Le samedi 17 octobre, une vingtaine d’organisations françaises ont fait l’objet de revendications de fuites de données en une seule journée. Selon le recensement de FrenchBreaches, plus de 9 millions de personnes seraient potentiellement concernées. Ces chiffres restent des revendications de pirates, pas des bilans confirmés.
Plan de l'article
Ce qui s’est passé samedi #
Le décompte vient de Seb La Tombe, fondateur de FrenchBreaches, une plateforme qui documente au jour le jour les fuites de données en France. Son récapitulatif, publié dimanche matin et relayé par le Journal du Coin, liste une vingtaine d’organisations revendiquées en une journée.
Plusieurs annonces sont attribuées au même pseudonyme, ChimeraZ, actif sur des forums de cybercriminalité. FrenchBreaches juge la plupart de ces revendications « crédibles mais pas encore confirmées ». Aucune des organisations citées n’avait publiquement confirmé de fuite au moment de la publication de ce relevé.
À lire Le CERN et Mistral AI s’allient pour créer une IA dédiée à la physique des particules
Les volumes revendiqués
| Organisation | Volume revendiqué |
|---|---|
| Nomad Education | 4,8 millions de fiches d’élèves et d’étudiants |
| Centrale Canine | 1,4 million de propriétaires de chiens |
| Fédération française de tir | 586 854 licenciés |
| O’Tacos | 334 474 adresses de livraison |
| Inter-Etab | 286 773 fiches d’élèves |
| Alain Afflelou | 49 761 enregistrements de facturation |
| Malakoff Humanis | 16 556 documents |
Une revendication visant I-CAD, le fichier d’identification des animaux, évoque 2,2 millions de propriétaires. Le Journal du Coin précise ne pas avoir pu la recouper : le gestionnaire n’avait reconnu en 2025 qu’une fuite d’environ 2 000 adresses e-mail.
Le cas de la Fédération française de tir #
C’est le dossier le plus documenté. Selon ZATAZ, l’annonce du 17 octobre porte sur une archive de 40 Go : 988 569 lignes concernant 586 854 personnes, avec 64 000 photographies d’identité et 19 000 certificats médicaux.
ZATAZ reste prudent : ces éléments ne suffisent pas à confirmer l’authenticité et l’exhaustivité des fichiers, et rien ne dit qu’il s’agit d’une nouvelle intrusion. La fédération fait l’objet d’annonces répétées depuis fin 2025, ce qui laisse ouverte l’hypothèse de reventes d’anciens fichiers.
La CAF hors ligne : panne ou attaque ? #
Samedi matin, caf.fr et l’application mobile sont restés inaccessibles pendant plusieurs heures. Une attaque par déni de service (DDoS), qui sature un site de requêtes sans rien voler, est soupçonnée mais n’a pas été confirmée officiellement, et une panne technique n’est pas exclue.
À lire Vitesse de chargement : pourquoi un site lent vous coûte des clients (et comment réagir)
Le même jour, un groupe se réclamant de NoName057(16) a revendiqué une attaque contre le site de l’ANSSI. Ce type de revendication est à prendre avec recul : le rapport 2026 de l’ENISA cité par le Journal du Coin indique que seules 23,8 % des revendications de ce collectif examinées ont été corroborées.
Pourquoi ces fuites vous concernent même sans piratage de votre PC #
Aucune de ces fuites ne passe par votre ordinateur. Les données sont prises chez l’organisme, puis revendues ou publiées. Le danger arrive ensuite, dans votre boîte mail ou par SMS : un message qui reprend votre nom, votre numéro de licence ou votre dernière commande paraît beaucoup plus crédible.
Les fichiers d’élèves et les documents de santé sont particulièrement sensibles. Ils permettent des arnaques qui visent les parents, ou des faux messages de mutuelle qui demandent une « mise à jour » de coordonnées bancaires.
Les bons réflexes si vous êtes client de l’un de ces services #
Changez d’abord le mot de passe du compte concerné, et partout où vous utilisiez le même. Activez la double authentification quand le service la propose. Un gestionnaire de mots de passe évite de réutiliser le même sésame d’un site à l’autre.
À lire Informatique : du boulier à l’ordinateur personnel, les étapes qui ont fait le mot
Méfiez-vous ensuite de tout message qui se recommande de ces organismes. La fiche réflexe de Cybermalveillance.gouv.fr recommande de contacter l’organisme par un moyen que vous avez trouvé vous-même, jamais via le lien reçu. Les SMS suspects se signalent au 33700, les mails frauduleux sur Signal Spam.
Si vous avez transmis des coordonnées bancaires, faites opposition sans attendre et conservez les messages reçus. Côté organismes, une violation de données personnelles présentant un risque doit être notifiée à la CNIL dans un délai maximal de 72 heures, rappelle la CNIL. En cas de risque élevé, les personnes concernées doivent aussi être prévenues.
Questions fréquentes #
Ces fuites sont-elles confirmées ?
Non. Il s’agit de revendications de pirates, jugées crédibles par FrenchBreaches mais non confirmées par les organisations au moment du relevé.
Faut-il changer mon mot de passe ?
Oui, si vous avez un compte chez l’un des services cités, surtout si vous réutilisez ce mot de passe ailleurs.
Où signaler un SMS frauduleux ?
Au 33700, gratuitement, par SMS ou sur la plateforme dédiée.
