Fuite CMA Occitanie : quand l'expéditeur est le butin

Soixante kilo-octets. C’est le poids du fichier CSV publié le 3 septembre 2026 sur un forum criminel et attribué à la Chambre de Métiers et de l’Artisanat d’Occitanie. Pas de coordonnées bancaires, pas de mot de passe dans l’échantillon observé. Rien qui se revende.

C’est la plus petite des six bases mises en ligne ce jour-là par le même compte, ChimeraZ, dont nous avons décrit la série complète ailleurs. Celle-ci mérite qu’on la reprenne seule, pour une raison qui ne tient pas au volume : une chambre de métiers est un expéditeur auquel les artisans font confiance sans y penser.

Trois observateurs, trois versions

FrenchBreaches et Cyberattaque.org annoncent 1 029 profils, rattachés au domaine crma-occitanie.fr. Fuites Infos en compte 1 028 et attribue la base à artisanat-occitanie.fr.

Les deux adresses existent et relèvent du même réseau. artisanat-occitanie.fr est le portail actuel de la chambre régionale ; crma-occitanie.fr porte encore l’identité Languedoc-Roussillon-Midi-Pyrénées et sert toujours d’adresse de contact. L’écart d’une unité sur le décompte n’a aucune portée. Celui sur le domaine en a une, parce qu’il désigne deux applications différentes à aller inspecter.

La chambre n’a rien confirmé publiquement à ce jour. ChimeraZ n’indique ni la méthode d’accès, ni la date de récupération. Tout ce qui suit part d’une revendication, pas d’un fait établi.

1 029 personnes, mais lesquelles ?

Les champs relevés par les observateurs : identifiant interne, nom, prénom, adresse électronique professionnelle, et une information de rattachement — département ou chambre départementale selon la source.

Cette dernière colonne est celle qui compte, et c’est aussi celle qui laisse une question ouverte. Le réseau regroupe treize chambres départementales en Occitanie. Un champ « département de rattachement » peut désigner l’affectation d’un agent de la chambre. Il peut tout aussi bien désigner le lieu d’immatriculation d’une entreprise artisanale inscrite à un service en ligne.

Rien ne permet de trancher publiquement, et les deux hypothèses n’appellent pas la même réponse. Dans un cas, c’est l’organigramme d’une institution qui circule. Dans l’autre, c’est une liste de chefs d’entreprise. Nous ne choisissons pas à la place de la chambre.

L’en-tête vaut plus que le contenu

Ce qu’un annuaire de ce type apporte à un attaquant n’est pas une donnée à revendre. C’est un rôle à endosser.

Une CMA écrit légitimement aux artisans : formalités, apprentissage, obligations, aides, formations. Ses messages sont attendus et font autorité. Un courriel qui reprend son nom, sa signature et le bon département arrive dans un contexte où le destinataire n’a aucune raison particulière de se méfier.

Cette population est déjà ciblée, et l’administration le documente. La fiche de la DGCCRF sur les annuaires professionnels, mise à jour le 28 mars 2024, désigne comme cibles privilégiées « les professionnels nouvellement enregistrés au registre du commerce et des sociétés ou au registre des métiers : artisans, petites entreprises », précisément parce qu’ils ne disposent pas « de moyens humains et juridiques des grandes sociétés pour se prémunir contre ces pratiques ». Les documents employés imitent l’apparence d’un organisme officiel ; la fiche cite le registre du commerce, l’INPI, Info-Siret.

Voilà le point de bascule. Cette fraude tourne depuis des années avec des courriers génériques envoyés en publipostage. L’étape coûteuse n’a jamais été l’envoi : c’était l’écriture. Produire un message qui sonne juste, dans le vocabulaire du métier, adressé nommément à la bonne personne du bon département, demandait quelqu’un qui connaisse le sujet. Un modèle de langage n’a pas besoin de savoir ce que fait une chambre de métiers. Le fichier le lui dit, ligne par ligne.

Deux réflexes à la portée d’une entreprise de trois personnes

Une TPE n’a pas de service informatique et rarement une procédure écrite. Elle peut tenir ces deux règles-là.

Rappeler sur un numéro que vous connaissez déjà. Le réseau des CMA dispose d’un numéro unique et gratuit, le 3006, valable partout en France, et affiché sur les sites officiels des chambres. Un message qui vous demande d’appeler un autre numéro, ou de cliquer pour « régulariser » quelque chose, se vérifie par ce canal-là, jamais par celui qu’il propose.

Ne jamais traiter un paiement le jour même. Aucune demande de règlement, de virement ou de changement de coordonnées bancaires reçue par courriel ne se traite dans la journée, quel que soit l’en-tête. Si vous avez déjà signé, le recours existe : signalement sur signal.conso.gouv.fr, puis saisine de la direction départementale de la protection des populations. L’article L. 132-2 du Code de la consommation punit la pratique commerciale trompeuse de deux ans d’emprisonnement et de 300 000 euros d’amende, portés à cinq ans et 750 000 euros lorsqu’elle passe par un service de communication au public en ligne. Un hameçonnage par courriel tombe dans le second cas.

Ces deux règles tiennent sur une page. C’est le principe de la formation Sûreté et cybersécurité des PME/TPE : un plan d’actions calibré sur les moyens réels d’une petite structure, pas un référentiel de grand groupe.

Reste une remarque adressée aux institutions plutôt qu’à leurs ressortissants. La chambre n’a pas communiqué. Si la fuite se confirme, l’information des personnes prévue à l’article 34 du RGPD ne sera pas qu’une obligation administrative : ce sera le seul moyen de dire aux artisans quels messages regarder de travers dans les mois qui viennent. Le silence, ici, ne profite qu’à celui qui détient le fichier.