En quelques heures, le samedi 17 octobre 2026, des pirates ont revendiqué sur des forums cybercriminels les fichiers d’une vingtaine d’organisations françaises, d’après le décompte du site spécialisé FrenchBreaches. Ce dernier estime à plus de 9 millions le nombre de personnes potentiellement touchées, un total qui repose sur des annonces de pirates : aucune organisation citée n’a confirmé de fuite dans les articles consultés. Voici ce qui est avancé, et comment séparer une revendication d’une fuite avérée.
Ce que revendiquent les pirates
Le bilan a été diffusé sur X le dimanche 18 octobre par Seb La Tombe, fondateur de FrenchBreaches, puis repris par le Journal du Coin, d’après Mediaterranée. Les articles consultés en détaillent onze, avec les volumes avancés par les auteurs :
- Nomad Education : 4,8 millions de fiches d’utilisateurs, dont des élèves et des étudiants ;
- I-CAD : 50 000 vétérinaires et 2,2 millions de détenteurs d’animaux ;
- La Centrale Canine : 1,4 million de maîtres de chiens ;
- Fédération française de tir : 586 854 licenciés, avec 64 000 photos d’identité ainsi que 19 000 documents ;
- O’Tacos : 334 474 adresses de livraison ;
- Inter-Etab : 286 773 fiches d’élèves ;
- Alain Afflelou : 49 761 enregistrements de facturation ;
- Armureries Gilles et Laudier : plus de 38 000 clients ;
- Malakoff Humanis : 16 556 documents, touchant notamment à des hospitalisations et à des historiques de remboursements ;
- Grande Loge Traditionnelle de France : 3 400 documents internes ;
- Grande Loge Féminine : 987 personnes.
Les forums où ces fichiers ont été mis en vente ne sont pas nommés dans les articles. Un pseudonyme, ChimeraZ, revient pour plusieurs annonces : Mediaterranée le relie notamment aux annonces visant la Grande Loge Féminine, Malakoff Humanis et la Centrale Canine.
Revendiqué ne veut pas dire confirmé
FrenchBreaches classe la plupart de ces annonces comme crédibles mais non confirmées, rapporte le Journal du Coin cité par Mediaterranée. Ce dernier reconnaît ne pas avoir pu vérifier ces données par ses propres moyens, et ni lui ni Bourse Inside ne font état d’une confirmation ou d’un démenti des organisations visées. Le cas d’I-CAD montre l’écart possible : jusqu’à présent, son gestionnaire n’admettait qu’une fuite limitée à quelque 2 000 adresses électroniques, identifiée en 2025, très loin des 2,2 millions annoncés.
Cette prudence a des raisons. Un pirate peut avoir intérêt à grossir ses annonces pour vendre un fichier ou asseoir sa réputation. Un volume revendiqué peut mêler des doublons, des données anciennes déjà diffusées, ou provenir d’un prestataire plutôt que de l’organisation nommée. À l’inverse, une annonce crédible peut se vérifier des semaines plus tard, lorsque l’entreprise prévient ses clients.
Comment distinguer une fuite avérée d’une revendication
Quelques repères aident à lire ces annonces avec recul :
- la parole de l’organisation : tant qu’elle ne s’est pas exprimée et n’a pas prévenu ses clients, le doute subsiste ;
- les échantillons : des extraits publiés et examinés par des tiers donnent du poids à une revendication, un simple chiffre beaucoup moins ;
- la nature de l’attaque : un site rendu indisponible ne signifie pas que des données ont été dérobées, Bourse Inside rappelant qu’un déni de service cible la disponibilité d’un service et pas forcément les bases de données ;
- le taux de confirmation passé : d’après l’ENISA, citée par les deux médias, seules 23,8 % des revendications étudiées du collectif prorusse NoName057(16) ont pu être confirmées par des vérifications indépendantes de la disponibilité des sites visés.
Une journée chargée, mais des épisodes distincts
Le même samedi, le site caf.fr et l’application de la CAF sont restés inaccessibles plusieurs heures. Une attaque par déni de service a été évoquée, sans confirmation officielle, et une simple panne reste possible. Le groupe CyberTroll Team, qui se rattacherait à NoName057(16), a par ailleurs revendiqué une attaque contre le site de l’ANSSI, aux alentours de 10 heures ; Seb La Tombe a aussi cité des sites de Marseille, Lyon, Toulouse Métropole et L’Humanité, sans fait établi. Ces perturbations relèvent d’une autre logique que les vols de fichiers, et rien, dans les articles consultés, ne les relie aux revendications de données.
Questions fréquentes
Comment savoir si mes données font partie de ces fuites ?
Les articles consultés ne renvoient à aucune liste nominative fiable, et les organisations ne s’y sont pas exprimées. Le plus sûr consiste à guetter un message officiel de l’organisme concerné, en vous rendant directement sur son site plutôt qu’en cliquant sur un lien reçu.
Que faire si je suis client d’une organisation citée ?
FrenchBreaches recommande de remplacer sans tarder le mot de passe du service visé, ainsi que celui de tout compte qui utilise le même, de préférer une double authentification par application au SMS, exposé au détournement de carte SIM, de clore les sessions actives et de garder un œil sur ses comptes bancaires. Si une pièce d’identité a fuité, une pré-plainte en ligne et les ressources de Cybermalveillance.gouv.fr et de la CNIL sont recommandées.
D’où vient le chiffre de 9 millions de personnes ?
C’est l’estimation de FrenchBreaches, établie à partir des revendications des pirates. Elle désigne des personnes potentiellement concernées et ne constitue en rien un bilan de victimes confirmées.
Sources
- Fuites de données : une vingtaine d'organisations françaises revendiquées — Mediaterranée, 2026-10-18
- O'Tacos, I-CAD, Malakoff Humanis : vos données personnelles ont fuité, voici le premier réflexe à avoir pour protéger votre compte en banque — Bourse Inside, 2026-10-19