Ce qui est compté. Une fuite de données, un vol de données ou une attaque par rançongiciel touchant une organisation française (entreprise, administration, établissement de santé, association), dès qu'elle est rendue publique : par la presse, par l'organisation elle-même, ou par la revendication d'un groupe criminel relayée publiquement. Un même incident n'est compté qu'une fois, même s'il est repris par plusieurs sources.
Les statuts. « Confirmée » : l'organisation a reconnu l'incident. « Revendiquée » : un groupe affirme détenir des données, sans confirmation de l'organisation à ce stade. « Démentie » : l'organisation conteste ; ces fuites sont exclues des totaux et comptées à part.
La date retenue est celle à laquelle l'incident a été rendu public, pas celle de l'intrusion, souvent inconnue.
La collecte. Les sources sont suivies plusieurs fois par jour ; chaque fiche est rédigée automatiquement à partir de ses sources, qu'elle cite, puis rapprochée des fiches existantes pour éviter les doublons. Les lecteurs peuvent signaler une fuite ou corriger une fiche.
Les limites. Seules les fuites rendues publiques sont comptées : beaucoup d'incidents ne le sont jamais. Les fuites revendiquées ne sont pas vérifiées. Les premiers mois de 2026 ont été reconstitués à partir d'archives, alors que les mois récents sont suivis en continu : une partie de la hausse visible sur le graphique tient à cette différence de couverture. Les chiffres d'un mois peuvent encore évoluer quand une fuite ancienne est découverte ou qu'un doublon est fusionné.