Fuites de données : ces sites font payer l'effacement, la CNIL et la ministre disent de ne pas céder

Ne payez pas. Face aux sites qui compilent les données volées lors de fuites et proposent, pour quelques euros, d’effacer votre fiche, trois voix convergent. La CNIL, dans sa foire aux questions officielle (non datée), demande de ne pas utiliser ces sites ni de répondre à leurs sollicitations, et estime qu’« en l’état actuel du droit » ils n’apparaissent pas conformes à la législation. Anne Le Hénanff, ministre déléguée chargée de l’intelligence artificielle et du numérique, a écrit le lundi 5 octobre sur X, dans un message rapporté par l’AFP : « Aux personnes concernées, ne payez jamais pour faire retirer vos données. » Que Choisir Ensemble, dans une alerte du mercredi 14 octobre, résume : « rien ne garantit leur suppression définitive ».

Que Choisir appelle ces sites des « lookups » : des moteurs de recherche qui référencent non pas des pages web mais des données personnelles compromises. On y tape un nom, et le site affiche ce qu’il a retrouvé dans les fuites : adresse postale, date de naissance, téléphone, e-mail, IBAN, numéro de Sécurité sociale, revenu fiscal de référence. Autrefois cantonnés au dark web, ils s’affichent désormais sur le web ouvert, avec abonnements et effacement payant, relève le site spécialisé Next.

Cinq euros pour dix fiches, 200 euros pour mille

Que Choisir a relevé les tarifs affichés par BrixHub, le site visé par la ministre : 5 euros pour supprimer 10 fiches, 8 euros pour 20, 200 euros pour 1 000. Rapporté à la fiche, cela donne 0,50 euro, 0,40 euro puis 0,20 euro (calcul Actu.shop). Ces prix n’ont qu’une source, l’association, et ils peuvent changer vite : « Ces sites vont et viennent, changent de nom, disparaissent pour réapparaître quelques jours plus tard », écrit-elle.

Faites défiler le tableau vers la droite pour voir toutes les colonnes.

Source : Que Choisir, 14 octobre 2026 ; prix par fiche calculé par Actu.shop.

Pourquoi payer est une mauvaise idée

L’argument de la CNIL tient en deux points : ces sites peuvent être créés par les auteurs du vol eux-mêmes, et nul ne sait l’usage qui sera fait des informations transmises. Next pointe le piège : pour s’inscrire ou payer, il faut leur confier une adresse e-mail et un moyen de paiement, qui peuvent venir enrichir les fiches déjà en ligne. Pour Que Choisir, ces moteurs « facilitent les arnaques et les usurpations d’identité », les escrocs n’ayant « qu’à cliquer pour compléter leurs informations ». La CNIL dit en avoir déjà signalé certains aux procureurs.

La justice passe à l’action

Le parquet de Paris a mené une dizaine d’enquêtes sur ce type de sites depuis février 2026, selon son communiqué cité par Selectra. En avril, il en a ouvert plusieurs, et un administrateur présumé de 19 ans a été mis en examen et placé en détention provisoire le 14 mai, selon la chronologie publiée par Leto. Le 12 juin, BFM-TV révélait un premier signalement de la ministre, et le député Éric Bothorel saisissait la justice pour trois sites, sans les nommer. Le signalement contre BrixHub, le 5 octobre, au titre de l’article 40 du code de procédure pénale, est le deuxième de la ministre depuis juin, relève Next.

Le mardi 6 octobre, l’Office anti-cybercriminalité (OFAC) a interpellé les trois administrateurs présumés de Reacher, rebaptisé Stryxx en juin, et les sites ont été fermés le mercredi 7 octobre. Âgés de 17 ans, les suspects seront jugés par le tribunal pour enfants de Paris le jeudi 14 janvier 2027 et encourent dix ans d’emprisonnement, notamment pour recel d’extraction frauduleuse de données. C’est la deuxième de ces affaires à déboucher sur des poursuites. Ces éléments viennent du communiqué du parquet du vendredi 9 octobre, cité par Selectra et Leto mais inaccessible le 16 octobre (site du tribunal en maintenance).

Au 21 août, selon France Info cité par Next, aucune condamnation n’avait encore été prononcée dans une affaire de lookup. Pour Jean Sirinelli, professeur de droit public, au Club des juristes, « l’enjeu tient moins à un vide juridique qu’à l’effectivité des contrôles et des poursuites ».

En amont, les fuites se multiplient : la CNIL a reçu 6 167 notifications de violations de données en 2025 (+9,5 % en un an, selon son rapport annuel), et près de 80 fuites de 2024 et 2025 ont chacune touché plus d’un million de Français, selon une question écrite du député Karim Benbrahim. Celle-ci cite pour 2026 les attaques contre l’ANTS, le Ficoba et Basic-Fit ; Que Choisir y ajoute celles de l’été contre l’Éducation nationale, la DGFiP ou Bloctel.

Intermarché Drive : 287 605 clients, et le vrai risque qui suit

Parmi les enseignes de la distribution, une fuite de 2026 a pu être vérifiée : celle du Drive Intermarché. Selon le courrier adressé aux clients début août, reproduit par French Breaches, et les déclarations du Groupement Les Mousquetaires à la presse, l’enseigne a détecté le lundi 3 août « un accès non autorisé à une partie de ses systèmes d’information ». 287 605 clients du Drive sont concernés, soit 14,4 % des 2 millions de clients du service (calcul Actu.shop, chiffres de l’enseigne rapportés par Le Monde Informatique et French Breaches). Données concernées : noms, dates de naissance, numéros de carte de fidélité, adresses de facturation, téléphones, numéros et montants des commandes. Les coordonnées bancaires, mots de passe, e-mails et soldes de cagnotte ne sont pas touchés, selon l’enseigne, qui dit avoir notifié la CNIL et déposé plainte. Actu.shop n’a trouvé aucun communiqué sur l’espace presse du groupement.

Avec un nom, un téléphone, une adresse, une date de naissance et un numéro de carte de fidélité, un escroc a de quoi fabriquer un faux SMS de livraison ou un appel de faux conseiller crédible. C’est ce contre quoi Intermarché mettait en garde : se méfier des messages ou appels se présentant comme venant de l’enseigne, et « ne jamais communiquer de données bancaires, de mot de passe ou de code de validation ». Dans la distribution, les pirates ne visent pas que les bases clients, comme l’a montré la cyberattaque contre les frigos de supermarchés.

Ce qu’il faut faire, gratuitement

Le mode d’emploi officiel existe depuis le jeudi 1er octobre : un dépliant de la CNIL et de Cybermalveillance.gouv.fr, « Violation de données personnelles : que faire en 3 étapes clés ? », à suivre du jour de la découverte de la violation jusqu’à J+30. Être concerné « ne signifie pas que mes données ont déjà été utilisées de manière frauduleuse », rappelle-t-il, mais « le risque d’hameçonnage, d’usurpation d’identité, d’arnaque ou de piratage de mes comptes peut augmenter ».

Étape 1, la première semaine : conserver le message reçu, changer le mot de passe compromis et ceux identiques ailleurs, activer la double authentification, ne pas cliquer sur les liens des messages inhabituels, prévenir sa banque si des données bancaires sont en jeu. Étape 2, les semaines suivantes : surveiller ses comptes, activer les notifications de paiement, ne signer aucun mandat de prélèvement douteux. Étape 3, au quotidien : ne communiquer que le nécessaire, ne pas enregistrer sa carte bancaire pour les achats en ligne, supprimer les comptes inutilisés.

Have I Been Pwned, fondé en 2013 par l’expert Troy Hunt selon Que Choisir, vérifie gratuitement si une adresse e-mail circule dans des fuites connues ; il recensait le vendredi 16 octobre plus de 17,8 milliards d’adresses compromises. Sa FAQ prévient que sa base ne contient qu’une partie des fuites et qu’une absence de résultat « ne prouve pas que votre compte est sûr ».

Si vos informations sont publiées quelque part, la fiche réflexe de Cybermalveillance (août 2026) conseille d’en demander la suppression aux plateformes et le déréférencement aux moteurs de recherche, puis, « si, un mois après votre demande de suppression, vos données personnelles sont toujours accessibles », d’adresser une réclamation à la CNIL. Face à un site de données volées, la consigne de la CNIL ne change pas : ne pas répondre à ses sollicitations, donc ne pas lui confier son adresse e-mail. L’autorité dit recevoir de nombreuses plaintes et se rapprocher des éditeurs de ces sites et de leurs hébergeurs, mais obtenir peu de réponses (message sur X cité par Que Choisir).

En cas d’usurpation ou d’escroquerie, conservez les preuves et portez plainte, gratuitement, au commissariat, en gendarmerie ou par courrier au procureur. 17Cyber propose un diagnostic gratuit, Pharos reçoit les signalements de contenus illicites, hors urgence.

Vos droits face à l’organisme piraté

Le RGPD impose à l’organisme piraté de notifier la fuite à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard » (article 33), sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes, et de prévenir lui-même les personnes concernées si le risque pour elles est élevé (article 34). C’est aussi à lui qu’il faut demander si vos données figurent dans le fichier touché : la CNIL ne peut pas le confirmer à un particulier.

L’indemnisation se joue devant le juge, pas devant la CNIL, et depuis la loi du 30 avril 2025, une action de groupe unifiée permet aussi à une association d’obtenir la cessation d’un manquement ou la réparation des préjudices. La CNIL conseille de conserver les preuves : notification de l’organisme, courriels, captures d’écran, justificatifs de dépenses.