Fuite Aqualter : gare aux fausses factures d'eau

Presque tout le monde paie l’eau. C’est ce qui rend la base attribuée à Aqualter plus gênante que son contenu, pourtant maigre : un numéro de téléphone ou une adresse électronique par ligne, et un identifiant.

Dans la nuit du 10 septembre 2026, le compte ChimeraZ a mis en ligne deux fichiers CSV présentés comme les contacts de cet opérateur d’eau potable et d’assainissement dont le siège est à Chartres. C’est le pseudonyme qui avait publié six bases françaises et belges le 3 septembre. Aqualter n’a pas confirmé.

Ce qui est revendiqué

Les trois traqueurs qui ont examiné la publication donnent les mêmes ordres de grandeur. FrenchBreaches et Cyberattaque.org détaillent 320 936 lignes, dont 187 073 numéros de téléphone et 86 156 adresses électroniques, pour environ 7 Mo. Les fichiers circulent gratuitement.

Le chiffre de 273 229 personnes, repris dans les titres, est une addition faite par l’auteur. Fuites Infos le relève : une même personne peut figurer dans les deux listes, et le nombre réel se situe donc entre 187 000 et 273 000.

Ce que la publication ne contient pas compte autant. Selon Fuites Infos, chaque ligne associe un identifiant numérique interne à une seule coordonnée, sans nom ni adresse postale. Aucun mot de passe, aucune donnée bancaire, aucune pièce d’identité n’est annoncé. Les échantillons ne portent aucune date : impossible de savoir si le fichier a trois mois ou dix ans.

Cyberattaque.org souligne enfin que rien, dans la publication, ne démontre une intrusion dans des installations de traitement ou des équipements de gestion de l’eau. Il s’agit de coordonnées, pas du réseau.

Qui sont ces « clients » ?

Les traqueurs écrivent « clients ». Personne ne peut l’établir de l’extérieur. Fuites Infos note que la nature de la relation avec l’entreprise n’est pas précisée, et Cyberattaque.org rappelle qu’un opérateur de ce type travaille aussi avec des collectivités, des fournisseurs et des partenaires.

Un repère aide à mesurer l’échelle. À Chartres, l’eau et l’assainissement des 66 communes de l’agglomération relèvent de C’Chartres Eau, société d’économie mixte à opération unique détenue à 60 % par Aqualter et à 40 % par Chartres Métropole, pour 56 000 abonnés selon la revue EIN. Aqualter exploite d’autres services, de l’Eure-et-Loir au Var en passant par la Seine-et-Marne et la Côte-d’Or, d’après son propre site. 187 000 numéros dépassent de loin le seul contrat chartrain : si ce sont des abonnés, ils viennent de plusieurs territoires. Si ce n’en sont pas, le fichier est autre chose. Nous ne tranchons pas.

Un détail pratique en découle. À Chartres, c’est C’Chartres Eau, et non Aqualter, qui gère les abonnés et la facturation, d’après le site de la métropole. Un message frauduleux peut donc emprunter l’un ou l’autre nom, et bien des abonnés ne connaissent que celui qui figure sur leur facture.

Au 11 septembre, ni Aqualter ni C’Chartres Eau n’avaient publié d’avis, et aucun média national ou régional ne reprenait l’affaire.

Pourquoi une facture d’eau fait un bon appât

Un fichier sans nom se prête mal à l’hameçonnage ciblé.

Ce n’est pas un handicap. La facture d’eau est l’un des rares messages que presque chaque foyer attend, qui revient à intervalles réguliers et qui porte un montant. « Votre facture reste impayée » ou « un trop-perçu vous sera remboursé » n’ont pas besoin d’un nom pour être crus. Il leur suffit d’arriver chez quelqu’un qui paie effectivement son eau à cet opérateur. C’est exactement ce que la liste fournirait, si elle est authentique.

L’IA intervient à un endroit précis, et pas là où on l’imagine. Elle ne sait rien de plus sur les abonnés que le fichier lui-même. Elle rend en revanche presque gratuite la rédaction dans le vocabulaire du métier, relève du compteur, index estimé, échéancier de mensualisation, et la production de centaines de variantes assez différentes pour ne pas se ressembler d’un envoi à l’autre. La nuance posée à propos des bases du 3 septembre vaut toujours : l’IA abaisse le coût d’une fraude qui fonctionnait déjà sans elle.

La menace de coupure ne tient pas

Si un message vous menace de couper l’eau faute de paiement, il bute sur la loi.

Depuis la loi n° 2013-312 du 15 mars 2013, dite loi Brottes, l’article L115-3 du Code de l’action sociale et des familles interdit aux distributeurs d’interrompre, pour impayé, la fourniture d’eau d’une résidence principale, et ce toute l’année. Le gouvernement l’a rappelé dans une réponse au Sénat du 10 avril 2024, en précisant que cette interdiction « n’emporte pas annulation de la dette ».

La facture reste donc due. Mais un SMS qui annonce la coupure de votre résidence principale pour le lendemain décrit une procédure qui n’existe pas.

Ce qu’un abonné peut faire

Ne payer que par un canal que vous connaissez déjà. Tapez vous-même l’adresse de l’espace abonné dans le navigateur, ou reprenez celle imprimée sur une facture papier déjà reçue. Chez Aqualter, c’est espaceabonne.aqualter.com ; à Chartres, espaceabonne.cchartreseau.com. Jamais le lien d’un SMS ou d’un courriel.

Ne jamais transmettre un RIB ou un numéro de carte en réponse à un message. Un changement de coordonnées de prélèvement se fait depuis l’espace abonné ou au guichet. En cas de doute, appelez le numéro qui figure sur votre dernière facture, pas celui du message.

Signaler. Un SMS suspect se transfère gratuitement au 33700. Un courriel se signale sur Signal Spam, un site frauduleux sur Phishing Initiative. Ce sont les canaux indiqués par la fiche réflexe de Cybermalveillance.gouv.fr sur l’hameçonnage, mise à jour le 7 mai 2026.

Si vous avez déjà payé ou saisi vos coordonnées bancaires. Appelez votre banque pour faire opposition, puis rendez-vous sur 17cyber.gouv.fr, le guichet d’assistance aux victimes ouvert en décembre 2024 par Cybermalveillance.gouv.fr avec la police et la gendarmerie nationales. Info Escroqueries répond aussi au 0 805 805 817, appel gratuit.

Ces réflexes forment le socle de notre formation Cybersécurité pour tous ; nos autres formations en cybersécurité les déclinent pour les entreprises.

Du côté de l’opérateur

Si la fuite se confirme, l’article 33 du RGPD laisse soixante-douze heures, à compter de la connaissance de la violation, pour notifier la CNIL. L’article 34 impose d’informer les personnes lorsque le risque pour elles est élevé.

Ici, cette information aurait une utilité immédiate : dire aux abonnés sous quel nom, par quel canal et pour quelles demandes l’opérateur ne leur écrira jamais. Un message qui arrive avant les faux vaut mieux qu’un communiqué qui arrive après. Nous mettrons cet article à jour si Aqualter ou C’Chartres Eau s’exprime.

Et une question que chaque collectivité délégante peut poser cette semaine à son délégataire : qui, chez vous, peut exporter en une fois les numéros de mobile de tous nos abonnés ?

Sources

Cyberattaque.org, « Aqualter : 187 000 numéros de téléphone exposés après une cyberattaque », 11 septembre 2026 : date de la publication, volumes, absence d’élément sur les systèmes industriels, absence de confirmation d’Aqualter.
FrenchBreaches, alerte « Aqualter », 11 septembre 2026 : volumes, format des fichiers, statut « revendiquée (crédible) ».
Fuites Infos, « 187 074 contacts d’Aqualter : fuite revendiquée », 11 septembre 2026 : structure des fichiers, fourchette de 187 000 à 273 000 personnes, absence de date dans les échantillons, diffusion gratuite.
Annuaire des Entreprises (data.gouv.fr), fiche Aqualter, SIREN 421 277 534, consultée le 11 septembre 2026 : siège social à Chartres.
Aqualter, site officiel (accueil, presse, espace abonné), consulté le 11 septembre 2026 : activités, implantations, aucun avis de sécurité publié.
Revue EIN, « Chartres Métropole renouvelle le contrat de délégation à Aqualter », 3 décembre 2025 : SEMOp C’Chartres Eau, répartition du capital, 56 000 abonnés, 66 communes.
Chartres métropole, page « C’Chartres Eau », et site cchartreseau.com, consultés le 11 septembre 2026 : gestion des abonnés et de la facturation, aucun avis de sécurité publié.
Sénat, question écrite du 15 février 2024 sur les impayés des distributeurs d’eau, réponse du gouvernement du 10 avril 2024 : interdiction des coupures (article L115-3 du Code de l’action sociale et des familles, article 19 de la loi n° 2013-312).
Cybermalveillance.gouv.fr, fiche réflexe « Hameçonnage », mise à jour le 7 mai 2026 : 33700, Signal Spam, Phishing Initiative, Info Escroqueries.
Cybermalveillance.gouv.fr, actualité du 1er avril 2025 sur l’intégration des CSIRT territoriaux dans 17Cyber : guichet lancé en décembre 2024.