Centrale Canine : ce n'est pas un piratage, et c'est pire

La Société Centrale Canine ne conteste pas l’existence du fichier. Elle conteste le mot employé pour le décrire.

Interrogée par FrenchBreaches après la publication, le 15 septembre 2026, d’un jeu de données présenté comme une base partielle de centrale-canine.fr, l’organisation a répondu qu’il ne s’agissait pas d’un piratage mais d’un scraping de données personnelles accessibles via un point d’accès public.

Elle a raison sur le terme. Et cette précision, loin de désamorcer l’affaire, en désigne le vrai problème.

Ce qui a été publié

L’acteur qui se fait appeler ChimeraZ a diffusé le 15 septembre un ensemble de fichiers au format CSV et JSON, environ 892 Mo, présenté comme couvrant 464 237 lignes et concernant à peu près 122 147 personnes.

Les catégories décrites par les observatoires qui ont analysé les échantillons : noms, adresses postales, numéros de téléphone, adresses électroniques, associés à des données canines — numéro de puce électronique, numéro au Livre des origines français, date de naissance, race, pedigree — et à des résultats de concours. Les jeux comprendraient environ 47 000 fiches d’exposants et 56 000 participants à des manifestations.

Le chiffre de 122 147 mérite la même prudence que d’habitude. Les fichiers concernent des participants, des propriétaires, des exposants ou des utilisateurs, susceptibles d’apparaître plusieurs fois d’un jeu à l’autre. Une ligne n’est pas une personne, et aucun des relevés ne documente son dédoublonnage.

L’authenticité et l’intégrité de l’ensemble n’ont pas été confirmées de façon indépendante.

La réponse de la Centrale Canine, mot pour mot

Selon son directeur, cité par FrenchBreaches, les informations proviennent des catalogues d’expositions canines publiés en ligne avec le consentement des propriétaires.

L’organisation reconnaît toutefois que des adresses postales étaient inutilement exposées. Elle indique avoir modifié son règlement et réduit au minimum les données accessibles via le point d’accès.

Traduction : il n’y a pas eu d’effraction, parce qu’il n’y avait pas de serrure. Les données étaient servies par une interface publique, et quelqu’un est passé les ramasser toutes.

Pourquoi « ce n’est pas un piratage » ne referme pas le dossier

Le RGPD ne raisonne pas en termes d’effraction. Son article 4, point 12, définit la violation de données comme une destruction, une perte, une altération, une divulgation non autorisée ou un accès non autorisé. Le mot « non autorisé » se lit par rapport à la finalité du traitement, pas par rapport à un pare-feu.

Or le consentement obtenu porte sur une publication de catalogue. Un propriétaire qui accepte de figurer dans le catalogue d’une exposition consent à ce que son nom apparaisse à côté de celui de son chien, dans un document lu par les visiteurs de l’événement. Il ne consent pas à ce que 464 237 lignes soient aspirées, jointes et rediffusées sur un forum criminel.

C’est la logique du principe de minimisation, à l’article 5, paragraphe 1, point c, du RGPD : les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire. Une adresse postale complète n’est pas nécessaire pour identifier un exposant dans un catalogue. La Centrale Canine le reconnaît elle-même.

L’article 25, sur la protection des données dès la conception et par défaut, ajoute l’exigence qui manquait : les données ne doivent pas être rendues accessibles, par défaut, à un nombre indéterminé de personnes sans intervention de la personne concernée. Un point d’accès public qui répond à toutes les requêtes est précisément l’inverse.

Le scraping, angle mort des associations

Une association sportive, un club, une fédération publient des listes : engagés, résultats, classements, licenciés. C’est leur métier.

La question n’est jamais « faut-il publier », mais « avec quel niveau de détail, et avec quelles limites de débit ». Une page qui affiche vingt résultats et un moteur qui en sert dix mille par requête ne présentent pas le même risque, même s’ils publient la même information.

Trois mesures, qui ne demandent aucun budget de sécurité :

• Ne publier que ce qui sert à l’usage annoncé. Nom, prénom, club : oui. Adresse postale, date de naissance complète, numéro de téléphone : presque jamais.
• Limiter le débit du point d’accès. Un plafond par adresse et par minute ne gêne aucun visiteur humain, et rend l’aspiration exhaustive coûteuse.
• Dire dans quel cadre on publie. Une mention claire dans le règlement, et le consentement porte sur quelque chose de précis. La Centrale Canine a modifié le sien après coup : c’est le bon geste au mauvais moment.

Nous avions vu la même mécanique à l’échelle d’une base publique dans le cas des données de l’Association des maires de France.

Ce qu’un propriétaire concerné peut faire

Rien ne se supprime : les fichiers circulent. Ce qui reste utile est la vigilance ciblée.

Le risque principal n’est pas financier, il est relationnel. Un message qui cite le nom de votre chien, sa race, son numéro LOF et le concours auquel vous l’avez inscrit en avril dernier ne ressemble pas à une escroquerie. Il ressemble à un courrier de votre club de race.

C’est là, et uniquement là, que l’intelligence artificielle pèse dans cette affaire. Rien ne permet d’affirmer qu’elle a servi à collecter les données. En revanche, un jeu structuré qui associe une personne, ses coordonnées et une passion documentée est le carburant idéal d’une génération de messages personnalisés en masse. L’ANSSI note, dans son Panorama de la cybermenace 2025, que ces outils améliorent le niveau, la quantité et l’efficacité des attaques. Le détail du mécanisme est dans notre article sur les données fiscales volées à la DGFiP.

Deux réflexes : ne jamais régler une « régularisation d’inscription » depuis un lien reçu par courriel, et vérifier toute demande en rappelant le club par ses coordonnées officielles, comme le recommande Cybermalveillance.gouv.fr.

Décider ce qu’une organisation publie, et ce qu’elle garde, c’est l’objet de notre parcours Sécurité de l’information et patrimoine informationnel ; nos autres formations figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Si votre site publie une liste d’adhérents, ouvrez-la maintenant et comptez les colonnes que personne ne lit jamais.

Sources

• FrenchBreaches, alerte « Centrale Canine », statut « Confirmée », 15 septembre 2026 : déclarations du directeur sur le scraping, le point d’accès public, les catalogues d’expositions, les adresses postales inutilement exposées, la modification du règlement et la minimisation ; réserves sur l’authenticité et l’intégrité des données.
• Cyberattaque.org, « Centrale Canine : une cyberattaque expose les données de plus de 122 000 personnes », 15 septembre 2026 : volume de 892 Mo, 464 237 lignes, 122 147 personnes, catégories de données, environ 47 000 exposants et 56 000 participants.
• RGPD (règlement (UE) 2016/679), articles 4, 5 et 25.
• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
• Cybermalveillance.gouv.fr, fiche « Hameçonnage », consultée le 16 septembre 2026.
• Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.