BreachForums, Cybernews, ZATAZ, CNIL, les alertes se multiplient depuis le début 2026. 16 milliards d’identifiants et de mots de passe circulent désormais en ligne, fruit de dizaines d’années de fuites accumulées. En France, janvier 2026 a battu tous les records avec près de 45 millions d’enregistrements exposés en l’espace de quelques semaines. Votre adresse e-mail, votre mot de passe, peut-être même vos coordonnées bancaires : ils sont probablement quelque part dans ces bases. Voici ce que vous devez savoir.
Une fuite sans précédent qui dépasse les frontières
16 milliards d’identifiants : le chiffre qui donne le vertige
En juin 2025, les chercheurs du média spécialisé Cybernews ont mis au jour des ensembles de données d’une ampleur jamais vue : 16 milliards d’identifiants et de mots de passe en circulation sur le dark web. La CNIL elle-même a pris la parole pour clarifier la situation : il ne s’agit pas d’une fuite unique, mais d’une compilation de brèches passées, agrégées sur des années. Des comptes liés à Google, Apple, Facebook, GitHub, Telegram et plusieurs services gouvernementaux figurent dans ces listes.
La menace est concrète. Ces bases permettent aux cybercriminels de lancer des attaques par credential stuffing : tester automatiquement les mêmes identifiants sur des centaines de sites. Si vous utilisez le même mot de passe pour votre boîte mail et votre espace bancaire, la brèche sur l’un ouvre la porte à l’autre.
La France dans le viseur depuis janvier 2026
Le début d’année a été particulièrement brutal pour les internautes français. En quelques semaines, 45 millions d’enregistrements ont été exposés, touchant des données issues de Service-Public.fr, de l’OFII ou encore de fédérations sportives, l’UNSS, la Fédération française de gymnastique, d’athlétisme, de natation, de golf, de tennis. Dans la foulée, le hacker Adkka72424 publiait sur BreachForums un fichier de près de 7 milliards d’adresses e-mail, dont environ 3 milliards actives, accompagnées selon toute vraisemblance de mots de passe gardés pour son usage personnel.
« Ces fuites alimentent le dark web en identifiants valides. Les attaquants lancent ensuite du credential stuffing ou un phishing ultra-ciblé. Un mot de passe réutilisé, c’est une porte ouverte à la banque, à la messagerie, aux réseaux sociaux. »
Comment vos mots de passe finissent sur le dark web
Les info stealers : l’arme silencieuse des pirates
Derrière la plupart des fuites récentes se cachent des info stealers, des logiciels malveillants conçus pour aspirer silencieusement les identifiants stockés dans vos navigateurs. Ils s’installent via un faux logiciel, une pièce jointe piégée, ou une publicité corrompue. Une fois en place, ils enregistrent chaque frappe et transmettent les données à des serveurs contrôlés par des cybercriminels. Ces informations sont ensuite revendues sous forme de « combos », des listes login/mot de passe prêtes à l’emploi, ou de « Fullz », des packs complets incluant nom, numéro de sécurité sociale, date de naissance et coordonnées bancaires.
Le phishing, toujours aussi efficace
Le scénario est rodé. Vous recevez un SMS vous informant qu’un colis vous attend. Vos nom, prénom, adresse et numéro de CNI apparaissent dans le message, des données issues d’une fuite antérieure. Vous cliquez. Un faux site vous invite à saisir vos identifiants. En quelques secondes, un nouveau lot d’informations rejoint le dark web. L’étude de Proton et Constella Intelligence révèle que 40 % des adresses e-mail de parlementaires français, britanniques et européens sont exposées sur le dark web, dont 700 associées à des mots de passe en clair.
« 833 663 personnes utilisent soit leur prénom, soit l’information contenue dans l’adresse e-mail elle-même comme mot de passe. »
— ZATAZ, analyse d’une base de 70 millions de comptes français
Ce que vous devez faire maintenant
Vérifier en trente secondes si vous êtes concerné
Le site Have I Been Pwned (haveibeenpwned.com) permet de savoir gratuitement si votre adresse e-mail figure dans une fuite connue. Cybernews propose également un outil similaire. Ces plateformes ne montrent que les fuites rendues publiques, les brèches récentes peuvent mettre plusieurs mois avant d’y apparaître.
Générateur de mots de passe : créez gratuitement des password robustes et sécurisés
Trois actions qui changent tout
La priorité absolue : changer immédiatement les mots de passe de votre messagerie, de votre espace bancaire et de votre espace Impôts. Ensuite, activez l’authentification à deux facteurs (2FA) sur ces mêmes comptes, cette seule mesure bloque la quasi-totalité des tentatives d’intrusion, même si le mot de passe est connu du pirate. Enfin, installez un gestionnaire de mots de passe comme Bitwarden pour générer et stocker des identifiants uniques et complexes pour chaque service. Vous n’aurez qu’un seul mot de passe à retenir.
Les mots de passe les plus trouvés dans la base analysée par ZATAZ donnent la mesure du problème : 123456 (232 065 occurrences), azerty (91 037 fois), doudou (36 883 fois). Autant de serrures en carton sur des portes que vous croyiez blindées.
