Fuites de données : six alertes, un seul auteur
Le 3 septembre 2026, six bases de données concernant six organisations sans aucun rapport entre elles ont été publiées sur un forum criminel. Un organisme de formation, une clinique, un collège, une chambre consulaire, un industriel de la chimie, un réseau de transport urbain.
Six alertes. Un seul pseudonyme derrière les six.
C’est le genre de détail qui change complètement la lecture d’une semaine d’actualité. Compter les alertes donne l’impression d’une vague. Regarder qui les publie donne autre chose : une personne qui vide un tiroir en une journée.
Ce que ChimeraZ a publié
Voici le relevé, avec les volumes annoncés par l’auteur lui-même.
| Organisation | Personnes revendiquées |
|---|---|
| Préférence Formations | 5 265 |
| Clinique de Vontes | 4 111 |
| Tisséo (Toulouse) | 2 877 |
| Charbonneaux-Brabant | 2 863 |
| Collège Saint-Michel | 1 836 |
| Chambre de Métiers et de l’Artisanat d’Occitanie | 1 029 |
Deux corrections s’imposent avant d’aller plus loin, parce qu’elles circulent déjà de travers.
Le Collège Saint-Michel n’est pas français. La base est attribuée à moodlestmichel.be, l’espace Moodle d’un établissement belge. Il figure dans un fil de veille consacré aux fuites françaises, ce qui suffit à le faire basculer dans les décomptes nationaux.
La Clinique de Vontes n’a pas perdu ses dossiers patients. D’après l’analyse de l’échantillon, les personnes listées sont majoritairement des salariés et des professionnels de santé, répartis sur plusieurs établissements du groupe INICEA. Aucune donnée médicale de patient n’a été observée. Écrire « 4 100 patients d’une clinique psychiatrique » aurait été un contresens, et un contresens coûteux pour l’établissement.
Reste le point commun, qui saute aux yeux quand on aligne les six : ce sont des annuaires. Noms, prénoms, adresses professionnelles, fonction, service de rattachement, employeur. Pas de coordonnées bancaires. Pas de mots de passe utilisables dans la plupart des cas. Rien qui se revende cher.
Et aucune des six n’a été confirmée par l’organisation concernée. Pas une.
« Revendiqué » n’est pas « avéré »
Nous l’avons écrit il y a deux jours à propos de Géofoncier et LiveTrail : une alerte annonce un problème sans permettre de savoir qui il concerne. Le cas présent va plus loin. Six revendications simultanées d’un même compte, avec des échantillons partiels pour seule preuve, méritent une prudence proportionnelle.
Cela ne veut pas dire que c’est faux. Cela veut dire que la date d’extraction, la méthode et l’authenticité de l’ensemble des lignes restent à établir. Une base d’annuaire peut avoir été constituée par intrusion, par un compte légitime mal cloisonné, ou par agrégation de sources déjà publiques. Les trois hypothèses appellent des réponses différentes.
Si votre organisation figure dans une liste de ce type, la première action n’est pas de communiquer. C’est de vérifier dans vos journaux si l’export a eu lieu chez vous.
Le dossier qui méritait la semaine
Pendant que six annuaires s’échangeaient gratuitement, Le Monde publiait le 3 septembre une enquête d’une tout autre portée.
Plus de 500 offices de notaires compromis, environ 7 % de la profession. Entre 35 et 40 millions d’euros détournés selon l’ANSSI, estimation qualifiée de basse. Une compromission entamée en décembre 2022 et maintenue près de deux ans. Le Conseil supérieur du notariat touché lui aussi.
Le mécanisme mérite d’être lu lentement. Les attaquants prenaient la main sur la messagerie d’un office, puis s’en servaient pour écrire aux suivants. Le 20 mars 2024, un document piégé est parti du système d’un notaire breton vers plus de 10 000 confrères. 80 % des destinataires l’ont ouvert. Adresse authentique, contexte professionnel crédible, pièce jointe attendue.
Ensuite venait l’argent : substitution de RIB dans les échanges liés aux transactions, et fraude au président. L’ANSSI a redouté que les attaquants génèrent de faux actes ; aucun acte falsifié n’a finalement été identifié.
Le chiffre qui explique le reste : la moitié des offices n’avait jamais fait réaliser d’audit de sécurité.
Notez la différence de traitement. Ce dossier n’est pas sorti d’un flux d’alertes. Il a fallu une enquête de presse et des documents internes de l’agence nationale pour qu’il devienne public, deux ans après les faits.
Ce que l’IA vient faire là-dedans
Un annuaire professionnel n’a pas de valeur marchande. Il a une valeur opérationnelle : il dit qui écrit à qui, avec quel titre, dans quel service. C’est exactement la matière première de l’attaque qui a coûté 40 millions au notariat.
L’étape coûteuse d’une fraude au président n’a jamais été technique. Elle était rédactionnelle : produire un message qui sonne juste, dans le vocabulaire du métier, adressé à la bonne personne. C’est cette étape que les modèles de langage rendent presque gratuite, et c’est le raisonnement que nous développions à propos des données fiscales volées à la DGFiP.
Une précision honnête, cependant, parce qu’elle va contre le réflexe du moment : en mars 2024, 80 % de notaires ont cliqué sans qu’aucune IA générative n’ait eu besoin d’intervenir. La confiance accordée à une adresse légitime suffisait déjà. L’IA abaisse le coût et démultiplie le volume, elle n’a pas créé la faille. Attribuer à l’IA un problème qui la précède mène à acheter le mauvais remède.
Trois choses à faire cette semaine
Le 31 août, en séminaire gouvernemental, le Premier ministre a donné quinze jours à ses ministres pour appliquer le plan de sécurisation de l’État arrêté en avril, doté de 200 millions d’euros. Vous n’avez ni quinze jours de délai administratif ni 200 millions. Vous avez trois décisions à portée immédiate.
Écrivez la procédure RIB, et rendez-la ennuyeuse. Tout changement de coordonnées bancaires reçu par courriel se vérifie par un appel sur un numéro déjà connu, jamais sur celui figurant dans le message. Cette règle unique aurait bloqué l’essentiel du détournement subi par les notaires.
Considérez votre organigramme comme une donnée sensible. Trombinoscope en ligne, liste de diffusion exposée, exports d’annuaire accessibles à tout compte interne : c’est de la reconnaissance offerte. Le RGPD ne l’interdit pas, mais l’article 32 du règlement vous demande des mesures adaptées au risque, et le risque a changé.
Faites l’audit. La moitié des offices notariaux ne savaient pas où ils étaient vulnérables. Vous pouvez raisonnablement supposer que la proportion n’est pas meilleure dans les TPE et PME. Nos formations en cybersécurité partent de ce constat.
Une dernière question, à poser à votre équipe demain matin : si un message arrive du fournisseur avec qui vous travaillez depuis dix ans, depuis sa vraie adresse, avec sa signature habituelle, et qu’il annonce un nouveau RIB — qui, chez vous, a le droit de dire non ?