Fuites de données : ce qu'une alerte ne dit pas

Deux alertes publiées le même jour, le 2 septembre 2026. La première annonce 4 226 008 lignes de données et nomme son auteur. La seconde ne donne aucun chiffre, aucune date, aucun attaquant, mais rapporte que la plateforme a réinitialisé les mots de passe de ses utilisateurs.

Aucune des deux ne permet de répondre à la question qui compte : suis-je concerné ?

Une alerte est pourtant, souvent, tout ce dont on dispose. Autant savoir ce qu’elle vaut.

Géofoncier : des chiffres précis, personne pour les confirmer

Géofoncier est le portail de l’Ordre des géomètres-experts, qui rassemble l’information foncière produite par la profession.

Le 1er septembre, le groupe ZeroBytes a revendiqué l’extraction de 4 226 008 lignes : environ 6 782 géomètres-experts et professionnels, 6 448 cabinets ou organisations, 2 151 bureaux physiques, et quelque 4,2 millions d’enregistrements fonciers. Sont cités des noms et prénoms, des adresses de courriel professionnelles, des références internes de dossiers, des coordonnées géographiques, des géométries de parcelles et des métadonnées de documents cadastraux. Le vecteur revendiqué : un compte authentifié disposant d’un accès à l’interface de programmation de la plateforme.

Voilà pour ce qui est affirmé. Maintenant, ce qui manque : aucune confirmation de la plateforme, aucune communication publique, aucune notification à la CNIL portée à notre connaissance, et aucune reprise dans la presse à l’heure où nous écrivons. Nos recherches n’ont rien trouvé hors de l’alerte elle-même.

ZeroBytes est le nom qui revient depuis l’été : le ministère de l’Éducation nationale, la DGFiP, le service Zéro Logement Vacant. Une signature connue n’est pas une preuve, mais elle rend la revendication moins fantaisiste. Notons au passage la constance du mode opératoire annoncé : un compte qui avait le droit d’être là.

LiveTrail : une réaction sans périmètre

LiveTrail suit en direct les coureurs pendant les courses de trail et d’ultra. La plateforme annonce sur son site avoir suivi environ 550 000 coureurs en 2025, sur 214 événements dans 35 pays. Cet ordre de grandeur décrit son activité, pas le nombre de comptes touchés : ne confondons pas les deux.

Selon l’alerte, un accès non autorisé a visé une partie de son serveur. Les données concernées seraient les adresses de courriel servant d’identifiant et des mots de passe stockés sous forme hachée. La plateforme aurait fermé l’accès compromis, imposé une réinitialisation des mots de passe, renforcé sa surveillance, et adressé un message aux utilisateurs concernés.

Ces mesures sont exactement les bonnes. Le problème est ailleurs : combien de comptes, à quelle date, pendant combien de temps ? Rien. Nous n’avons trouvé aucun avis public sur le site de LiveTrail ; le message aux utilisateurs, s’il a bien été envoyé, l’a été en privé, et nous n’avons pas pu le vérifier de façon indépendante.

Deux dossiers en miroir, donc. L’un a des chiffres sans confirmation. L’autre a une confirmation sans chiffres.

Ce n’est pas la première fois dans le monde de la course

Le 13 juillet 2026, une revendication visait Betrail, plateforme communautaire de trail : 2 831 633 profils de coureurs, dont environ 954 000 en France, avec noms, pseudonymes, genre, âge, code postal et ville. Là encore, revendiqué, non confirmé par la plateforme.

Trois affaires en deux mois sur des plateformes sportives de niche. Ce sont des structures petites, très fréquentées, qui détiennent des données de localisation et d’identité, et qui n’ont ni service juridique ni responsable de la sécurité à temps plein. C’est une combinaison qui attire.

Pourquoi les volumes annoncés se prennent avec des pincettes

Un chiffre à garder en tête, issu du Panorama de la cybermenace 2025 de l’ANSSI : sur l’ensemble des revendications d’exfiltration portées à sa connaissance en 2025, l’agence n’a pu en confirmer la véracité que pour 80 d’entre elles. Les revendications reprennent régulièrement des données publiques ou déjà divulguées auparavant.

S’y ajoute une difficulté récente : fabriquer un échantillon crédible ne demande plus de compétences rares. Une base diffusée peut mêler des données authentiques, des données anciennes recyclées et du matériel forgé, sans que le tri soit évident pour qui la consulte. Nous avions développé ce point dans pourquoi désigner un coupable est si dur.

Conséquence pratique : « 4 226 008 lignes » n’est pas un fait, c’est une annonce faite par la personne qui a intérêt à ce qu’elle impressionne.

Trois questions pour lire n’importe quelle alerte

Qui l’affirme ? L’entreprise, une autorité, ou l’attaquant ? Si c’est l’attaquant seul, le volume est un argument de vente. S’il n’y a aucune source du côté de la victime, l’affaire reste ouverte.
Quelles données, précisément ? Un courriel et un mot de passe haché n’appellent pas la même réaction qu’une pièce d’identité ou un avis d’imposition. Le premier cas se règle en changeant un mot de passe ; le second vous suit des années.
Quelle date, et pendant combien de temps ? Sans période d’exposition, vous ne pouvez pas savoir si un mot de passe changé l’an dernier vous protège.

Ce que ça change pour vous, concrètement

Si vous exercez une profession organisée en ordre ou en fédération, retenez ceci : vos données professionnelles vivent dans des portails métier que vous n’avez jamais audités et que vous ne considérez sans doute pas comme des détenteurs de données sensibles. Une adresse professionnelle et une référence de dossier réelle suffisent à rendre un courriel frauduleux très convaincant. Traitez toute sollicitation citant un dossier existant avec la même méfiance qu’un inconnu, et vérifiez par un canal que vous composez vous-même.

Si vous êtes simplement inscrit sur une de ces plateformes, le vrai danger n’est pas le mot de passe haché : c’est sa réutilisation. Changez-le partout où vous l’aviez recyclé, en commençant par votre messagerie principale, qui commande toutes les réinitialisations.

Et si vous êtes dirigeant, ces deux affaires renforcent une idée que nous développons dans le maillon faible est le prestataire : vous confiez des données à des plateformes spécialisées dont vous ignorez le niveau de sécurité, et c’est vous que vos clients viendront voir. Structurer cette vigilance est l’objet de nos formations, présentées sur notre page cybersécurité.

Précision constante : DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480, et aucun financement OPCO ou France Travail n’est mobilisable à ce jour.

Nous mettrons cet article à jour si l’une des deux plateformes s’exprime. En attendant, l’honnêteté consiste à écrire que nous n’en savons pas plus, plutôt qu’à transformer deux revendications en deux scandales.

Sources

FrenchBreaches, alerte « Géofoncier », 2 septembre 2026 (revendication diffusée le 1er septembre) : volumes, catégories de données et vecteur d’accès revendiqués par ZeroBytes.
FrenchBreaches, alerte « LiveTrail », 2 septembre 2026 : nature des données, mesures déclarées par la plateforme.
Site officiel de LiveTrail, consulté le 2 septembre 2026 : activité de la plateforme, 550 000 coureurs suivis en 2025 ; aucun avis de sécurité publié à cette date.
Cyberattaque.org, « Betrail : 2,8 millions de profils de coureurs dans une fuite massive », revendication du 13 juillet 2026, non confirmée par la plateforme.
ANSSI / CERT-FR, Panorama de la cybermenace 2025, référence CERTFR-2026-CTI-002, 11 mars 2026 : 80 revendications d’exfiltration confirmées sur l’ensemble de celles portées à sa connaissance.
Aucune confirmation officielle, notification CNIL publique ni reprise de presse n’a été trouvée pour les affaires Géofoncier et LiveTrail à la date de rédaction.