910,"fr":1911},"Portals for identity documents and driving licences hold the kind of civil-status data a phishing kit needs: names, dates of birth, email addresses, sometimes postal addresses and phone numbers. Even when supporting documents and biometrics are not in the leak, the remaining fields are enough to send a convincing “your card is ready, pay the fee here” message.\n\nOpen ANTS, taxes and identity services by typing the official address or using the official app. A link in an SMS is not the service.","Les portails de titres d’identité et de permis conservent le type d’état civil dont un kit de hameçonnage a besoin : noms, dates de naissance, e-mails, parfois adresses postales et téléphones. Même lorsque les pièces justificatives et les données biométriques ne sont pas dans la fuite, les champs restants suffisent à envoyer un message convaincant du type « votre titre est prêt, réglez les frais ici ».\n\nOuvrez ANTS, les impôts et les services d’identité en saisissant l’adresse officielle ou via l’application officielle. Un lien dans un SMS n’est pas le service.",{"heading":1913,"body":1916},{"en":1914,"fr":1915},"Tax and bank-account files","Fichiers fiscaux et fichiers de comptes",{"en":1917,"fr":1918},"Tax data such as income, household details, withholding rates and property references, together with bank-account directories (who holds which IBAN, and where they live), are a kit for fraud aimed at people with money on the line. The scam can look like a regularisation, a refund, a control, or a problem with a mandate.\n\nThe tax office will not ask you to buy vouchers, install software, or read codes from your espace impôt over the phone.","Les données fiscales (revenu, foyer, taux de prélèvement, références de biens), associées aux répertoires de comptes bancaires (qui détient quel IBAN, et où), forment un kit pour la fraude quand de l’argent est en jeu. L’arnaque peut ressembler à une régularisation, un remboursement, un contrôle, ou un problème de mandat.\n\nLes impôts ne vous demanderont pas d’acheter des bons, d’installer un logiciel, ni de dicter des codes de votre espace impôt au téléphone.",{"heading":1920,"body":1923},{"en":1921,"fr":1922},"Law-enforcement files are different, and still a lure","Les fichiers de police sont autre chose, et restent un appât",{"en":1924,"fr":1925},"Police files are not a consumer mailing list. When they are reached, the public risk is both the sensitivity of the records and the wave of copycat messages that follow the news. A message that claims to be from the police, or “about your file”, after a widely reported incident is a common follow-on scam.\n\nDo not treat a headline figure as a personal notification. If an authority needs to contact you, use the channel you opened. On this site, disputed mass-theft claims stay labelled as claims. They are never treated as a confirmed count.","Les fichiers de police ne sont pas un fichier client. Quand ils sont atteints, le risque public tient à la sensibilité des dossiers et à la vague de messages copiés qui suit l’actualité. Un message qui se prétend de la police, ou « au sujet de votre dossier », après un incident très médiatisé est une arnaque fréquente de second rideau.\n\nNe prenez pas un chiffre à la une comme une notification personnelle. Si une autorité doit vous contacter, utilisez le canal que vous avez ouvert. Sur ce site, les revendications de vol massif contestées restent des revendications. Elles ne sont jamais traitées comme un décompte confirmé.",[1927,1930,1933,1936],{"en":1928,"fr":1929},"“They knew my tax, title or school file” is a warning sign, not a credential.","« Ils connaissaient mon dossier fiscal, de titre ou scolaire » est un signal d’alerte, pas une preuve d’identité.",{"en":1931,"fr":1932},"Never pay a fee or fine from a link in an unexpected message.","Ne payez jamais des frais ou une amende via un lien d’un message inattendu.",{"en":1934,"fr":1935},"Use official apps and typed URLs for impôts, ANTS and identity documents.","Utilisez les applications officielles et des URL saisies pour les impôts, ANTS et les titres d’identité.",{"en":1937,"fr":1938},"After a widely reported government incident, expect fake messages that borrow the story.","Après un incident administratif très médiatisé, attendez-vous à de faux messages qui empruntent l’histoire.",[290,365,220,211],{"slug":1714,"title":1941,"dek":1944,"sections":1947,"takeaways":1969,"relatedIncidentIds":1982},{"en":1942,"fr":1943},"Health, school, and why leaked data ages badly","Santé, école, et pourquoi les données divulguées vieillissent mal",{"en":1945,"fr":1946},"Some leaks look small because they are not passwords. Contact details, absences, and records tied to health or school stay useful to criminals for a long time.","Certaines fuites paraissent modestes parce qu’il ne s’agit pas de mots de passe. Coordonnées, absences et dossiers liés à la santé ou à l’école restent utiles aux criminels longtemps.",[1948,1955,1962],{"heading":1949,"body":1952},{"en":1950,"fr":1951},"Sensitive does not always mean a medical record","Sensible ne veut pas toujours dire dossier médical",{"en":1953,"fr":1954},"A health-themed leak can be contact and delivery details from a public-health platform, with no medical file attached. That is still enough to send a message about a vaccination, a kit, a reimbursement or an appointment that uses your real address and phone number.\n\nA medical software incident is a different problem. If the patient-data scope is not published, treat it as unknown. Do not assume nothing was taken, and do not assume a number that was not confirmed.","Une fuite à thème santé peut n’être que des coordonnées de contact et de livraison d’une plateforme de santé publique, sans dossier médical. Cela suffit encore à envoyer un message sur une vaccination, un kit, un remboursement ou un rendez-vous qui utilise votre vraie adresse et votre téléphone.\n\nUn incident sur un logiciel médical est un autre problème. Si le périmètre des données patients n’est pas publié, tenez-le pour inconnu. Ne supposez pas que rien n’a été pris, et n’inventez pas un chiffre qui n’a pas été confirmé.",{"heading":1956,"body":1959},{"en":1957,"fr":1958},"Schools and staff files","Fichiers scolaires et fichiers d’agents",{"en":1960,"fr":1961},"Education files hold identity, contact details, sometimes absences, tutor names and professional phone numbers. That is a map of who works where, who can be reached, and when someone might be away.\n\nTypical misuse: a message to a parent that names the school, a message to a teacher that names a colleague, or a fake HR or payroll notice. The facts make it local. You still should not follow the link.","Les fichiers de l’Éducation portent l’identité, les coordonnées, parfois des absences, des noms de tuteurs et des téléphones professionnels. C’est une carte de qui travaille où, qui est joignable, et quand quelqu’un peut être absent.\n\nUsages typiques : un message à un parent qui nomme l’établissement, un message à un enseignant qui nomme un collègue, ou un faux avis RH ou de paie. Les faits rendent cela local. Il ne faut toujours pas suivre le lien.",{"heading":1963,"body":1966},{"en":1964,"fr":1965},"The data stays useful","Les données restent utiles",{"en":1967,"fr":1968},"Stolen data is cheap to keep. A dump from this year can fuel SMS next winter. Health and school context also tracks life events, a new school year or a public-health campaign, that give scammers a fresh excuse.\n\nIncreased caution should not end a week after a notice. Watch for messages that reuse the organisation’s name long after the incident left the news.","Les données volées coûtent peu à conserver. Un dump de cette année peut alimenter des SMS l’hiver suivant. Le contexte santé et scolaire suit aussi des événements de la vie, une rentrée ou une campagne de santé publique, qui offrent un prétexte neuf.\n\nLa vigilance accrue ne doit pas s’arrêter une semaine après une notification. Surveillez les messages qui réutilisent le nom de l’organisation longtemps après que l’incident a quitté l’actualité.",[1970,1973,1976,1979],{"en":1971,"fr":1972},"Health-branded contact details are enough for health-themed phishing, even when no medical record was in the file.","Des coordonnées estampillées santé suffisent au hameçonnage sur ce thème, même sans dossier médical dans le fichier.",{"en":1974,"fr":1975},"If a patient-data scope is unpublished, that is unknown, not zero.","Si le périmètre des données patients n’est pas publié, c’est inconnu, pas zéro.",{"en":1977,"fr":1978},"Parents and staff should open school services themselves, not from an unexpected SMS.","Parents et agents doivent ouvrir eux-mêmes les services scolaires, pas depuis un SMS inattendu.",{"en":1980,"fr":1981},"Keep evidence of suspicious messages. Report them through official channels.","Conservez les preuves des messages suspects. Signalez-les par les canaux officiels.",[157,359,941,1209,1030],{"slug":1984,"title":1985,"dek":1988,"sections":1991,"takeaways":2020,"relatedIncidentIds":2033},"ai-written-attacks",{"en":1986,"fr":1987},"When a machine writes the scam","Quand une machine écrit l’arnaque",{"en":1989,"fr":1990},"Language models do not understand you. They predict the next word. That is already enough to write fluent, personal-sounding messages at a scale no call centre can match, especially once a leak has supplied the facts.","Les modèles de langue ne vous comprennent pas. Ils prédisent le mot suivant. Cela suffit déjà à écrire des messages fluides et personnels à une échelle qu’aucun centre d’appels ne peut suivre, surtout une fois qu’une fuite a fourni les faits.",[1992,1999,2006,2013],{"heading":1993,"body":1996},{"en":1994,"fr":1995},"What the model is doing","Ce que le modèle fait",{"en":1997,"fr":1998},"The systems people call AI here are language models. They are trained on enormous amounts of text: websites, articles, manuals, code, and the kind of letters and emails that already exist in public. Their job is narrow. Given the words so far, guess the next one, then keep going.\n\nDo that fast enough and you get paragraphs that look planned. The model is not thinking about you. It has no file on your tax office or your bank unless a person pastes those details in. It is completing a pattern, which is why the writing can sound official or urgent without anyone meaning it.","Les systèmes qu’on appelle ici IA sont des modèles de langue. Ils sont entraînés sur d’énormes quantités de texte : sites, articles, manuels, code, et le type de lettres et d’e-mails qui existent déjà en public. Leur tâche est étroite. À partir des mots déjà là, deviner le suivant, puis continuer.\n\nAssez vite, on obtient des paragraphes qui ont l’air pensés. Le modèle ne réfléchit pas à votre sujet. Il n’a aucun dossier sur votre centre des impôts ou votre banque, sauf si quelqu’un y colle ces détails. Il complète un motif, c’est pourquoi le texte peut sembler officiel ou urgent sans que personne ne le « veuille ».",{"heading":2000,"body":2003},{"en":2001,"fr":2002},"Why that is useful for crime","Pourquoi cela sert le crime",{"en":2004,"fr":2005},"A convincing scam used to need a competent writer, or a cheap script that was easy to spot. A language model is a competent writer on demand. It can produce French that reads like a ministry, English that reads like a bank, and many slightly different versions of the same story so that filters see less repetition.\n\nIt does not get tired or need a translator. A short instruction such as “write as customer service, mention a delivery, ask them to sign in” becomes a finished message in seconds. The person aiming it no longer has to be good at language. They have to be willing to send the result.\n\nThe useful part for crime is not a machine that breaks into systems by itself. It is a machine that makes the email, the SMS and the call script cheap enough to run all day.","Une arnaque convaincante demandait un rédacteur compétent, ou un script pauvre, facile à reconnaître. Un modèle de langue est un rédacteur compétent à la demande. Il peut produire un français qui a l’air d’un ministère, un anglais qui a l’air d’une banque, et beaucoup de variantes du même récit pour que les filtres voient moins de répétition.\n\nIl ne se fatigue pas et n’a pas besoin de traducteur. Une courte consigne du type « écris comme le service client, mentionne une livraison, demande une connexion » devient un message fini en quelques secondes. La personne qui le dirige n’a plus besoin d’être douée pour la langue. Elle doit seulement accepter d’envoyer le résultat.\n\nCe qui sert le crime, ce n’est pas une machine qui force les systèmes toute seule. C’est une machine qui rend l’e-mail, le SMS et le script d’appel assez bon marché pour tourner toute la journée.",{"heading":2007,"body":2010},{"en":2008,"fr":2009},"Leaked facts do the real work","Ce sont les faits divulgués qui font le travail",{"en":2011,"fr":2012},"A fluent generic message is still easy to ignore. What makes it dangerous is a true detail sitting next to that fluency. Once a stolen file has your name, address, IBAN, school, operator or a contract number, those facts can be dropped into the prompt. The model then writes a letter that recites them as if a real agent had opened your file.\n\nThis dossier does not claim that any of the incidents here were carried out with a language model. The same leaked fields that already make ordinary phishing work also make generated phishing work. The machine did not invent your IBAN; a person supplied it. The machine made the paragraph around it sound like the tax office.\n\nVoice clones and fake login pages follow the same logic. A model that has heard or seen enough examples can imitate a tone or a layout. You still decide whether to stay on the line or type a password.","Un message générique, même fluide, reste facile à ignorer. Ce qui le rend dangereux, c’est un détail vrai à côté de cette fluidité. Une fois qu’un fichier volé contient votre nom, adresse, IBAN, établissement, opérateur ou un numéro de contrat, ces faits peuvent être placés dans la consigne. Le modèle écrit alors une lettre qui les récite comme si un vrai agent avait ouvert votre dossier.\n\nCe dossier n’affirme pas que les incidents suivis ici ont été commis avec un modèle de langue. Les mêmes champs divulgués qui font déjà marcher le hameçonnage ordinaire font aussi marcher le hameçonnage généré. La machine n’a pas inventé votre IBAN ; une personne l’a fourni. La machine a fait sonner le paragraphe autour comme les impôts.\n\nLes clones de voix et les fausses pages de connexion suivent la même logique. Un modèle qui a assez d’exemples peut imiter un ton ou une mise en page. C’est encore vous qui décidez de rester en ligne ou de saisir un mot de passe.",{"heading":2014,"body":2017},{"en":2015,"fr":2016},"What the model cannot do","Ce que le modèle ne peut pas faire",{"en":2018,"fr":2019},"A language model is not a master hacker and it is not a person who has logged into your account. It cannot approve a payment. It cannot read the code on your banking app unless you read that code out. Most of what the public will meet is still social engineering: a better-written ask.\n\nUsing these tools to break into systems, steal data, or run fraud is a crime. This page is not a guide to doing that. It is a guide to recognising the output. The test is the same as for any other unexpected contact. Did you open the official site yourself? Did anyone ask you to hurry, to pay, or to share a code? Knowing a real detail about you is still not proof of identity, even when the French is perfect.","Un modèle de langue n’est pas un pirate hors pair, et ce n’est pas une personne connectée à votre compte. Il ne peut pas valider un paiement. Il ne peut pas lire le code de votre application bancaire, sauf si vous le dictez. Ce que le public rencontrera le plus souvent reste de l’ingénierie sociale : une demande mieux écrite.\n\nSe servir de ces outils pour forcer des systèmes, voler des données ou commettre une fraude est un délit. Cette page n’est pas un mode d’emploi. C’est un guide pour reconnaître le résultat. Le test est le même que pour tout autre contact inattendu. Avez-vous ouvert vous-même le site officiel ? Vous a-t-on demandé de vous dépêcher, de payer, ou de partager un code ? Connaître un vrai détail sur vous n’est toujours pas une preuve d’identité, même quand le français est parfait.",[2021,2024,2027,2030],{"en":2022,"fr":2023},"Perfect French or a perfect official tone is not proof that a ministry, a bank or a school wrote the message.","Un français parfait ou un ton officiel parfait ne prouve pas qu’un ministère, une banque ou une école a écrit le message.",{"en":2025,"fr":2026},"A generated message that recites your address, IBAN or contract number is more dangerous, not more trustworthy.","Un message généré qui récite votre adresse, votre IBAN ou votre numéro de contrat est plus dangereux, pas plus digne de confiance.",{"en":2028,"fr":2029},"Open taxes, banking and identity services yourself. Type the address. Do not use a link from an unexpected message, however well written.","Ouvrez vous-même impôts, banque et services d’identité. Saisissez l’adresse. N’utilisez pas un lien d’un message inattendu, si bien rédigé soit-il.",{"en":2031,"fr":2032},"Never read a one-time code or approve a payment because the caller sounds like a real agent. Hang up and use the official app.","Ne dictez jamais un code à usage unique et ne validez jamais un paiement parce que l’appelant a l’air d’un vrai agent. Raccrochez et utilisez l’application officielle.",[],{"slug":1681,"title":2035,"dek":2038,"sections":2041,"takeaways":2070,"relatedIncidentIds":2083},{"en":2036,"fr":2037},"Passwords, passkeys, and what to change after a leak","Mots de passe, passkeys, et quoi changer après une fuite",{"en":2039,"fr":2040},"A leaked password is useful because people reuse it. A hash is still a reason to change it. A passkey is harder to phish than a code sent by SMS.","Un mot de passe divulgué sert parce que les gens le réutilisent. Un hash reste une raison de le changer. Une passkey est plus difficile à hameçonner qu’un code envoyé par SMS.",[2042,2049,2056,2063],{"heading":2043,"body":2046},{"en":2044,"fr":2045},"Reuse is the real problem","C’est la réutilisation qui pose problème",{"en":2047,"fr":2048},"Most people have a short list of passwords they use in several places. When one service is reached without authorisation, the useful prize is often not that one login. It is every other account that shared the same secret.\n\nA notice that “passwords were not taken” is a relief for that service. It is not a reason to keep a reused password on your bank, your mail or your tax space. If you used the same string anywhere else, change those other accounts first.","La plupart des gens ont une courte liste de mots de passe qu’ils réutilisent. Quand un service est atteint sans autorisation, le butin utile n’est souvent pas cette seule connexion. Ce sont tous les autres comptes qui partageaient le même secret.\n\nUne notification indiquant que « les mots de passe n’ont pas été pris » est un soulagement pour ce service. Ce n’est pas une raison de garder un mot de passe réutilisé sur votre banque, votre messagerie ou votre espace impôt. Si vous avez utilisé la même chaîne ailleurs, changez d’abord ces autres comptes.",{"heading":2050,"body":2053},{"en":2051,"fr":2052},"A hash is not a reason to wait","Un hash n’est pas une raison d’attendre",{"en":2054,"fr":2055},"Some notices say passwords were stored as hashes: a one-way form that is not the password itself. That is better than storing the password in clear text. It is not a guarantee that nobody will ever recover a weak or reused password from the file.\n\nTreat a hashed-password notice as a prompt to change that password, and to stop using it anywhere else. A password manager makes the next password unique, so one stolen file cannot open three services.","Certaines notifications indiquent que les mots de passe étaient stockés sous forme de hash : une forme à sens unique qui n’est pas le mot de passe lui-même. C’est mieux que de le stocker en clair. Ce n’est pas une garantie que personne ne récupérera jamais un mot de passe faible ou réutilisé à partir du fichier.\n\nTraitez une notification de mots de passe hashés comme un signal pour changer ce mot de passe, et pour cesser de l’utiliser ailleurs. Un gestionnaire de mots de passe rend le suivant unique, pour qu’un fichier volé n’ouvre pas trois services.",{"heading":2057,"body":2060},{"en":2058,"fr":2059},"Codes you can read aloud are still phishable","Les codes que l’on peut dicter restent hameçonnables",{"en":2061,"fr":2062},"Multi-factor authentication is useful. Not every factor is equal after a leak. An SMS code, or a code in an authenticator app, still has to be typed or read out. A caller who already knows your name, your number or your IBAN will ask you to read that code “to cancel a transfer” or “to secure your account”.\n\nIf your phone number was in a leak, SMS is the weaker option: the number is how they reach you, and the code is what they want you to say. Prefer an authenticator app you unlock yourself, or a passkey. Never read a code to someone who called you.","L’authentification à plusieurs facteurs est utile. Tous les facteurs ne se valent pas après une fuite. Un code SMS, ou un code dans une application d’authentification, doit encore être saisi ou dicté. Un appelant qui connaît déjà votre nom, votre numéro ou votre IBAN vous demandera de dicter ce code « pour annuler un virement » ou « pour sécuriser votre compte ».\n\nSi votre numéro de téléphone figurait dans une fuite, le SMS est l’option la plus faible : le numéro est le moyen de vous joindre, et le code est ce qu’ils veulent vous faire dire. Préférez une application d’authentification que vous déverrouillez vous-même, ou une passkey. Ne dictez jamais un code à quelqu’un qui vous a appelé.",{"heading":2064,"body":2067},{"en":2065,"fr":2066},"What a passkey changes","Ce qu’une passkey change",{"en":2068,"fr":2069},"A passkey is a key stored on your device or password manager, unlocked with your face, fingerprint or device PIN. It is made for one site. A fake page that only looks like impôts.gouv.fr or your bank cannot collect a passkey the way it can collect a typed password.\n\nPasskeys do not make you immune to a phone call. Someone can still ask you to approve a prompt, install software, or send money. The test stays the same: did you open the official app yourself, and did anyone ask you to hurry?","Une passkey est une clé stockée sur votre appareil ou dans votre gestionnaire, déverrouillée par le visage, l’empreinte ou le code de l’appareil. Elle est faite pour un seul site. Une fausse page qui a seulement l’air d’impôts.gouv.fr ou de votre banque ne peut pas collecter une passkey comme elle collecte un mot de passe saisi.\n\nLes passkeys ne vous mettent pas à l’abri d’un appel. On peut encore vous demander de valider une notification, d’installer un logiciel ou d’envoyer de l’argent. Le test reste le même : avez-vous ouvert vous-même l’application officielle, et vous a-t-on demandé de vous dépêcher ?",[2071,2074,2077,2080],{"en":2072,"fr":2073},"If this service held a password you reused, change it on every other account that shared it.","Si ce service détenait un mot de passe que vous réutilisiez, changez-le sur tous les autres comptes qui le partageaient.",{"en":2075,"fr":2076},"A hashed password is still a reason to change it. Do not wait to see whether money moves.","Un mot de passe hashé reste une raison de le changer. N’attendez pas de voir si de l’argent bouge.",{"en":2078,"fr":2079},"Never read an SMS or app code to someone who called you. Prefer a passkey or an authenticator you unlock yourself.","Ne dictez jamais un code SMS ou d’application à quelqu’un qui vous a appelé. Préférez une passkey ou une application d’authentification que vous déverrouillez vous-même.",{"en":2081,"fr":2082},"A password manager makes the next secret unique. One stolen file should not open several services.","Un gestionnaire de mots de passe rend le secret suivant unique. Un fichier volé ne devrait pas ouvrir plusieurs services.",[179],1786907072843]