Dernière mise à jour le 18 juin 2026 par Anne-Sophie Thomas
Le 11 juin 2026, la cellule Vrai ou Faux de Franceinfo a publié une enquête glaçante : un site baptisé Searcher, créé par un jeune développeur de 18 ans, permet de retrouver en quelques secondes le numéro de Sécurité sociale, l’IBAN, l’adresse postale et jusqu’aux rendez-vous médicaux de millions de Français. Le moteur agrège environ 1,2 milliard de données issues de 127 piratages. Trois jours plus tard, le gouvernement a saisi la justice au titre de l’article 40 du code de procédure pénale, comme le rapportent BFMTV et 20 Minutes.
Vous voulez savoir si vous êtes concerné ? C’est normal. On vous donne la liste des fuites 2026, 3 outils gratuits pour vérifier en 2 minutes, la marche à suivre si vous êtes touché, et 5 réflexes à adopter ce soir. Pour les entreprises, voir notre guide pour former vos collaborateurs à la cybersécurité.
Searcher, Free, ANTS, France Travail : la liste des fuites qui touchent les Français en 2026
Avant de foncer sur les outils de vérification, prenons un instant pour mesurer l’ampleur du problème. L’année 2026 a déjà connu plusieurs fuites majeures qui, cumulées, exposent la quasi-totalité des Français majeurs. Voici la chronologie sourcée qu’on retient chez Aspekt en juin 2026 :
| Date | Source de la fuite | Volumétrie | Données concernées |
|---|---|---|---|
| Juin 2026 | JeVeuxAider.gouv.fr (réserve civique) | 550 000 comptes | nom, email, téléphone, date de naissance |
| 11 juin 2026 | Searcher (agrégateur) | ~1,2 milliard de données (127 sources agrégées) | nom, adresse, IBAN, numéro de Sécurité sociale, rendez-vous médicaux |
| Juin 2026 | Tchap (messagerie de l’État) | 643 459 messages, 73 467 agents | conversations internes de l’administration |
| Juin 2026 | ANTS (Agence nationale des titres sécurisés) | Volumétrie exacte non communiquée | numéro de permis, numéro de passeport, données d’identité |
| Janvier 2026 | France Travail | 43 millions de demandeurs (selon la fuite) | nom, numéro de Sécurité sociale, statut |
Lecture rapide de ce tableau : la fuite Searcher n’est pas une fuite de plus, c’est un agrégateur de 127 fuites. Concrètement, comme l’explique Capital, la quasi-totalité des Français majeurs a probablement au moins une donnée exposée dans une de ces bases, même si elle n’est pas dans Searcher à proprement parler. Le tableau ci-dessus est construit à partir des chiffres publiés par BFMTV, Siècle Digital et Futura Sciences.
Note méthodologique : on ne cite que les chiffres publiés par des médias vérifiables. Les volumes communiqués par les pirates eux-mêmes (notamment pour France Travail) n’ont pas tous été confirmés officiellement, d’où la mention « selon la fuite » dans le tableau.
HaveIBeenPwned : l’outil gratuit pour vérifier votre email (1 minute)
HaveIBeenPwned (HIBP) est créé et maintenu depuis 2013 par Troy Hunt, expert australien reconnu en cybersécurité. La base référence aujourd’hui près de 1,4 milliard de comptes compromis dans des fuites publiques. C’est l’outil de référence pour un premier diagnostic en moins d’une minute.
Le tutoriel en 5 étapes : (1) Allez sur haveibeenpwned.com. (2) Saisissez l’email que vous utilisez le plus. (3) Résultat immédiat : « Oh no — Pwned! » si l’email apparaît dans une fuite, avec la liste des sites et la date, ou « Good news — no pwnage found » si rien ne ressort. (4) Recommencez avec vos autres emails (vous en avez probablement 3 ou 4 : pro, perso, anciens comptes). (5) Inscrivez-vous aux alertes gratuites pour être prévenu en cas de future fuite.
Ce que HIBP fait bien : la base de données est la plus large du marché, l’interface est claire, le service est gratuit, et Troy Hunt reverse une partie à des associations. Ce qu’il ne fait pas : il ne vérifie que les emails et mots de passe associés, pas votre IBAN ni votre numéro de Sécurité sociale. Pour ces données sensibles (IBAN, n° Sécu), c’est Mozilla Monitor qui prend le relais.
Si HIBP vous signale une fuite sur un compte critique (banque, Impots.gouv.fr, CAF), changez immédiatement le mot de passe et activez la double authentification. Pour la navigation au quotidien, on vous recommande aussi de regarder notre comparatif des meilleurs VPN en France : un VPN chiffre votre trafic et limite la collecte de nouvelles données.
Mozilla Monitor : 5 services en 1, l’alternative grand public (2 minutes)
Mozilla Monitor est la version enrichie de HaveIBeenPwned, éditée par la fondation Mozilla (à but non lucratif, éditrice de Firefox). Le service combine 5 couches de protection : (1) vérification email dans les fuites connues (base HIBP), (2) surveillance du dark web et des forums pirates, (3) recherche dans les data brokers qui revendent vos infos, (4) audit de mots de passe faibles ou réutilisés, (5) alertes continues en cas de nouvelle fuite contenant vos données.
Le tutoriel : créez un compte Firefox (gratuit, 1 minute) sur monitor.mozilla.org, saisissez votre email principal, puis lancez le scan complet. Le service propose un plan d’action personnalisé : changer tel mot de passe, supprimer tel compte, faire retirer telle fiche chez un data broker. Le mode gratuit couvre l’essentiel, le mode payant (5 €/mois) ajoute la suppression automatisée des fiches.
Pourquoi on recommande Mozilla plutôt qu’un service 100 % commercial : la fondation est à but non lucratif, n’a aucun intérêt à revendre vos données, et est RGPD-compliant by design (serveurs en Europe, pas de profilage publicitaire). C’est l’outil le plus complet du marché en 2026 pour un particulier.
Cybermalveillance.gouv.fr : l’assistant français pour réagir si vous êtes touché
Cybermalveillance.gouv.fr est le dispositif national d’assistance aux victimes d’actes de cybermalveillance. Il est porté par l’ANSSI (Agence nationale de la sécurité des systèmes d’information) et le ministère de l’Intérieur, avec un réseau de prestataires de proximité référencés.
Trois services gratuits : (1) diagnostic en ligne : vous décrivez votre situation, l’outil vous oriente vers la bonne fiche réflexe (compte piraté, données exposées, hameçonnage, rançongiciel). (2) Mise en relation avec un prestataire labellisé près de chez vous, avec un tarif encadré. (3) Ressources pédagogiques : guides, webinaires, contenus de sensibilisation (notamment pour les seniors et les entreprises).
Quand l’utiliser ? en complément de HIBP et Mozilla Monitor, pas à la place. La logique est : (1) HIBP vous dit si votre email est dans une fuite, (2) Mozilla Monitor vous dit si vos données traînent chez des brokers, (3) Cybermalveillance.gouv.fr vous accompagne dans la réaction si vous constatez une utilisation frauduleuse.
Pour les entreprises qui veulent aller plus loin, le site propose aussi un volet dédié : parcours cyber pour les organisations, avec diagnostic en ligne et mise en relation. À coupler avec notre guide sur la formation cybersécurité en entreprise.
Vous êtes dans une fuite : la marche à suivre en 6 étapes
Vous avez testé votre email sur HIBP et il est dans une fuite, ou vous avez découvert que votre IBAN circule sur Searcher ou un autre agrégateur. Pas de panique, mais agissez vite. Voici la marche à suivre qu’on recommande chez Aspekt, alignée sur les recommandations de la CNIL.
- Changez immédiatement les mots de passe des comptes liés à la fuite (messagerie, banque en ligne, Impots.gouv.fr, CAF, Ameli). Un mot de passe par compte, long et aléatoire — utilisez un gestionnaire (Bitwarden, 1Password, KeePass).
- Activez la double authentification (2FA) sur tous les comptes critiques. Privilégiez une application (Authy, Aegis) au SMS, lui-même vulnérable au SIM-swapping.
- Signalez la fuite à la CNIL via le téléservice dédié (4 clics, à faire même si vous n’êtes pas le responsable de traitement). La CNIL recense les incidents et peut déclencher des contrôles — cf. la page sanctions (France Travail et IQVIA, 5 M€ chacun).
- Déposez un signalement sur THESEE (intégré à 17.net) en cas d’utilisation frauduleuse de vos données. C’est la porte d’entrée unique pour signaler une arnaque en ligne.
- Surveillez vos relevés bancaires pendant 3 à 6 mois. Activez les notifications de transaction en temps réel sur l’appli de votre banque.
- Demandez le gel de votre IBAN à votre banque en cas de fraude au prélèvement SEPA. Procédure rapide (24-48 h) qui bloque les prélèvements non autorisés.
Notre conseil : notez la date de la fuite, conservez une capture d’écran de la notification HIBP, et tenez un journal des démarches. En cas d’action en justice, c’est cette traçabilité qui vous permettra de faire valoir vos droits.
5 réflexes à adopter dès maintenant pour limiter les dégâts
Au-delà de la réaction, l’enjeu en 2026 est d’adopter une hygiène numérique minimale. Voici les 5 réflexes qu’on installe systématiquement chez nos clients entreprises, et qu’on recommande aussi aux particuliers.
- Un mot de passe unique par compte : si vous utilisez le même sur 10 sites, une seule fuite compromet les 10. Utilisez un gestionnaire (Bitwarden, gratuit et open source).
- 2FA partout, app plutôt que SMS : activez la double authentification sur tous les comptes critiques. Préférez Authy ou Aegis au SMS (vulnérable au SIM-swapping).
- Réduisez votre empreinte numérique : retirez-vous des data brokers (Incogni, DeleteMe, ou en manuel via les formulaires RGPD). Mozilla Monitor peut automatiser une partie.
- Ne cliquez jamais sur un lien reçu par SMS ou email non sollicité : 2026 est l’année du « smishing » de masse. En cas de doute, tapez l’URL officielle dans votre navigateur.
- Faites une vérification HIBP tous les 3 mois : 2 minutes tous les 3 mois peuvent vous éviter des mois de galère.
On observe aussi que les fuites 2026 sont de plus en plus utilisées comme matière première pour les IA conversationnelles : un LLM entraîné sur des données personnelles non consenties peut recracher votre adresse ou votre IBAN dans une réponse. Pour comprendre comment vos données sont aspirées et réutilisées par les moteurs d’IA, on vous recommande notre panorama sur le GEO et la manière dont ChatGPT, Perplexity et Gemini citent les sources.
Fuite Searcher : ce qu’on a compris et ce qu’on attend de la justice
Le dossier Searcher évolue vite, mais au 16 juin 2026, voici ce qu’on sait avec certitude, et ce qu’on attend des prochaines semaines.
Ce qu’on sait : le créateur présumé du site, un jeune de 18 ans, a été identifié. Le site agrège environ 1,2 milliard de données issues de 127 piratages distincts (selon Capital et Siècle Digital). Le modèle économique était payant (forfaits à 10, 35 et 75 €). Le gouvernement, via la ministre Anne Le Hénanff, a saisi la justice au titre de l’article 40 du code de procédure pénale, et l’OCLCTIC a ouvert une enquête. Le blocage du site est en cours.
Ce qu’on attend : des poursuites contre le créateur et les vendeurs qui commercialisaient les données sur des canaux Discord, ainsi que des sanctions exemplaires pour effet dissuasif. Chez Aspekt, on suit ce dossier de près pour nos clients entreprises : la multiplication de ces agrégateurs change la donne de la cybersécurité en France, et les directions juridiques ont besoin d’un cadre clair pour réagir (notification aux personnes, dépôt de plainte, communication de crise).
Pour les marques et les dirigeants, c’est aussi un sujet de protection de l’e-réputation : si votre nom, votre IBAN ou votre numéro de Sécu apparaissent dans une fuite, ils peuvent se retrouver indexés par Google et ressortir sur des recherches nominatives. Si vous voulez reprendre la main sur votre marque dans les SERP, on a documenté notre méthode dans notre grille tarifaire netlinking 2026 (la section « protection de marque »).
FAQ — Vos données sont-elles dans une fuite 2026 ?
Searcher est-il encore accessible en France en juin 2026 ?
Au moment où on écrit ces lignes, le site est en cours de blocage en France sur demande du gouvernement, mais des miroirs et des copies circulent déjà. Le plus sûr est de ne pas chercher à le consulter : la consultation elle-même est susceptible de constituer une infraction, et le simple fait de payer pour récupérer ses propres données alimente un modèle économique criminel.
Mes données sont dans Searcher : puis-je les faire retirer ?
Honnêtement, non. Une fois qu’une donnée est dans une fuite, elle y reste, et elle sera recopiée indéfiniment. Ce qu’on peut faire, c’est limiter son impact : changer les mots de passe, activer la 2FA, surveiller ses comptes, déposer plainte via la plateforme THESEE, et faire supprimer ce qui peut l’être chez les data brokers (adresse, téléphone). La suppression de la donnée originelle, elle, n’est plus entre vos mains.
Qui contacter en cas d’utilisation frauduleuse de mes données ?
Trois contacts à connaître, dans cet ordre : (1) votre banque, en cas de fraude au prélèvement ou à la carte bancaire — c’est elle qui peut geler votre IBAN et vous rembourser ; (2) la plateforme THESEE (17.net) pour signaler l’arnaque en ligne ; (3) la CNIL, pour notifier la fuite et faire valoir vos droits RGPD (droit d’accès, droit à la suppression dans la limite du possible).
Combien de temps mes données restent-elles dans une fuite ?
Indéfiniment, en pratique. Une fois qu’une base est publiée, elle est copiée, recompressée, redistribuée, indexée par les moteurs de recherche pirates, revendue par lots. Vous pouvez faire supprimer une fiche chez un broker particulier, mais la donnée originelle, elle, ne disparaît plus. C’est pour cela qu’on insiste sur la prévention (mots de passe uniques, 2FA) plus que sur le nettoyage, qui est par nature partiel.
La règle d’or face aux fuites de données en 2026
La règle d’or, c’est de considérer que vous avez probablement au moins une donnée exposée quelque part. Ce n’est pas une raison de paniquer, mais c’est une raison d’agir dès ce soir : vérifiez votre email principal sur HaveIBeenPwned, créez un compte Mozilla Monitor pour le suivi continu, activez la 2FA sur vos comptes critiques, et programmez un rappel dans 3 mois. Pour les entreprises, le sujet est plus structurel : audit de surface exposée, plan de notification, cellule de crise prête à l’emploi.
Aspekt propose un diagnostic de surface exposée pour identifier si votre marque, vos dirigeants ou vos collaborateurs-clés apparaissent dans les fuites 2026. Pour aller plus loin, on a aussi documenté nos conseils de cybersécurité en voyage et notre panorama des outils IA à mobiliser en entreprise (Claude, ChatGPT, Gemini).
Sources
- BFMTV (12 juin 2026) — Searcher : le gouvernement saisit la justice contre le site qui permet de chercher des informations personnelles issues de bases de données volées
- 20 Minutes (12 juin 2026) — Un moteur de recherche expose des données confidentielles de nombreux Français, le gouvernement saisit la justice
- Capital (11 juin 2026) — Identité, IBAN, numéro de Sécu : un moteur de recherche gratuit dévoile des millions de données de Français
- Siècle Digital (14 juin 2026) — Un moteur de recherche donne accès à des données personnelles volées, le gouvernement saisit la justice
- Futura Sciences (12 juin 2026) — Votre vie privée portée à clic : une enquête révèle numéro de Sécu, IBAN, rendez-vous médicaux en une simple recherche
- CNIL — Cyberattaque : le sous-traitant au centre de la crise (notification 72 h, obligations RGPD, sanctions).
- CNIL — Page sanctions (France Travail 5 M€, IQVIA 5 M€, méthodologie de contrôle).
- HaveIBeenPwned — haveibeenpwned.com (outil gratuit de vérification email, ~1,4 Md de comptes indexés).
- Mozilla Monitor — monitor.mozilla.org (5 services en 1 : fuites, dark web, data brokers, mots de passe, alertes).
- Cybermalveillance.gouv.fr — cybermalveillance.gouv.fr (dispositif national ANSSI + ministère de l’Intérieur).