ZATAZ decouvre 1,7 milliard d'identifiants francais dans un cloud pirate — la plus grande fuite jamais documentee
Le chercheur en cybersecurite ZATAZ a identifie 1 706 581 143 identifiants francais uniques stockes dans un cloud pirate — soit environ 25 identifiants par resident francais. Cinq fichiers (28 Go au total) deposes entre le 25 juillet et le 7 aout 2026. 69 % proviennent de 13 ans de phishing, 31 % de fuites exposant des mots de passe en clair. Simultanement, 43 attaques par ransomware ont cible la France en un seul mois. C'est la plus grande compilation d'identifiants francais jamais documentee.
QUI QUOI QUAND OU POURQUOI
ZATAZ (Damien Bancal), reference francaise en veille cybersecurite depuis 1989, a decouvert et documente la fuite.
1 706 581 143 identifiants francais uniques (emails, logins, mots de passe) stockes dans un cloud pirate. Zero doublons.
Cinq fichiers deposes entre le 25 juillet et le 7 aout 2026. Donnees accumulees sur 13 ans de campagnes.
Heberges sur une infrastructure cloud piratee, indexes sur des forums du dark web.
Compilation massive destinee a la revente et a l'exploitation : credential stuffing, usurpation d'identite, acces initiaux pour des attaques ciblees contre des entreprises francaises.
Ce n'est pas une fuite de plus — c'est un changement de paradigme. Quand le volume d'identifiants compromis depasse de 25 fois la population d'un pays, on ne parle plus de risque hypothetique. Chaque salarie de chaque entreprise francaise a statistiquement plusieurs credentials dans cette base. Le modele de securite perimertrique est mort : toute politique de securite qui repose encore sur "login + mot de passe" comme seul rempart est desormais une porte ouverte.
L'ampleur de la decouverte : 1,7 milliard d'enregistrements uniques
Le 9 aout 2026, le site de veille cybersecurite ZATAZ, anime par le journaliste et chercheur Damien Bancal, a revele l'existence d'une base de donnees colossale hebergee sur une infrastructure cloud detournee. Le volume est sans precedent : 1 706 581 143 identifiants francais uniques, repartis dans cinq fichiers deposes entre le 25 juillet et le 7 aout 2026.
Les fichiers pesaient respectivement 9, 8, 6, 3 et 2 Go — soit environ 28 Go de donnees brutes. L'analyse de ZATAZ a confirme un point crucial : zero doublons. Chaque enregistrement est unique. Pour mettre ce chiffre en perspective, la France comptait environ 69 millions de residents au 1er janvier 2026 selon l'INSEE. Cela represente donc pres de 25 identifiants compromis par habitant.
La ventilation des sources revele deux grandes familles d'origines. Environ 69 % des enregistrements — soit pres de 1,18 milliard — proviendraient de campagnes de phishing accumulees sur treize annees. Les 31 % restants, environ 529 millions d'entrees, seraient issus de fuites de donnees ayant expose des mots de passe stockes en clair ou faiblement hashes dans les bases de services en ligne.
Chronologie du depot des fichiers
Phishing et fuites de donnees : les deux moteurs de la catastrophe
La predominance du phishing (69 % des entrees) n'est pas une surprise pour les professionnels du secteur, mais son echelle l'est. Treize annees de campagnes de phishing, allant du courriel grossier imitant une banque aux attaques de spear-phishing ciblees contre des cadres dirigeants, ont alimente un reservoir gigantesque. Chaque vague de phishing reussie a ajoute quelques milliers ou millions de lignes a cette base cumulative.
Les 31 % issus de fuites de donnees — 529 millions d'entrees — temoignent d'un autre probleme structurel : le stockage de mots de passe en clair ou avec un hachage insuffisant. Des services en ligne, parfois majeurs, ont expose des annees de credentials utilisateurs lors de breches. Ces mots de passe, une fois en circulation, alimentent des attaques de credential stuffing a grande echelle, car la reutilisation de mots de passe reste une habitude repandue.
Le ratio 69/31 revele un echec collectif sur deux fronts. Cote phishing : 13 ans de campagnes de sensibilisation n'ont pas suffi. Les formations annuelles "cochez la case" ne fonctionnent pas. Il faut des simulations mensuelles, du feedback en temps reel et une culture securite portee par la direction. Cote fuites : les entreprises qui stockent encore des mots de passe en clair en 2026 commettent une negligence grave au sens du RGPD. L'ANSSI et la CNIL doivent intensifier les controles.
L'echelle : quand les identifiants depassent la population
Pour saisir l'ampleur du phenomene, il faut le rapporter a la realite demographique. La France metropolitaine et ses territoires d'outre-mer comptent environ 69 millions d'habitants selon les dernieres estimations de l'INSEE (janvier 2026). Avec 1,7 milliard d'identifiants, le ratio s'etablit a environ 25 identifiants compromis par resident.
Ce ratio ne signifie evidemment pas que chaque Francais possede 25 comptes compromis — la distribution est inegale, certains comptes d'entreprise apparaissent plusieurs fois avec des variantes de mots de passe, et une partie des identifiants peut concerner des comptes lies a des organisations plutot qu'a des individus. Mais la conclusion reste la meme : la quasi-totalite des adultes connectes du pays a au moins plusieurs identifiants dans cette base.
Echelle de la fuite vs. population francaise
Le credential stuffing va exploser dans les semaines qui viennent. Avec 1,7 milliard de paires login/mot de passe, les attaquants disposent d'un arsenal quasi illimite pour tenter des connexions automatisees sur tous les services francais — banques, assurances, SaaS d'entreprise, messageries. Les organisations qui n'ont pas encore deploye le MFA et la detection de connexions suspectes doivent considerer cela comme une urgence absolue, pas comme un projet Q4.
Contexte aggravant : 43 attaques par ransomware en un mois
Cette mega-fuite ne survient pas dans un vide. Au cours de la meme periode, ZATAZ a recense pas moins de 43 revendications de ransomware ciblant des organisations francaises en un seul mois. Parmi les incidents notables, le groupe de ransomware Qilin a menace le Stade Francais, club de rugby parisien emblematique, en mettant en ligne des documents d'identite de membres du personnel.
Le 11 aout 2026, une nouvelle attaque revendiquee sur un forum specialise a cible BlgCloud/Loutz, exposant potentiellement des donnees supplementaires. Cette conjonction entre la disponibilite massive d'identifiants compromis et l'intensification des campagnes de ransomware n'est pas une coincidence : les identifiants voles servent d'acces initial aux attaquants, qui les utilisent pour penetrer les reseaux d'entreprise avant de deployer leurs rancongiciels.
Les sources qui ont couvert cette actualite incluent Economie Matin, Planet.fr, Armees.com et Les-Smartgrids.fr, temoignant de l'interet que suscite cette decouverte bien au-dela des cercles specialises en cybersecurite.
Chiffres cles — aout 2026
Impact pour les entreprises francaises
Pour les RSSI, DSI et dirigeants d'entreprises francaises, cette decouverte impose une reevaluation immediate de la posture de securite. Les consequences concretes se declinent sur plusieurs axes :
Credential stuffing a echelle industrielle. Les attaquants disposent desormais d'un reservoir pratiquement inepuisable de couples email/mot de passe pour tenter des connexions automatisees. Les services qui n'imposent pas le MFA (authentification multi-facteurs) sont en premiere ligne. Les plateformes SaaS d'entreprise, les VPN, les portails RH et les messageries professionnelles representent des cibles de choix.
Spear-phishing hyper-personnalise. Au-dela des simples logins, la correlation entre les differentes entrees de la base permet de reconstituer des profils detailles : ou un cadre a des comptes, quels services il utilise, quels mots de passe il reutilise. Ces informations alimentent des campagnes de phishing cible d'une precision redoutable.
Risque reglementaire accru. Dans le contexte NIS2 et DORA, les entreprises qui n'auront pas pris de mesures proactives face a cette menace documentee s'exposent a une responsabilite accrue en cas d'incident. L'argument "on ne savait pas" ne tient plus quand la presse grand public relaie l'information.
Attaques de supply chain. Un compte compromis chez un prestataire ou un fournisseur peut devenir le point d'entree vers votre propre systeme d'information. La compromission en cascade est un scenario de plus en plus frequent, et cette base geante multiplie les points d'entree potentiels.
Chaine d'exploitation des identifiants compromis
Ce que ca signifie pour votre entreprise : actions immediates
Face a l'ampleur de cette compromission, la passivite n'est pas une option. Voici les mesures que nous recommandons de mettre en oeuvre sans delai :
-
1
Forcez un reset global des mots de passe critiques
Active Directory, VPN, messagerie, applications metier — imposez une reinitialisation avec des regles de complexite renforcees (16 caracteres minimum, pas de reutilisation des 10 derniers mots de passe).
-
2
Deployez le MFA partout, sans exception
Privilegiez les cles FIDO2/WebAuthn ou les applications TOTP. Evitez le SMS comme second facteur. Le MFA bloque plus de 99 % des attaques par credential stuffing.
-
3
Mettez en place une surveillance dark web
Souscrivez a un service de monitoring qui scrute les forums, marketplaces et paste sites pour detecter la presence de vos domaines d'entreprise dans les bases compromises.
-
4
Lancez des simulations de phishing mensuelles
Pas une fois par an "pour cocher la case conformite", mais des campagnes regulieres avec feedback immediat et coaching personnalise pour les collaborateurs qui cliquent.
-
5
Adoptez une architecture Zero Trust
Ne faites confiance a aucune connexion par defaut, meme depuis le reseau interne. Chaque acces doit etre verifie, chaque session limitee dans le temps, chaque privilege minimal.
-
6
Auditez vos fournisseurs et sous-traitants
La supply chain est le maillon faible. Verifiez que vos partenaires appliquent des mesures equivalentes — un compte compromis chez un prestataire peut devenir votre breche.
Vos identifiants sont-ils dans cette base ?
Nos equipes Threat Intelligence peuvent verifier la presence de vos domaines d'entreprise dans les bases compromises du dark web et vous fournir un rapport detaille sous 48h.
Demander un audit de compromission →Predictions : ce qui va suivre
A court terme, dans les semaines et mois suivant cette revelation, plusieurs phenomenes sont previsibles :
Vague de credential stuffing massive. Les donnees sont desormais dans la nature. Des dizaines de groupes criminels vont les exploiter simultanement, ciblant en priorite les services financiers, les assurances et les plateformes e-commerce francaises. Attendez-vous a une recrudescence de comptes compromis dans les prochaines semaines.
Acceleration reglementaire. Cette affaire va probablement accelerer la mise en application des sanctions NIS2 et renforcer les exigences de la CNIL sur le stockage securise des mots de passe. Les entreprises non conformes seront dans le viseur.
Consolidation du marche du ransomware. Les 43 attaques par ransomware en un mois ne sont qu'un apercu. Avec un acces facilite aux reseaux d'entreprise via les identifiants compromis, les groupes comme Qilin vont intensifier leurs operations contre les cibles francaises.
Prise de conscience (enfin ?). Le fait que des medias grand public relaient l'information est positif. Si cette prise de conscience se traduit par des budgets cybersecurite reellement a la hauteur des enjeux, cette crise aura au moins eu un benefice. Mais l'histoire montre que l'attention retombe vite.
Les entreprises qui reagiront dans les 30 prochains jours limiteront considerablement les degats. Les autres subiront. Ce n'est pas du catastrophisme — c'est de la mathematique. 1,7 milliard de cles sont dans la nature. La question n'est plus "serons-nous attaques ?" mais "combien de nos portes ces cles ouvrent-elles ?". Chez WebGuard Agency, nous recommandons de traiter cette situation comme un incident de securite en cours, meme si aucune compromission n'a encore ete detectee chez vous. Parce que l'absence de detection n'est pas une preuve d'absence.
Questions frequentes
Vous ne trouvez pas la reponse a votre question ?
1,7 milliard de raisons de renforcer votre cybersecurite
Ne laissez pas vos identifiants devenir le prochain point d'entree. Nos experts Threat Intelligence sont prets a auditer votre exposition.