17,2 milliards de comptes exposés : ce que révèle notre catalogue mondial de fuites de données

Aucune de ces fuites n'a de donnée par pays — et c'est justement pour ça qu'elles touchent aussi les comptes mobile money africains : un mot de passe réutilisé ne connaît pas de frontière.

20 octobre 2026 · Équipe SunuCyberSecurity

Source : notre catalogue local, synchronisé depuis Have I Been Pwned — données au 20 octobre 2026

Notre catalogue de fuites de données répertorie 950 incidents réels, synchronisés depuis Have I Been Pwned — la référence mondiale du secteur, gratuite et vérifiée. Cumulés, ces 950 fuites représentent 17,2 milliards de comptes exposés (un même email peut apparaître dans plusieurs fuites, ce chiffre n'est donc pas un nombre de personnes uniques). Ce catalogue n'a aucune donnée par pays — HIBP ne fournit pas cette information — mais ça ne veut pas dire que l'Afrique francophone est épargnée : ça veut dire qu'on ne peut pas le mesurer directement, et l'article explique pourquoi la menace reste bien réelle malgré cette absence de donnée.

Les plus grosses fuites de notre catalogue

La plus grosse entrée n'est pas une fuite d'entreprise unique : "Synthient Credential Stuffing Threat Data" est une liste compilée d'identifiants déjà volés, rassemblée et diffusée pour des attaques de credential stuffing (essayer en masse des combinaisons email/mot de passe déjà connues sur d'autres services) — dont les données sont datées d'avril 2025 (l'entrée elle-même n'a été ajoutée à notre catalogue qu'en novembre 2025), avec 1,96 milliard d'entrées email/mot de passe. "Collection #1" (2019) et "Verifications.io" (2019) suivent, avec près de 800 millions de comptes chacune.

Pourquoi un même chiffre de fuite varie autant d'une source à l'autre

Exemple concret, dans notre propre catalogue : la fuite "National Public Data" (NPD, société américaine de vérification d'antécédents) y est enregistrée avec 134 millions de comptes — le chiffre HIBP, basé sur les adresses email uniques et dédupliquées réellement présentes dans les données divulguées. Une plainte en justice déposée contre NPD a pourtant avancé le chiffre de 2,9 milliards de données compromises, largement repris dans la presse. L'écart n'est pas une erreur de l'un ou de l'autre : la plainte compte vraisemblablement des lignes de base de données (historique d'adresses sur 30 ans, membres de la famille, doublons), pas des comptes ou des personnes uniques — une méthodologie très différente, pour un chiffre bien plus spectaculaire. On a choisi de garder la méthodologie HIBP (dédupliquée, vérifiable) plutôt que le chiffre le plus impressionnant.

Pourquoi ça menace aussi un compte mobile money

Dans notre article sur la fraude mobile money boostée par l'IA, on a détaillé le SIM swap et les deepfakes vocaux — des attaques ciblées. Les fuites de données alimentent un vecteur plus discret mais à plus grande échelle : le bourrage d'identifiants (credential stuffing). Un utilisateur qui réutilise le même mot de passe entre son compte Facebook (fuité en 2019, 509 millions de comptes dans ce catalogue) et son compte mobile money offre à un attaquant une combinaison déjà prête à essayer, sans avoir besoin de cibler qui que ce soit personnellement — l'attaque est automatisée, à grande échelle, et ne s'arrête pas aux frontières d'un pays.

Ce qu'on sait — et ce qu'on ne sait pas

Honnêtement : on ne peut pas dire quelle part de ces 17,2 milliards de comptes concerne des utilisateurs en Afrique francophone — HIBP ne fournit aucune donnée géographique, et on ne invente pas un chiffre qu'on n'a pas. Ce qu'on peut affirmer avec certitude : (1) ce catalogue grandit en continu — 182 nouvelles fuites depuis janvier 2025, la dernière mise à jour datant d'aujourd'hui ; (2) la réutilisation de mot de passe, elle, n'a pas de frontière géographique — un mot de passe fuité à l'autre bout du monde reste valable partout où il est réutilisé.

À lire aussi

Méthodologie

Données issues de notre catalogue local de fuites de données, synchronisé depuis l'API publique et gratuite Have I Been Pwned (haveibeenpwned.com), portée mondiale, sans filtre géographique (HIBP ne fournit pas de données par pays). Chiffres vérifiés en base le 20 octobre 2026. Le nombre de comptes exposés est cumulé sur toutes les fuites recensées, un même compte pouvant apparaître dans plusieurs fuites.

Mettez ces notions en pratique

Un scan gratuit, en quelques minutes, sans carte bancaire.