Fuites de données : combien valent vraiment nos données personnelles ?
Nous avons tous une adresse e-mail. Un numéro de téléphone. Une adresse postale. Une date de naissance. Un compte bancaire. Un abonnement téléphonique. Parfois même un numéro unique de sécurité sociale qui nous suit durant toute notre vie.
Pris séparément, ces éléments semblent presque banals.
Mais lorsqu’ils sont rassemblés dans une même base de données, ils deviennent une véritable mine d’or pour les cybercriminels : les cybermalveillants.
Depuis dix ans, les fuites de données se multiplient. Certaines concernent quelques milliers de personnes. D’autres touchent des dizaines de millions d’individus. Et dans les plus grandes affaires mondiales, on parle de centaines de millions, voire de milliards d’enregistrements.
Une question mérite pourtant d’être posée :
combien valent réellement nos données personnelles ?
La réponse est beaucoup plus complexe qu’un simple prix par personne.
Des milliards de données volées, mais pas forcément des milliards de victimes
Lorsqu’une fuite de données fait la une, un chiffre spectaculaire est souvent mis en avant.
Trois milliards de comptes chez Yahoo.
2,9 milliards d’enregistrements associés à National Public Data.
26 milliards d’enregistrements annoncés dans la « Mother of All Breaches ».
Ces chiffres impressionnent. Mais ils peuvent aussi être trompeurs.
Pourquoi ?
Parce qu’il faut distinguer un compte, un enregistrement et une personne.
Une même personne peut apparaître plusieurs fois dans une base. Une ancienne adresse peut être conservée. Un compte fermé peut rester dans un historique car sur le web et dans les bases de données rien ne s’efface réellement. Plusieurs bases peuvent être fusionnées.
Autrement dit :
3 milliards d’enregistrements ne signifient pas 3 milliards de personnes.
Cette distinction est essentielle lorsqu’on compare les différentes cyberattaques.
Yahoo : le symbole des méga-fuites
L’affaire Yahoo reste l’un des plus célèbres exemples.
En 2016, Yahoo avait annoncé une attaque concernant 500 millions de comptes. Puis l’entreprise avait révélé une autre intrusion portant sur environ un milliard de comptes.
En 2017, le chiffre a finalement été réévalué : les trois milliards de comptes Yahoo existant à l’époque avaient été concernés par l’attaque de 2013.
L’information a été confirmée dans les documents de Verizon après son acquisition de l’activité Internet de Yahoo.
Ce dossier est devenu emblématique d’une époque où les entreprises pouvaient découvrir plusieurs années après les faits l’ampleur réelle d’une intrusion.
Et il rappelle une première règle :
le premier chiffre annoncé après une cyberattaque n’est pas toujours le chiffre définitif.
Les plus grosses fuites : attention aux classements
Voici quelques-uns des incidents les plus importants de ces dernières années.
| Incident | Année | Volume annoncé | Pays | Niveau de certitude |
| Yahoo | 2013, révélé 2016-2017 | 3 milliards de comptes | 🇺🇸 États-Unis | Très documenté |
| National Public Data | 2024 | ≈ 2,9 milliards d’enregistrements | 🇺🇸 États-Unis | À interpréter avec prudence |
| Aadhaar | 2018 | ≈ 1,1 milliard de dossiers | 🇮🇳 Inde | Chiffres à contextualiser |
| First American Financial | 2019 | ≈ 885 millions d’enregistrements | 🇺🇸 États-Unis | Documenté |
| Ticketmaster | 2024 | ≈ 560 millions | 🇺🇸 États-Unis | Chiffre revendiqué / à contextualiser |
| 2019/2021 | ≈ 533 millions | 🇺🇸 États-Unis | Documenté | |
| Marriott / Starwood | 2018 | plusieurs centaines de millions | 🇺🇸 États-Unis | Chiffres révisés selon les incidents |
| FriendFinder Networks | 2016 | ≈ 412 millions de comptes | 🇺🇸 États-Unis | Documenté |
| MySpace | 2016 | ≈ 360 millions de comptes | 🇺🇸 États-Unis | Documenté |
| Exactis | 2018 | ≈ 340 millions d’enregistrements | 🇺🇸 États-Unis | À contextualiser |
ce tableau n’est pas un classement scientifique absolu car en matière de communication de chiffres réels tout n’est pas encore parfait.
La réaliyé est simple : les unités de mesure ne sont pas les mêmes.
Certains incidents comptent des comptes. D’autres des fichiers. D’autres encore des lignes dans une base sans savoir si celles-ci seront exploitables.
Et dans certains cas, il s’agit de compilations de plusieurs fuites.
La France n’est pas épargnée
On pourrait penser que les méga-fuites concernent principalement les États-Unis ou les grandes plateformes internationales.
Ce serait une erreur.
La France a connu ces dernières années plusieurs incidents touchant des dizaines de millions de personnes.
Et certains sont particulièrement préoccupants parce que les données concernées ne se limitent pas à une simple adresse e-mail.
France Travail : 36,8 millions de personnes
En 2024, France Travail avait initialement indiqué qu’une cyberattaque pouvait potentiellement concerner jusqu’à 43 millions de personnes.
Après enquête, la CNIL a établi un périmètre plus précis : 36 820 828 personnes.
Les données exfiltrées pouvaient notamment comprendre l’identité, les coordonnées et le numéro de sécurité sociale.
La CNIL a également établi que les attaquants avaient pu exfiltrer environ 25 Go de données.
En janvier 2026, la CNIL a infligé à France Travail une amende de 5 millions d’euros.
C’est l’un des exemples les plus importants en France de la différence entre un premier chiffre annoncé et un chiffre finalement établi après enquête.
Viamedis et Almerys : plus de 33 millions de personnes
En janvier 2024, deux opérateurs spécialisés dans la gestion du tiers payant, Viamedis et Almerys, ont été victimes d’une attaque informatique.
La CNIL a indiqué que plus de 33 millions de personnes étaient concernées.
Et ici, la nature des données est particulièrement importante.
Les informations compromises pouvaient comprendre :
- l’état civil ;
- la date de naissance ;
- le numéro de sécurité sociale ;
- le nom de l’assureur santé ;
- les garanties du contrat.
En revanche, la CNIL indiquait que les données bancaires, les données médicales, les remboursements de santé, les adresses postales, les numéros de téléphone et les adresses e-mail n’étaient pas concernés par cette violation.
Cette affaire illustre parfaitement un point essentiel :
le nombre de personnes touchées ne suffit pas à mesurer la gravité d’une fuite.
Il faut également regarder quelles données ont été exposées.
Free : 24,6 millions de contrats
L’affaire Free est encore plus révélatrice.
Selon les décisions de la CNIL publiées en janvier 2026, l’attaquant a pu accéder aux données de 24 633 469 contrats, dont :
- 19 460 891 contrats mobiles ;
- 5 172 577 contrats fixes.
Les informations accessibles comprenaient notamment des données d’identité, de contact et contractuelles. Pour certains clients convergents, l’IBAN pouvait également être accessible.
La CNIL a infligé deux sanctions distinctes représentant 42 millions d’euros au total.
C’est un chiffre considérable.
Mais il faut le comparer à un autre chiffre : le nombre de contrats concernés.
Cela donne une autre perspective sur le coût potentiel d’une mauvaise protection des données.
Dailymotion : 85 millions de comptes
En 2016, Dailymotion avait été associé à une fuite portant sur environ 85,2 millions de comptes.
L’affaire rappelle également que les données d’une entreprise française peuvent être stockées, exploitées ou revendues dans un environnement totalement international.
Un utilisateur français peut donc être victime d’une fuite dont les conséquences dépassent largement les frontières françaises.
Alors, combien vaut un abonné ?
C’est probablement la question la plus intéressante.
Et la réponse risque de surprendre.
Parfois, presque rien.
Une base contenant plusieurs millions de personnes peut être vendue pour quelques milliers ou dizaines de milliers d’euros.
Prenons un exemple hypothétique.
Une base contient :
20 millions de personnes
et elle est vendue :
20 000 €
Le calcul est simple :
20 000 ÷ 20 000 000 = 0,001 €
Cela représente un dixième de centime par personne.
Mais cela ne signifie absolument pas que la personne « vaut » 0,001 €.
Cela signifie uniquement que le vendeur a accepté de vendre l’ensemble de la base à ce prix.
Le prix de « grossiste » n’est pas la valeur réelle
C’est probablement l’erreur la plus fréquente lorsqu’on parle du marché des données volées.
Une base de données fonctionne comme un produit vendu en gros.
Un cybercriminel qui possède 20 millions d’enregistrements peut préférer vendre l’ensemble à un autre acteur plutôt que de vendre chaque fiche individuellement.
Le prix unitaire devient alors extrêmement faible.
Mais l’acheteur peut ensuite exploiter la base autrement.
Il peut par exemple :
- croiser les données avec d’autres bases ;
- envoyer des campagnes de phishing ;
- cibler certaines catégories de personnes ;
- identifier des clients d’une banque ou d’un opérateur ;
- préparer des tentatives d’usurpation d’identité ;
- rechercher des comptes à forte valeur.
Le prix payé pour la base n’est donc qu’une première étape.
Une donnée peut être presque gratuite et pourtant très dangereuse
Imaginons un fichier contenant un million d’adresses e-mail.
Le vendeur le propose pour 1 000 €.
Cela représente :
0,001 € par adresse.
À première vue, ce n’est pas beaucoup.
Mais si le fichier est utilisé pour envoyer un million de messages frauduleux et qu’une toute petite proportion des victimes se fait piéger, l’opération peut devenir rentable.
Le coût d’acquisition de la donnée est alors minuscule par rapport au gain potentiel.
C’est précisément ce qui rend les grandes bases intéressantes pour les cybercriminels.
Toutes les données ne se valent pas
Une adresse e-mail seule n’a pas la même utilité qu’une identité complète associée à une adresse, une date de naissance et un identifiant administratif.
On peut schématiquement distinguer quatre niveaux.
- Les données de contact
Nom, prénom, e-mail, téléphone.
Elles peuvent notamment servir à des campagnes de spam et de phishing.
- Le profil personnel
On ajoute l’adresse, la date de naissance, les habitudes de consommation, la profession ou l’historique client.
Le fraudeur peut alors personnaliser son approche.
- L’identité
Une identité complète associée à des identifiants durables peut faciliter des tentatives d’usurpation.
- Les informations financières
Les données bancaires ou de paiement sont particulièrement sensibles.
Et le danger augmente encore lorsque plusieurs catégories sont réunies.
Une base contenant dix informations différentes sur dix millions de personnes n’a pas la même valeur qu’une base contenant seulement dix millions d’adresses e-mail.
Le cas particulier des IBAN
L’IBAN est un bon exemple.
Lors de l’affaire Free, la CNIL a relevé que certains clients convergents pouvaient avoir leur IBAN présent dans les données accessibles à l’attaquant.
Il serait cependant faux de dire qu’un IBAN équivaut automatiquement à un accès direct au compte bancaire.
L’IBAN permet notamment d’identifier un compte bancaire et peut être utilisé dans certains scénarios de fraude ou de prélèvement frauduleux, mais il ne constitue pas à lui seul un mot de passe bancaire.
Là encore, le contexte est essentiel.
Le piège des « 26 milliards de données »
En 2024, une énorme compilation appelée Mother of All Breaches, ou MOAB, a été annoncée avec environ 26 milliards d’enregistrements.
Le chiffre est spectaculaire.
Mais il ne faut surtout pas comprendre qu’un pirate aurait pénétré une entreprise possédant 26 milliards de clients.
Il s’agissait principalement d’une compilation de données provenant de nombreuses fuites antérieures.
C’est un phénomène devenu courant.
Une base ancienne est récupérée.
Elle est mélangée à une autre.
Puis à une troisième.
Et l’ensemble est présenté comme une nouvelle gigantesque base.
Le chiffre final peut donc devenir astronomique sans qu’un nombre équivalent de nouvelles victimes existe.
Le problème des doublons
Prenons une personne fictive :
Jean Dupont
Elle peut apparaître dans :
- une fuite d’un opérateur ;
- une fuite d’un réseau social ;
- une fuite d’un site marchand ;
- une base marketing ;
- une compilation de mots de passe.
Si ces cinq bases sont fusionnées, Jean Dupont peut apparaître cinq fois.
Pourtant, il ne représente qu’une seule personne.
C’est pourquoi les statistiques de cybersécurité doivent toujours préciser ce qu’elles mesurent.
Enregistrements, comptes et personnes uniques ne sont pas synonymes.
Quel est donc le vrai prix d’une donnée ?
Il n’existe pas de tarif universel.
Le prix dépend notamment :
- de la fraîcheur de la donnée ;
- de son exactitude ;
- du nombre d’informations disponibles ;
- de la présence ou non de données financières ;
- de la présence d’identifiants administratifs ;
- de la possibilité de relier la donnée à d’autres bases ;
- du nombre de personnes concernées ;
- de la demande sur le marché clandestin.
C’est pourquoi donner un prix unique du type « une identité française vaut X euros » serait trompeur.
Quatre valeurs différentes
Pour comprendre une fuite, il faut en réalité distinguer quatre valeurs.
- Le prix de vente
C’est ce que paie l’acheteur de la base.
- Le prix par personne
C’est simplement le prix total divisé par le nombre d’enregistrements.
- Le coût pour l’entreprise
Il peut comprendre :
- enquête ;
- expertise informatique ;
- sécurisation des systèmes ;
- communication ;
- assistance aux victimes ;
- frais juridiques ;
- sanctions ;
- éventuelles indemnisations.
- Le coût pour les victimes
Il peut être financier, mais également administratif et psychologique : tentatives de fraude, usurpation d’identité, appels frauduleux, perte de temps ou nécessité de modifier des comptes.
Ces quatre valeurs peuvent être radicalement différentes.
La sanction peut être infiniment supérieure au prix de vente
C’est ce que montrent les décisions récentes de la CNIL.
Dans le dossier France Travail, la sanction a atteint 5 millions d’euros.
Dans le dossier Free, les sanctions cumulées ont atteint 42 millions d’euros.
Le contraste est saisissant.
Une base peut être vendue clandestinement pour quelques milliers d’euros et, parallèlement, coûter plusieurs millions d’euros à l’organisation victime.
Le prix du marché noir n’est donc absolument pas le coût économique réel d’une fuite.
Le véritable danger : le croisement des données
Une fuite prise isolément peut sembler limitée.
Mais imaginons qu’une personne apparaisse dans trois bases :
Base 1 :
nom + e-mail.
Base 2 :
adresse + téléphone + date de naissance.
Base 3 :
information contractuelle + IBAN.
Individuellement, chacune de ces bases peut sembler incomplète.
En les croisant, un fraudeur peut reconstituer un profil beaucoup plus précis.
C’est là que réside une partie du véritable danger.
Une donnée volée aujourd’hui peut prendre une nouvelle valeur lorsqu’elle est combinée avec une fuite qui surviendra demain.
Une adresse e-mail se change. Une identité beaucoup moins.
C’est peut-être la conclusion la plus importante.
Si un mot de passe est compromis, on peut le changer.
Si une adresse e-mail est compromise, on peut renforcer sa sécurité ou, dans certains cas, en changer.
Mais certaines informations sont beaucoup plus difficiles à modifier :
- date de naissance ;
- identité ;
- historique administratif ;
- numéro de sécurité sociale ;
- certains éléments bancaires.
Voilà pourquoi une fuite peut continuer à produire des conséquences des années après l’attaque initiale.
Ce que les entreprises doivent retenir
La cybersécurité n’est plus seulement une question informatique.
C’est désormais une question de confiance.
Lorsqu’une entreprise collecte les données de millions de personnes, elle ne détient pas seulement une base de données.
Elle détient une partie de la vie numérique de ses clients.
Et plus une entreprise concentre de données, plus la conséquence d’une compromission peut devenir importante.
Les affaires France Travail, Viamedis/Almerys et Free en sont des exemples particulièrement frappants.
Ce que les particuliers doivent retenir
Pour les utilisateurs, le message est tout aussi simple.
Une fuite de données ne signifie pas nécessairement que votre compte bancaire va être vidé.
Mais elle peut faciliter une attaque beaucoup plus crédible.
Un fraudeur qui connaît votre nom, votre opérateur, votre adresse et votre numéro de téléphone peut construire un message beaucoup plus convaincant qu’un inconnu qui vous écrit simplement « Bonjour, votre compte est bloqué ».
C’est pourquoi, après une fuite, la vigilance doit porter particulièrement sur :
- les SMS inattendus ;
- les appels prétendant venir d’une banque ;
- les demandes de codes de sécurité ;
- les liens de réinitialisation de mot de passe ;
- les faux conseillers ;
- les demandes urgentes de paiement.
La réalité : nos données ne valent pas quelques centimes
Il serait tentant de résumer cette économie clandestine par une phrase :
« Nos données ne valent presque rien. »
Ce serait presque faux.
Certaines bases peuvent effectivement être vendues à un prix dérisoire par personne.
Mais leur valeur potentielle ne se mesure pas uniquement au prix payé par l’acheteur.
Une adresse e-mail peut permettre un phishing.
Un numéro de téléphone peut servir à une arnaque ciblée.
Une identité complète peut faciliter une usurpation.
Des données contractuelles peuvent permettre de rendre une escroquerie beaucoup plus crédible.
Et plusieurs bases croisées peuvent reconstituer un profil extrêmement détaillé.
C’est donc une notion réductrice de parler uniquement de « prix par abonné ».
La vraie question est plutôt :
combien une donnée permet-elle de faire ?
C’est là que se trouve sa véritable valeur.
Et c’est aussi là que se trouve le véritable risque.
Car intégrée dans une plateforme de création industriel de campagne de phishing elle prend toute sa valeur.
Sources et références
🇫🇷 France
CNIL — France Travail : violation de données et sanction de 5 millions d’euros
https://www.cnil.fr/fr/violation-de-donnees-sanction-5millions-france-travail
Légifrance — Décision CNIL concernant France Travail
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000053408671
CNIL — Viamedis et Almerys : plus de 33 millions de personnes concernées
https://www.cnil.fr/fr/violation-de-donnees-de-deux-operateurs-de-tiers-payant-la-cnil-ouvre-une-enquete-et-rappelle-aux
Légifrance — Décision CNIL Free Mobile
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000053352664
Légifrance — Décision CNIL Free
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000053352643
🌍 International
Verizon — rapport/document confirmant les 3 milliards de comptes Yahoo concernés
https://www.verizon.com/about/sites/default/files/2019-Proxy-Statement.pdf
Verizon — rapport annuel 2018
https://www.verizon.com/about/sites/default/files/2018-Verizon-Annual-Report.pdf
FTC — Marriott : alerte concernant la violation de données
https://consumer.ftc.gov/consumer-alerts/2018/12/marriott-data-breach
FTC — Dossier Marriott / Starwood
https://www.ftc.gov/legal-library/browse/cases-proceedings/192-3022-marriott-international-inc-starwood-hotels-resorts-worldwide-llc-matter
complément : La prudence sur les chiffres est essentielle : dans le domaine des fuites de données, un chiffre spectaculaire n’est pas nécessairement un chiffre précis.
Les chiffres de cet article ne doivent pas être interprétés comme un classement parfaitement homogène. Les incidents ne mesurent pas tous la même chose : certains chiffres correspondent à des comptes, d’autres à des personnes, à des contrats, à des enregistrements ou à des compilations de plusieurs bases.
Lorsqu’un chiffre provient d’une revendication de pirate ou d’une estimation non confirmée par une autorité ou par l’entreprise concernée, il doit être présenté comme tel.
De la même manière, un prix de revente observé ou revendiqué sur un marché clandestin ne constitue pas une estimation scientifique de la valeur d’une donnée personnelle.
La prudence sur les chiffres est essentielle : dans le domaine des fuites de données, un chiffre spectaculaire n’est pas nécessairement un chiffre précis.
