Fuites de données : une vingtaine d'organisations françaises revendiquées

Samedi 17 octobre 2026, une vingtaine d'organisations françaises ont vu leurs fichiers revendiqués en quelques heures sur des forums cybercriminels. Selon le récapitulatif de FrenchBreaches, plus de 9 millions de personnes pourraient être concernées, mais ces annonces de pirates n'ont pour l'instant pas été confirmées.

Le décompte provient de Seb La Tombe, fondateur de FrenchBreaches, une plateforme qui documente les fuites de données en France. Il l'a publié dimanche matin 18 octobre sur X, et le Journal du Coin l'a repris dans un article de Gabriel Montaut daté du même jour. Nous n'avons pas pu recouper ces informations de manière indépendante : tout ce qui suit doit donc se lire comme des revendications, attribuées à leurs sources. Le chiffre de plus de 9 millions désigne des personnes potentiellement concernées, pas des victimes avérées.

Six noms font l'essentiel du volume revendiqué. Nomad Education arrive en tête avec 4,8 millions de fiches d'utilisateurs, parmi lesquels des élèves et des étudiants. Vient ensuite I-CAD, avec 2,2 millions de propriétaires d'animaux et 50 000 vétérinaires. La Centrale Canine serait, elle, concernée à hauteur de 1,4 million de propriétaires de chiens.

La Fédération française de tir figure aussi dans la liste, avec 586 854 licenciés, 64 000 photos d'identité et 19 000 documents. O'Tacos serait visé pour 334 474 adresses de livraison, et Inter-Etab pour 286 773 fiches d'élèves. Ces chiffres sont ceux avancés par les auteurs des revendications, tels que relayés par FrenchBreaches. Nous n'avons pas été en mesure de les vérifier.

La liste ne s'arrête pas là. Selon le même récapitulatif, 49 761 enregistrements de facturation d'Alain Afflelou seraient concernés, ainsi que 16 556 documents de Malakoff Humanis, qui touchent à des prises en charge hospitalières et à des historiques de remboursements. Plus de 38 000 clients des armureries Gilles et Laudier sont également cités. Enfin, 3 400 documents internes de la Grande Loge Traditionnelle de France et 987 personnes liées à la Grande Loge Féminine complètent le tableau.

Des revendications jugées crédibles, mais pas encore confirmées

Il s'agit, rappelons-le, de revendications de pirates. FrenchBreaches classe la plupart d'entre elles comme crédibles, mais pas encore confirmées, selon le Journal du Coin. Un pseudonyme, ChimeraZ, revient derrière les annonces visant la Centrale Canine, Malakoff Humanis et la Grande Loge Féminine. Un même acteur serait donc à l'origine de plusieurs publications, sans que les sources en disent davantage sur lui.

Le cas d'I-CAD illustre la prudence nécessaire. Le Journal du Coin indique ne pas avoir pu recouper la revendication qui le vise. Le gestionnaire n'avait reconnu jusqu'ici qu'une fuite d'environ 2 000 adresses e-mail, identifiée en 2025. L'écart entre ce chiffre et les 2,2 millions de propriétaires d'animaux annoncés est considérable, ce qui invite à ne rien présumer.

Cette vague s'inscrit dans une série d'incidents déjà traités par notre rédaction. Nos lecteurs pourront se reporter à notre article sur une précédente fuite visant la CAF, ainsi qu'à celui consacré au piratage de l'ANTS, pour situer ces événements dans une chronologie plus longue. Chaque épisode a ses propres faits et ses propres vérifications, et les revendications du week-end ne doivent pas être confondues avec eux.

Samedi matin 17 octobre, un autre épisode a marqué la journée : caf.fr et l'application mobile de la CAF ont affiché « Ce site est inaccessible » pendant plusieurs heures. Selon le Journal du Coin, une attaque par déni de service distribué (DDoS) est soupçonnée. Aucune confirmation officielle n'a toutefois été donnée, et une panne technique reste possible. Il s'agit d'un problème de disponibilité, distinct d'une éventuelle fuite de fichiers.

Le groupe CyberTroll Team revendique par ailleurs une attaque lancée vers 10 heures contre le site de l'ANSSI. Apparu début octobre, il s'affilie à NoName057(16), un collectif prorusse qui paie ses volontaires en cryptomonnaie, environ 1,20 dollar par jour. Selon Seb La Tombe, les sites des villes de Marseille et de Lyon, de Toulouse Métropole et de L'Humanité auraient aussi été visés. Là encore, il s'agit de revendications et non de faits établis.

Ces annonces demandent du recul. Dans son rapport 2026 sur les menaces, l'ENISA indique que seules 23,8 % des revendications de NoName057(16) examinées ont été corroborées par des contrôles indépendants de disponibilité. Autrement dit, le bruit sur Telegram dépasse souvent les dégâts réels. Une revendication de déni de service ne prouve donc, à elle seule, ni une panne durable ni une compromission de données.

Le contexte récent n'est pas anodin. Une semaine avant, la Cnaf avait suspendu Vacaf, sa plateforme d'aides aux vacances, après un piratage revendiqué à 1 191 967 dossiers d'allocataires. Le 30 septembre, l'ANSSI avait publié le bilan de sa propre compromission via le logiciel Metabase, avec 120 comptes touchés. Les sources consultées n'établissent toutefois aucun lien entre ces épisodes et ceux du 17 octobre.

Que faire en cas de fuite : les conseils de FrenchBreaches

Dans sa page « Que faire ? », FrenchBreaches détaille les gestes à adopter pendant les 24 premières heures. La plateforme recommande de changer le mot de passe du service concerné et de tous les comptes qui partagent le même. Elle conseille aussi d'activer la double authentification par application plutôt que par SMS, ce dernier restant exposé au SIM swapping, et de déconnecter les sessions ouvertes. La surveillance des relevés bancaires fait également partie des réflexes.

Autre point de vigilance : l'hameçonnage ciblé. Un fichier contenant un nom, une adresse et des remboursements de santé permet de fabriquer un faux e-mail très crédible. FrenchBreaches conseille de ne cliquer sur aucun lien reçu au nom de l'organisme piraté et de passer par son site officiel. Si une pièce d'identité a fuité, la plateforme recommande une pré-plainte en ligne et renvoie vers Cybermalveillance.gouv.fr et la CNIL.

Un dernier rappel concerne les cryptomonnaies. Aucun exchange ni fabricant de wallet ne demande jamais la phrase de récupération, qu'elle comporte 12 ou 24 mots. La France a connu une série de crypto-rapts nourris par ce type de fichiers, et la justice comptait en avril 88 mises en examen dans cette vague d'enlèvements. Toute demande de cette nature doit donc être traitée avec la plus grande méfiance.

En attendant d'éventuelles confirmations ou démentis, la prudence reste de mise sur l'ampleur réelle de cette vague. Les chiffres cités sont ceux des pirates, relayés par FrenchBreaches puis par le Journal du Coin, et plusieurs d'entre eux n'ont pas pu être recoupés. Les conseils de protection, eux, valent quelle que soit l'issue des vérifications.