Cyberattaques 2026 : secteur privé et volet européen
SFR, Dipeeo, la Commission européenne elle-même : la vague de cyberattaques de 2026 ne se limite ni au secteur public français ni aux frontières nationales. Ce deuxième volet du dossier consacré aux failles de sécurité de 2026 couvre le secteur privé et le contexte européen, avant d'aborder, dans les volets suivants, les impacts concrets et le cadre légal applicable.
Les acteurs privés également touchés : le cas SFR
SFR a détecté, le 2 juillet 2026, un accès non autorisé à un outil interne de gestion des raccordements Fibre. L'opérateur a confirmé l'exposition temporaire de données (adresse, e-mail, téléphone) de ses abonnés fibre, sans compromission des mots de passe ni des données bancaires. Une revendication publiée le 17 juillet évoquait plus de 2,1 millions de lignes extraites. SFR a notifié la CNIL et déposé plainte (source : communication de SFR à ses abonnés). Il s'agit du troisième incident de sécurité de l'opérateur, après un épisode en décembre 2025 et une fuite de coordonnées bancaires en 2024. Cet épisode s'inscrit dans un flux quasi continu de revendications répertoriées par les plateformes de veille spécialisées (cyberattaque.org, FrenchBreaches) : entreprises de tous secteurs, éditeurs de logiciels ou registrars de noms de domaine sont concernés, à un rythme désormais quasi hebdomadaire.
Même les spécialistes de la conformité RGPD ne sont pas épargnés : le cas Dipeeo
Le 25 août 2026, un pirate revendique avoir extrait une base de données de Dipeeo, société française spécialisée dans l'accompagnement RGPD et les services de DPO externalisé. Selon cette revendication, non vérifiée de manière indépendante à la date de rédaction, les données concerneraient les comptes clients, les utilisateurs, les responsables juridiques et les sous-traitants[1]. Au-delà de son exactitude qui reste à confirmer, cette affaire illustre un point de doctrine essentiel : même les organisations dont le métier est la conformité ne sont pas à l'abri d'une attaque.
« Personne n'est épargné » : c'est, mot pour mot, le constat dressé par la présidente de la CNIL, Marie-Laure Denis, dans le rapport annuel 2025 de l'institution : PME, associations, collectivités et grands groupes sont tous concernés (source : CNIL, rapport annuel 2025, 18 mai 2026).
Autant se protéger.
Le volet européen : la France n'est pas un cas isolé
Les mêmes tendances se retrouvent, à plus grande échelle, au niveau de l'Union européenne. Selon le Threat Landscape 2025 de l'ENISA, publié en octobre 2025 (période juillet 2024-juin 2025), 4 875 incidents ont été analysés à l'échelle européenne. Les administrations publiques constituent la cible n° 1 (38 % des cas), les infrastructures numériques concentrent 27,7 % des atteintes aux données, et les attaques DDoS représentent 77 % du volume d'incidents. Ainsi, le rançongiciel restant la menace la plus coûteuse[2].
Deux illustrations en donnent la mesure. En septembre 2025, une cyberattaque contre le prestataire Collins Aerospace, éditeur du logiciel d'enregistrement MUSE, a perturbé plusieurs grands aéroports européens tels que Heathrow, Bruxelles, Berlin, provoquant retards et annulations (source : ENISA).
Le 24 mars 2026, la Commission européenne elle-même a confirmé une cyberattaque visant l'infrastructure cloud hébergeant Europa.eu ; le groupe ShinyHunters a revendiqué l'exfiltration de plus de 350 gigaoctets de données. Cela serait donc la deuxième attaque majeure visant la Commission en 2026 selon les éléments disponibles à ce jour. Le Security Navigator 2026 d'Orange Cyberdefense évalue à + 44,5 % la hausse des victimes de cyberextorsion dans le monde en 2025, un volume qui aurait triplé depuis 2020[3].
Ces éléments confirment que le cadre législatif européen commun détaillé dans le quatrième volet de ce dossier, répond à une réalité opérationnelle partagée par l'ensemble des États membres, et non à une singularité française... avec RGPD, DORA, NIS2, Cyber Resilience Act.
Ce qu'il faut retenir
Quelles cyberattaques ont marqué le secteur privé et l'Europe en 2026 ?
Que nous soyons en France ou au niveau européen, l'attaque contre la Commission européenne (mars 2026) et, en 2025, celle ayant perturbé plusieurs aéroports via Collins Aerospace. L'ENISA a recensé 4 875 incidents à l'échelle de l'UE sur la période 2024-2025, les administrations publiques restant la cible n° 1.
Cet article est le deuxième d’une série de 6 articles consacrés aux cyberattaques. Consulter les autres articles
Vous souhaitez faire le point sur votre niveau de maturité cyber ou tester vos plans de gestion de crise cyber ? Nos experts cyber vous accompagnent dans l’audit de maturité, la structuration de votre démarche cyber, la sensibilisation de vos équipes et leur préparation à la gestion de crise.
Sources
• CNIL, Rapport annuel 2025, 18 mai 2026
• ENISA, Threat Landscape 2025 (octobre 2025) ; Commission européenne (incident Europa.eu, mars 2026)
• Orange Cyberdefense, Security Navigator 2026 ; cyberattaque.org, FrenchBreaches (veille spécialisée)
[1] cyberattaque.org, 25 août 2026 https://www.cyberattaque.org/dipeeo-les-donnees-rgpd-de-ses-clients-exposees-apres-une-cyberattaque/
[2] ENISA, Threat Landscape 2025
[3] Orange Cyberdefense, Security Navigator 2026
