Fuites de données : le maillon faible est le prestataire

Une salle de sport de quartier n’a pas été piratée. Son logiciel de gestion, si. Le 19 août 2026, Xplor Resamania a confirmé qu’un tiers non autorisé avait accédé, le 1er août, aux données personnelles hébergées sur une version ancienne de sa plateforme : 5,2 millions d’utilisateurs concernés, CNIL notifiée, information individuelle, ligne téléphonique dédiée.

Les adhérents de Fitness Park, Gigafit ou Magic Form n’avaient jamais entendu ce nom. C’est pourtant lui qui détenait leurs données.

Le même schéma, six fois de suite

L’été 2026 a livré une série qui se ressemble beaucoup. Nous distinguons ce qui est confirmé de ce qui est seulement revendiqué, parce que la différence est souvent considérable.

Confirmé. Xplor Resamania, donc, avec un détail qui compte : selon l’entreprise, les données exposées comprennent noms et coordonnées, et pour certaines personnes des identifiants, des mots de passe, des IBAN et des informations liées à la santé. Les données de carte bancaire ne semblent pas concernées. Un seul prestataire, une vingtaine d’enseignes, sept pays.

Confirmé. La Protection civile a reconnu une cyberattaque survenue en mars 2026 : plus de 525 000 personnes, avec des dates de naissance, des professions, environ 15 000 photographies et des données de mineurs.

Confirmé, et près de chez nous. Le 1er septembre 2026, Bio en Hauts-de-France a informé les personnes concernées d’un vol de données : identité, coordonnées, mais aussi identifiants professionnels et agricoles — SIREN, PACAGE, numéro bio, surfaces, cheptels — historiques de relation client, contenus de courriels et de mémos, données d’authentification. Pas de données bancaires. Le volume n’a pas été communiqué. Une structure associative régionale, donc, qui subit exactement ce qui frappe les grands réseaux.

Contesté. Alaxione, plateforme de rendez-vous médicaux. Un attaquant revendique 6,8 millions de profils, plus de 10 millions de rendez-vous et environ 70 000 numéros de Sécurité sociale. L’entreprise reconnaît une intrusion mais affirme que seul un serveur de test, sans données médicales réelles, a été atteint. Les deux versions sont publiques et incompatibles. En attendant un constat indépendant, aucune des deux ne doit être présentée comme établie.

Revendiqué. Bureau Vallée : environ 4,8 millions d’enregistrements dédoublonnés, obtenus selon l’attaquant via un prestataire tiers et une injection SQL. Ni mots de passe ni données bancaires annoncés. Aucune vérification indépendante.

Revendiqué. Une série immobilière visant plusieurs plateformes, pour un total supérieur à 6 millions de personnes, dont une brèche exploitant une faille dite IDOR, où une simple modification d’identifiant dans une adresse donne accès au dossier d’un autre. Le contenu d’un dossier immobilier est ce qu’on peut voler de pire : pièce d’identité, avis d’imposition, justificatifs de revenus, coordonnées bancaires.

Ce que le RGPD met à votre charge, et que beaucoup ignorent

Le point commun de ces affaires n’est pas technique. Il est contractuel.

L’article 28.1 du RGPD est net : le responsable du traitement « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ». Autrement dit, choisir un prestataire est un acte de conformité. Si votre logiciel de caisse, votre CRM ou votre outil de prise de rendez-vous perd les données de vos clients, vos clients se retourneront vers vous, parce que c’est à vous qu’ils les ont confiées.

L’article 33.1 impose ensuite de notifier la violation à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard » après en avoir pris connaissance. Ce délai commence quand vous apprenez l’incident, y compris s’il s’est produit chez un tiers. D’où une question à poser avant de signer : sous quel délai ce prestataire s’engage-t-il à vous prévenir ?

Où l’IA entre dans cette chaîne

Un point rarement posé. Beaucoup d’entreprises branchent aujourd’hui un assistant ou un agent sur ces mêmes bases : le CRM, la messagerie, l’outil de rendez-vous. Cela ajoute un maillon à la chaîne de sous-traitance, et le plus souvent sans nouveau contrat ni nouvelle analyse.

L’ANSSI le formule sobrement dans son Panorama de la cybermenace 2025 : l’intégration de services d’IA générative dans les flux opérationnels est susceptible d’augmenter la surface d’attaque en l’absence de cloisonnement, et la compromission d’un tel système peut porter atteinte à la confidentialité des données traitées comme à l’intégrité des systèmes auxquels il est connecté.

La même agence note que les capacités issues de l’IA permettent aux attaquants d’améliorer « le niveau, la quantité, la diversité et l’efficacité de leurs attaques ». Les fichiers ci-dessus alimenteront des campagnes ciblées pendant des années : un message qui cite votre salle de sport, votre échéance de bail ou votre numéro PACAGE ne ressemble pas à une arnaque.

Quatre questions à poser avant de signer

• Où sont hébergées les données, et par qui exactement ? Le prestataire que vous payez sous-traite lui-même. Demandez la liste, elle vous est due.
• Sous quel délai serez-vous prévenu d’une violation ? Écrivez-le dans le contrat. Vos 72 heures en dépendent.
• Que se passe-t-il sur les versions anciennes ? Resamania a été atteint sur une version antérieure de sa plateforme. Un environnement de test ou une base héritée contiennent souvent de vraies données.
• Qui prévient vos clients, et avec quel texte ? Le préparer à froid coûte une heure. Le rédiger dans l’urgence coûte la confiance.

Si vous voulez structurer cette démarche plutôt que de la traiter au fil de l’eau, notre page cybersécurité présente nos formations, dont une journée destinée aux dirigeants pour établir un premier plan d’actions. Comme toujours : DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480, et aucun financement OPCO ou France Travail n’est mobilisable à ce jour.

Un dernier réflexe, pour les personnes concernées plutôt que pour les entreprises. Si vous recevez un message vous annonçant que vos données ont fuité et vous invitant à cliquer pour « vérifier votre situation », ne cliquez pas : après chaque fuite médiatisée, des campagnes reprennent le nom de l’entreprise victime. Passez par le site officiel que vous tapez vous-même, ou par la ligne dédiée quand elle existe.

Sources

• FrenchBreaches, alertes et articles du 20 au 31 août et du 1er septembre 2026 sur Alaxione, la Protection civile, Bureau Vallée, Xplor Resamania, les fuites du secteur immobilier et Bio en Hauts-de-France — signalement initial de l’ensemble de ces affaires.
• Xplor Resamania, communiqué du 19 août 2026 (5,2 millions d’utilisateurs, notification CNIL) ; revendication initiale publiée le 1er août 2026.
• CNews, « Fuite de données : Fitness Park, Gigafit, Magic Form… », 3 août 2026.
• Bio en Hauts-de-France, information aux personnes concernées, 1er septembre 2026.
• Règlement (UE) 2016/679, articles 28.1 et 33.1 (textes cités depuis le site de la CNIL).
• ANSSI / CERT-FR, Panorama de la cybermenace 2025, référence CERTFR-2026-CTI-002, 11 mars 2026.