Piratage du Secours islamique France : noms, codes et dons exposés
Le Secours islamique France (SIF), ONG de solidarité dont le siège est à Massy (Essonne), a averti ses donateurs par courriel qu'un accès non autorisé à une partie de ses données, dont celles des donateurs, a été détecté après une cyberattaque. L'information a été rapportée le 6 novembre par Fuites Infos.
Dans ce courriel, l'association indique avoir été « récemment » victime d'une attaque, selon Fuites Infos. De son côté, Cyberattaque.org écrit qu'un « tiers non autorisé » a accédé à une partie de ses informations. Le SIF affirme que le problème a été rapidement résolu. Il dit aussi avoir mené un audit de son environnement informatique et renforcé ses mesures de sécurité.
Selon le SIF, les données exposées comprennent le nom et le prénom, l'adresse postale, l'adresse électronique et le numéro de téléphone des donateurs. S'y ajoutent leur code donateur, l'identifiant qui rattache chaque personne à son dossier, ainsi que la date et le montant des dons, l'affectation choisie et la référence de la transaction. Les coordonnées bancaires des paiements en ligne n'ont pas été compromises : elles ne sont pas stockées dans la base de données de l'association, le paiement étant traité par la plateforme de sa banque.
Ce que l'on ignore encore sur l'intrusion
Les deux sources signalent plusieurs zones d'ombre. Le nombre de donateurs concernés, la date de l'intrusion, la durée de l'accès, la méthode utilisée et l'identité des attaquants ne sont pas connus à ce stade. Aucune revendication n'a été rapportée. Selon Cyberattaque.org, la notification ne permet pas de savoir si les données ont été seulement consultées ou effectivement extraites, et aucune exploitation frauduleuse n'avait été confirmée au 7 novembre 2026.
Pour mesurer l'enjeu, un repère existe, mais il ne dit rien de l'ampleur de la fuite : d'après L'Essentiel 2024 du SIF, l'association comptait 92 918 donateurs privés en 2024, et 81 % de ses nouvelles ressources, sur 64 millions d'euros au total, provenaient de donateurs en France. Il s'agit de la taille de sa base de donateurs, pas du nombre de personnes touchées, qui reste inconnu. L'ONG revendique, sur son site, plus de 14 millions de personnes soutenues depuis 1991, et dispose du label Don en Confiance depuis 2011.
Sur le volet réglementaire, la CNIL rappelle la règle générale : un responsable de traitement doit notifier une violation présentant un risque pour la vie privée dans un délai de 72 heures si possible après sa constatation. En cas de risque élevé, il doit aussi informer les personnes concernées. Le SIF n'indique pas, dans les éléments rapportés, s'il a notifié la CNIL, et rien ne permet d'en déduire son appréciation du niveau de risque.
Faux appels aux dons et messages piégés : le risque pour les donateurs
Selon Fuites Infos, le croisement du code donateur, du montant et de la date d'un don réel permet d'écrire à un donateur un faux appel aux dons ou une fausse demande de régularisation crédible, par courriel, courrier ou téléphone. Cyberattaque.org cite aussi de faux messages évoquant un reçu fiscal, un problème de prélèvement ou une campagne déjà soutenue. Ce mécanisme rappelle l'arnaque à l'IBAN par courriel, qui s'appuie sur de vraies données. Fuites Infos ajoute que le formulaire de don propose notamment de verser la zakât : pour les donateurs ayant choisi ce type de fonds, l'affectation enregistrée est, selon le site, « de nature à révéler une pratique religieuse ». Pour Cyberattaque.org, l'historique des dons peut aussi révéler des préférences personnelles ou des convictions selon les campagnes soutenues.
Fuites Infos recommande de se méfier des courriels au nom du SIF et de ne jamais se connecter depuis un lien reçu par courriel, mais de passer par le site officiel de l'association. Un faux conseiller peut citer des informations exactes, au téléphone ou par SMS, pour gagner la confiance : il ne faut jamais lui communiquer un code reçu par SMS, un mot de passe ou des coordonnées bancaires. Le dispositif public cybermalveillance.gouv.fr accompagne gratuitement les victimes. Le 17 octobre, une vingtaine d'organisations françaises avaient vu leurs fichiers revendiqués en quelques heures sur des forums cybercriminels, sans confirmation des victimes. Ici, c'est l'association elle-même qui reconnaît l'incident auprès de ses donateurs.
Photo : Willfried Wende / Pexels
