Nous écrireTop 5 des cyberattaques les plus marquantes
5 grandes cyberattaques des plus importantes ces dernières années
Les cyberattaques en 2026 se professionnalisent toujours davantage, s'industrialisent même, et s'appuient désormais sur l'intelligence artificielle pour gagner en précision et en vitesse.
La France ne fait pas figure d’exception et toutes les organisations sont concernées par ces menaces : PME, ETI, grands groupes, collectivités, établissements de santé… Elles se forment et s’équipent en outils de cybersécurité, avec des résultats puisque la proportion d'entreprises qui déclarent avoir subi au moins une cyberattaque réussie est passée de 65% en 2019 à 40% en 2025.(1)
Toutefois, la pression reste forte, notamment sur la disponibilité des services et la protection des données, et malgré cette baisse (déclarative), l’impact sur les entreprises pèse toujours aussi lourd.
Alors oui, la prise de conscience collective des enjeux de sécurité et l’adoption croissante de mesures de protection sont réelles, mais les hackers parviennent encore à réaliser des coups d’éclat, notamment avec l’arrivée de l’IA.
Retour sur ces 5 cyberattaques importantes parce qu’emblématiques ces dernières années expliquées par notre expert en cybersécurité Xavier Poinsignon.
mis à jour le 24/06/2026
Xavier Poinsignon
Découvrez l'actualité de SFR Business
Chaque mois, recevez directement dans votre boîte mail une newsletter qui décrypte l'actualité et les grandes tendances des technologies de l'information et de la communication, telles que la connectivité, la cybersécurité, le cloud, les communications unifiées, la 5G et les services managés.
Recevoir votre newsletter
Sommaire
- 01Fuite de données ANTS : Le danger des failles logiques
- 02Attaque DDoS Cloudflare : Le palier des téra-attaques
- 03Rançongiciel Qilin : 200 lycées paralysés par une pièce jointe
- 04Eurofiber France : La menace invisible de la supply chain
- 05Incident Arup : L'arnaque au président augmentée par deepfake
01 - ANTS, la plus grande fuite de données administratives jamais enregistrée en France
Une faille de type IDOR (Insecure Direct Object Reference) est une erreur de conception applicative. En modifiant un simple identifiant dans une requête, un attaquant accède aux données d'un autre utilisateur, sans aucune vérification d'identité.
Ce qu'il s'est passé
Le 15 avril 2026, le portail France Titres de l'Agence nationale des titres sécurisés (ANTS), qui gère les demandes de cartes d'identité, de passeports et de permis de conduire, a été la cible d'une cyberattaque(2). Et le ministère de l'Intérieur a bien confirmé que des strong>
Un hacker se faisant appeler breach3d a mis en vente sur un forum cybercriminel une base contenant entre 18 et 19 millions d'enregistrements. Ce qui constituerait l'une des plus importantes fuites de données administratives que la France ait jamais connue.
La faille exploitée serait de type IDOR : il suffisait de modifier un identifiant dans une requête pour accéder aux données d'un autre utilisateur, sans aucun contrôle.
L'enquête a été confiée à l'Office anti-cybercriminalité (Ofac), saisi par le parquet de Paris après signalement le 16 avril.
Avec les données exposées (noms, adresses, dates de naissance, numéros de téléphone), il n’est cependant pas possible d'accéder directement à un compte utilisateur, mais ces datas représentent un arsenal redoutable pour lancer des campagnes de phishing ciblé.
Cette faille CVE-2024-21410 permettait à un attaquant non authentifié d’usurper l’identité d’un utilisateur légitime afin d’obtenir des privilèges élevés sur le serveur Exchange.
Ce que cela révèle
Cette attaque rappelle que les vulnérabilités les plus dévastatrices ne sont pas toujours les plus sophistiquées. Une erreur de logique applicative, accessible sans outil spécialisé, suffit à exposer des millions de profils.
Au premier trimestre 2026, la France était le deuxième pays le plus touché au monde par les fuites de données(3): ce classement s'explique en partie par des lacunes persistantes dans la sécurisation des applications publiques et privées.
Nos conseils pour réduire votre exposition
- Réalisez des tests d'intrusion applicatifs réguliers(pentests) : ils détectent les failles de logique métier qu'un simple scan de vulnérabilités ne repère pas.
- Mettez en place des contrôles d'accès stricts côté serveur : chaque requête doit vérifier que l'utilisateur authentifié est bien autorisé à accéder à la ressource demandée, et non uniquement que la ressource existe.
- Surveillez les comportements anormaux : une multiplication de requêtes sur des identifiants séquentiels est un signal d'alerte détectable par des solutions SIEM ou un SOC (Security Operation Center).
- Sensibilisez vos collaborateurs et vos clients au phishing consécutif à une fuite : les données volées servent souvent de base à des campagnes d'hameçonnage très ciblées dans les semaines suivant l'incident.
02 - Cloudfare, l’attaque DDoS record qui franchit un palier de risque inédit
Une attaque par déni de service distribué (DDoS) vise à saturer un site ou un service pour le rendre indisponible. Pour ce faire, les attaquants utilisent aujourd’hui des moyens considérables, mêlant objets connectés piratés et ressources Cloud détournées.
Ce qu'il s'est passé
En septembre 2025, Cloudflare a bloqué la plus grosse attaque jamais enregistrée(3) : un pic à 11,5 Térabits par seconde et plus de 5 milliards de paquets par seconde, sur seulement 35 secondes.
Ce type d’offensive très brève mais ultra-intense devient la norme : l’objectif est de frapper si vite que les équipes n’aient pas le temps d’agir manuellement.
Au 1er trimestre 2025, Cloudflare indiquait avoir déjà bloqué 20,5 millions d’attaques DDoS, presque autant que sur toute l’année 2024, avec une forte hausse des attaques au niveau réseau. Il faut savoir qu’en 2024, un fournisseur d’accès asiatique avait déjà subi une attaque record à l’époque (5,6 Tbps, 666 millions de paquets/s, 80 s). Ce record de septembre 2025 a nettement relevé la barre.
Ce que dit l'expert
“Les DDoS visent souvent les e-commerçants et les fournisseurs de service en ligne et la non-disponibilité de leur site web ou application engendre directement des pertes financières,"
indique notre expert.
Cette attaque est la plus grosse attaque DDoS jamais enregistrée, avec un volume de surcharge inédit, on parle de “téra-attaque”.
Comment se prémunir d’une attaque DDoS au maximum ?
- Protection Anti‑DDoS en cœur de réseau : protégez en amont vos accès Internet. En cas d’attaque « volumétrique », le trafic est nettoyé pour préserver le trafic légitime et maintenir votre activité pendant l’incident.
- Redirection cloud et centres de nettoyage : selon votre exposition, activez une redirection vers des capacités de scrubbing afin de filtrer automatiquement les flux indésirables, y compris lors de pics très courts.
- Protection Anti‑DDoS sur site : déployez, en bordure de votre SI, des dispositifs adaptés pour détecter et bloquer les attaques « applicatives » (site, API, portails métiers) et celles visant les couches réseau intermédiaires ; complétez avec un WAF et des protections anti‑bot.
- Supervision et réponse 24/7 par un SOC : appuyez‑vous sur une équipe d’experts pour la surveillance continue, les alertes, le déclenchement automatisé des contre‑mesures et l’accompagnement pendant l’attaque, avec amélioration continue des politiques de défense.
- Visibilité et pilotage via selfcare : bénéficiez d’une visibilité détaillée (indicateurs, reporting) et d’un contrôle des mécanismes de défense pour décider rapidement et ajuster vos protections.
- Tests et préparation : testez régulièrement la bascule de protection (délais d’activation, continuité d’accès), formalisez un plan d’escalade simple (qui contacter, seuils d’alerte, messages clients) et vérifiez la protection de vos dépendances clés (DNS, hébergeur, CDN, SaaS).
Xavier Poinsignon précise :
“Mettre en place un équipement dédié à la lutte DDoS ou devant ses serveurs exposés et critiques, est aussi très recommandé contre une famille d'attaque DDoS spécialisées contre les applications”
03 - Quand un rançongiciel paralyse 200 lycées en une nuit
Un rançongiciel est un logiciel malveillant qui chiffre les données d'une organisation et exige une rançon en échange de leur restitution. Il se propage souvent à partir d'un simple clic sur une pièce jointe infectée.
Ce qu'il s'est passé
Le 10 octobre 2025, une attaque massive a paralysé une grande partie des lycées publics des Hauts-de-France(4) : 80 % des établissements ont été touchés, les ordinateurs coupés, et les accès Internet suspendus.
Derrière cette offensive figure le groupe Qilin, un réseau criminel opérant selon un modèle de rançongiciel en franchise : ses affiliés conduisent les attaques et reversent une commission de 15 à 20 % au groupe central. Qilin a revendiqué l'exfiltration de près d'un téraoctet de données sensibles, dont des pièces d'identité et des documents administratifs.
Quelle a été la porte d'entrée ? Il a suffi d'une seule personne parmi les 200 000 utilisateurs du système pour ouvrir une pièce jointe piégée. C'est précisément ce mécanisme qui a déclenché toute la chaîne. Plus de trois mois après, les outils pédagogiques et administratifs n'étaient pas pleinement rétablis.
Ce que cela révèle
Cette attaque démontre que les établissements d'enseignement et, plus largement, tout organisme disposant d'une large base d'utilisateurs peu sensibilisés (on se souvient des hôpitaux notamment), constituent des cibles de choix. La surface d'exposition d'un réseau à 200 000 comptes actifs est immense ; un seul comportement à risque suffit à y introduire une menace.
Nos conseils pour réduire votre exposition
Quatre leviers complémentaires s'imposent :
- La sensibilisation continue des équipes et des utilisateurs, à tous les niveaux de l'organisation ; le premier rempart incontournable.
- Le filtrage avancé de la messagerie : des solutions analysent chaque pièce jointe et évaluent en temps réel la réputation de chaque URL avant que l'utilisateur puisse cliquer.
- La segmentation réseau : elle limite la propagation d'un rançongiciel en isolant les périmètres infectés dès les premières secondes de détection.
- Un plan de continuité d'activité (PCA) testé : savoir reprendre en mode dégradé, avec des sauvegardes hors ligne récentes, réduit considérablement le temps de rétablissement et l'impact opérationnel.
04 - Eurofiber France : 3 600 entreprises victimes d'un patch laissé de côté
La gestion des vulnérabilités, ou patch management, consiste à appliquer régulièrement les correctifs de sécurité publiés par les éditeurs logiciels. Un patch non installé est une porte laissée ouverte.
Ce qu'il s'est passé
Le 13 novembre 2025, la filiale française du groupe néerlandais Eurofiber a été la cible d'une cyberattaque d'envergure. L'attaquant a ciblé une vulnérabilité dans la plateforme de gestion des tickets de l'entreprise pour en exfiltrer les données(5).
Le groupe cybercriminel ByteToBreach a exploité une faille de type injection SQL (référencée CVE-2025-24799) dans le logiciel GLPI. Au total, plus de 3 600 organisations françaises ont été compromises : plusieurs ministères, Thales, Airbus, TotalEnergies et de nombreuses grandes enseignes nationales comme la SNCF.
Le bilan technique fut lourd : les pirates ont revendiqué l'extraction de mots de passe chiffrés, de clés SSH, de tokens d'API, d'historiques de tickets support avec identifiants partagés, de fichiers de configuration VPN et de certificats.
Le détail le plus accablant de l'affaire : la faille exploitée faisait l'objet d'une mise à jour disponible depuis février 2025. Cette négligence est à l'origine de toute l'attaque. Dix mois séparaient la publication du correctif de l'intrusion.
Ce que cela révèle
Eurofiber occupe une position centrale dans l'infrastructure numérique française. Avec plus de 10 000 km de fibre déployés dans l'Hexagone, l'entreprise fournit directement ou indirectement une connectivité à une très grande part des entreprises du pays ; ce qui explique l'échelle potentiellement dévastatrice de cette fuite.
Cette attaque illustre un risque souvent sous-estimé : celui de la chaîne de sous-traitance numérique. Votre organisation peut avoir consolidé sa propre sécurité ; si l'un de vos prestataires néglige les mises à jour, vos données et vos accès restent exposés.
Nos conseils pour réduire votre exposition
- Cartographiez vos dépendances tierces : identifiez les prestataires qui hébergent ou traitent vos données critiques et incluez-les dans votre politique de gestion des risques.
- Imposez des exigences contractuelles de sécurité à vos fournisseurs, notamment sur les délais d'application des patchs.
- Activez une surveillance continue de vos périmètres exposés. Un SOC détecte les comportements anormaux avant que l'exfiltration ne soit consommée.
- Segmentez les accès : des clés SSH, tokens et identifiants VPN partagés entre plusieurs systèmes constituent une menace en cascade. Le principe du moindre privilège limite considérablement la propagation d'une compromission.
05 - Arup : une arnaque au président augmentée par un deepfake
En matière de cybersécurité, l’email a longtemps été le point faible des entreprises. Les cyberattaques par email, de plus en plus perfectionnées, consistent souvent à usurper l’identité d’un tiers ou à envoyer une pièce jointe ou un lien infecté. L’arnaque au président est une attaque qui consiste à se faire passer pour un dirigeant afin de demander des ordres de virement vers un faux compte. Désormais, les arnaques au président s’appuient également sur des deepfakes.
Ce qu'il s'est passé
Arup, une multinationale britannique, en a fait les frais. Un employé de son bureau de Hong Kong, pensant participer à une visioconférence avec son directeur financier et d’autres collègues, a reçu l’instruction de transférer des fonds en urgence. Seulement voilà : hormis le collaborateur, tous les participants à cette réunion virtuelle étaient fictifs et générés, de façon plus vraie que nature, par intelligence artificielle. Abusé par cette mise en scène, le salarié a effectué une quinzaine de virements bancaires d’un montant total de 25 millions de dollars.(6)
Ce que dit l'expert
“Si la sensibilisation des collaborateurs joue un rôle essentiel dans la détection des emails malveillants, il existe des solutions performantes pour se protéger de ce vecteur d’attaque. Par exemple, des programmes analysent et filtrent les emails pour lutter contre les malwares (logiciels nuisibles). Ils scannent également leur contenu (texte et images) et évaluent en temps réel la sécurité de chaque URL contenu afin d’éviter le phishing. Certaines solutions s’appuient sur le machine learning pour confirmer l’identité de l’envoyeur et éviter les impostures”,
nous explique Xavier Poinsignon.
Notre conseil pour mieux vous protéger d'une arnaque au président
Imposez une validation à deux canaux pour tout virement sensible (contre-appel vers un numéro validé) et refusez tout changement d’IBAN sans vérification hors email.
La multiplication des terminaux le développement du travail hybride, des nouveaux usages et des services dans le Cloud sont autant de facteurs cyber risques qui complexifient le SI de votre entreprise.
Dans un contexte de transformation digitale qui s’accélère, bon nombre d’entreprises subissent de plus en plus d’attaques.
Résultat : les responsables sont amenés à colmater les brèches avec des briques de sécurité assemblées à la manière d’un patchwork... rendant de plus en plus difficile la gestion du réseau.
Au travers de son expertise et de ses labels, SFR Business simplifie et rationalise en fournissant une approche et des solutions globales qui sécurisent la chaîne de bout en bout (du terminal jusqu’au cloud).
Nos solutions de cybersécurité, de la PME au grand groupe, visent à protéger l’entreprise face aux menaces, tout en optimisant et en simplifiant la gestion de ses défenses.
Besoin d’aide pour choisir une offre SFR Business ?
Nos conseillers vous accompagnent sur nos offres
de 9h à 18h - du lundi au vendredi, hors jour férié. Services et appels gratuits.
FAQ
Une fuite de données sur un portail que j'utilise me concerne-t-elle si mes mots de passe n'ont pas été volés ?
Oui, et l'attaque contre l'ANTS en avril 2026 l'illustre : les 19 millions de profils exposés ne contenaient pas de mots de passe, mais noms, prénoms, dates de naissance, adresses et numéros de téléphone. Ces données suffisent à construire des campagnes de phishing extrêmement ciblées, voire des tentatives d'usurpation d'identité.
Pour vos collaborateurs comme pour vos clients, le risque est réel dans les semaines qui suivent une fuite.
Deux réflexes à adopter systématiquement :
- activer la double authentification sur tous les services sensibles,
- et sensibiliser vos équipes à la recrudescence des messages frauduleux après chaque incident médiatisé.
Comment détecter qu'une visioconférence avec ma direction est un deepfake ?
C'est précisément ce qu'un collaborateur d'Arup n'a pas su faire, dupé par une cyberattaque élaborée par IA.
Face à une réunion vidéo reconstituée par intelligence artificielle, il a effectué quinze virements pour un total de 25 millions de dollars. Les participants semblaient authentiques par leurs voix, visage, gestuelle.
Aucun outil ne garantit une détection infaillible en temps réel. La parade est donc organisationnelle, pas uniquement technique.
Trois règles à formaliser dans votre entreprise :
- Zéro virement sur instruction reçue uniquement en visioconférence : tout ordre de paiement sensible exige une confirmation par un second canal indépendant (appel téléphonique vers un numéro enregistré, validation par email signé).
- Un mot de code interne pour les situations inhabituelles : un terme convenu à l'avance entre collaborateurs permet de vérifier l'authenticité d'un interlocuteur sans alerter un éventuel fraudeur.
- Sensibiliser les équipes financières et RH en priorité : ce sont les cibles désignées de ce type d'attaque, car elles ont accès aux virements et aux données personnelles.
Comment éviter la mauvaise configuration Cloud qui ouvre la porte aux fuites massives de données ?
- Côté gouvernance : politique de classification des données, règles d’accès minimaux, validation systématique des partages externes, revue périodique des droits.
- Côté technique : CASB pour surveiller les usages SaaS, CSPM pour vérifier en continu les configurations des environnements cloud, chiffrement par défaut des données sensibles, journalisation centralisée et alertes en temps réel. Sans oublier de former les équipes aux “checklists” de configuration avant toute mise en production et réalisez des audits réguliers.
Une attaque DDoS de quelques secondes peut-elle vraiment paralyser mon activité ?
Oui. Ces offensives éclairs veulent précisément saturer vos ressources avant toute réaction humaine. En septembre 2025, l'attaque record enregistrée par Cloudflare a atteint 11,5 térabits par seconde en 35 secondes, et aucune équipe ne peut réagir manuellement à cette vitesse.
Même les PME actives en ligne (e-commerce, portails clients, API) sont dans le viseur : une indisponibilité de quelques heures se traduit directement en perte de chiffre d'affaires et en atteinte à la réputation.
La seule réponse efficace est une protection automatique en cœur de réseau, complétée d'un WAF et d'une redirection vers des centres de nettoyage du trafic en cas de pic.
Replay du webinaire sur les attaques DDoS
Mon prestataire informatique a été piraté. Suis-je exposé sans l'avoir été moi-même ?
C'est précisément le scénario Eurofiber : 3 600 entreprises clientes ont vu leurs accès, leurs configurations VPN et leurs identifiants compromis sans avoir été directement attaquées.
Une faille chez un fournisseur suffit à ouvrir la porte à vos propres systèmes. Pour réduire ce risque, trois actions s'imposent :
- cartographier les prestataires qui accèdent à vos données ou à vos infrastructures,
- leur imposer contractuellement des exigences de sécurité (délais de patch, audits),
- et appliquer le principe du moindre privilège où chaque accès tiers doit être strictement limité à ce qui est nécessaire, et révocable immédiatement.
Un ransomware peut-il paralyser mon organisation pendant des semaines, même si je ne suis pas une grande entreprise ?
Oui, et le cas des lycées des Hauts-de-France en octobre 2025 le démontre concrètement : trois mois après l'attaque, les outils n'étaient pas pleinement rétablis.
Le rançongiciel Qilin a suffi à couper l'accès à internet et aux serveurs de 80 % des établissements de la région. Le vecteur d'entrée ? Une seule pièce jointe ouverte parmi 200 000 utilisateurs.
Dans votre entreprise, le ratio est identique. La protection repose sur quatre piliers :
- filtrage de la messagerie,
- EDR sur les postes,
- segmentation réseau pour bloquer la propagation,
Mentions légales
(2)https://ants.gouv.fr/toute-l-actualite/incident-de-securite-relatif-au-portail-antsgouvfr
(3)https://www.clubic.com/actualite-577728-cloudflare-vient-de-bloquer-la-plus-grosse-attaque-ddos-jamais-enregistree.html et https://x.com/Cloudflare/status/1962953494459252843 et https://www.clubic.com/actualite-577728-cloudflare-vient-de-bloquer-la-plus-grosse-attaque-ddos-jamais-enregistree.html
(4)https://www.hautsdefrance.fr/incident-de-cybersecurite-dans-plusieurs-lycees-de-la-region-hauts-de-france/ et https://www.75secondes.fr/actualites/une-cyberattaque-vise-les-lycees
(5)https://www.channelnews.fr/cyberattaque-majeure-contre-eurofiber-france-152927
(6)https://trustpair.com/fr/blog/deep-fake-a-25-millions-la-fraude-aurait-elle-pu-etre-evitee/