La France est devenue la cible privilégiée des cybercriminels en Europe. Les chiffres sont sans appel. Pourtant, la réaction des pouvoirs publics reste lente, fragmentée et souvent trop technique. Cette enquête explore les raisons de ce décalage entre la menace et la réponse, à travers les données récentes et les témoignages d’experts.
Entre janvier et juin 2026, 43,4 millions de comptes français ont été compromis. C’est plus qu’en Allemagne, en Espagne ou en Italie réunis. Selon l’étude de Surfshark, la France est le premier pays européen touché et le deuxième au monde, derrière les États-Unis. Un constat d’autant plus inquiétant que l’Europe vient de dépasser l’Amérique du Nord comme continent le plus piraté. Un compte volé sur trois dans le monde appartient désormais à un Européen. Et parmi ces victimes, six sur dix vivent en France.
Cyberattaques en Europe : la France en première ligne
Cette position de tête n’est pas nouvelle, mais elle s’aggrave. Les attaques par ransomware, notamment, se multiplient. Une étude d’OpenText publiée en 2025 indique que le risque d’infection est désormais trois à quatre fois plus élevé en Europe qu’aux États-Unis. La France concentre une part importante de ces incidents, touchant aussi bien les grandes entreprises que les administrations.
43,4 millions de comptes compromis : l’étude qui alerte
L’étude Surfshark, qui analyse les fuites de données à l’échelle mondiale, place la France au deuxième rang mondial derrière les États-Unis. Une position que la rédactrice en chef du site spécialisé Tech&Co résume ainsi : « Nous sommes un pays riche, numérisé, mais structurellement vulnérable. » Les données personnelles, les identifiants, les numéros de carte bancaire circulent sur des forums clandestins à une vitesse vertigineuse.
Les pays européens les plus touchés en 2025, selon le rapport sur la résilience numérique :
- 🔴 Finlande : 42 % des entreprises ciblées
- 🟠 Pologne : 32,5 % des entreprises concernées
- 🟡 Malte : 29 % des PME victimes
- 🟠 Irlande : 38 % selon l’étude Mastercard
- 🟢 Autriche : 11,5 %, un des taux les plus faibles
- 🟢 Slovénie : 11,6 %, modèle de prévention
La France n’apparaît pas dans ce classement des entreprises, car l’étude Mastercard se concentre sur les PME. Mais si l’on prend en compte les fuites de données et les attaques contre les infrastructures publiques, le pays se distingue tristement. Les hôpitaux, les collectivités, les ministères : aucun secteur n’est épargné.
Pourquoi la France tarde-t-elle à réagir ?
Le décalage est frappant entre l’ampleur des attaques informatiques et la lenteur des réponses institutionnelles. En août 2026, une analyse de La Voix du Nord titrait : « le pays le plus piraté d'Europe ne se presse pas pour agir ». Ce constat, partagé par de nombreux experts en sécurité informatique, interroge.
Une partie de l’explication réside dans la complexité administrative. La cybersécurité est répartie entre plusieurs agences : l’ANSSI, la DGSI, le ministère de l’Intérieur, celui des Armées, sans oublier les collectivités locales. Chacune avance à son rythme, avec ses priorités. Résultat : la coordination est lente, et les victimes se retrouvent souvent seules face aux conséquences.
Un cadre juridique et institutionnel fragmenté
La sénatrice Nathalie Goulet, qui réclame la création d’une commission d’enquête, résume la situation avec des mots durs : « C’est un enfer pour les victimes et un paradis pour la criminalité organisée. » Selon elle, la France est le pays européen le plus touché, car les cybercriminels savent que la réponse sera lente et que les peines sont rarement dissuasives.
Les entreprises, elles, dénoncent un manque de lisibilité. Chaque agence publie ses recommandations, mais aucune ne fournit de guide unique pour les PME. La charge administrative pèse, et beaucoup renoncent à se mettre en conformité. La vulnérabilité de ces structures est pourtant un point central : une PME sur quatre en Europe a déjà été victime de cyber-escrocs, selon le Mastercard European Cyber Resilience Centre.
Que fait l’Union européenne face à la menace ?
L’Europe tente de structurer sa réponse. La directive NIS2, entrée en vigueur dans les États membres, impose des exigences renforcées en matière de cybersécurité. Elle vise les secteurs critiques : énergie, transports, santé, eau, déchets, infrastructures numériques. Mais sa transposition en droit français accuse du retard. Les entreprises attendent des décrets d’application, qui se font attendre.
L’UE déploie également un bouclier numérique commun, censé mutualiser les capacités de détection et de réponse. Un plan ambitieux, doté de plusieurs milliards d’euros. Mais les experts constatent que les États membres n’avancent pas tous au même rythme. La Finlande et la Slovénie, par exemple, ont déjà mis en place des dispositifs de prévention performants. Leur modèle repose sur des campagnes de sensibilisation régulières et des obligations légales claires pour les entreprises.
Les leçons d’une enquête parlementaire
La demande de commission d’enquête portée par Nathalie Goulet a été entendue. Les auditions ont débuté à l’automne 2025, avec un objectif : comprendre pourquoi la France accumule les retards. Les premiers échanges ont mis en lumière un manque d’attractivité des carrières en cybersécurité, un budget en deçà des besoins, et une culture du secret qui freine le partage d’information entre les secteurs public et privé.
L’enquête a aussi révélé un paradoxe : les entreprises françaises ont pris conscience du risque, mais elles hésitent à investir. Le coût moyen d’une attaque pour une PME s’élève à 180 000 euros, selon une étude récente. Un montant bien supérieur au coût d’une protection efficace. Cette réalité économique doit enfin être entendue par les décideurs. La protection des données ne peut plus être traitée comme une variable d’ajustement.
La France joue son rang. Elle dispose d’experts reconnus, d’entreprises technologiques solides et d’une administration compétente. Ce qui manque, c’est une volonté politique claire et une coordination sans faille. L’enquête parlementaire en cours peut y remédier, à condition que ses conclusions ne restent pas lettre morte. Les cyberattaques, elles, ne font pas de pause.
Journaliste tech depuis plus de dix ans, Julie a dirigé plusieurs rubriques numériques avant de fonder Actu Net. Elle vulgarise les sujets exigeants sans rien sacrifier à la précision et anime des conférences en école d’ingénieurs.