Un moteur de recherche pirate donne les numéros de téléphone de candidats à la présidentielle (et des données personnelles de millions de Français)
Marine Le Pen, Jean-Luc Mélenchon, Édouard Philippe… Les coordonnées de plusieurs candidats à l'Élysée apparaissent sur un site qui compile des données volées et qui menace d'abord des millions de Français anonymes.
C'est un article choc que RTL a publié ce mardi 29 septembre. Et pour cause : il est question d'un moteur de recherche très spécial qui permet, en tapant simplement le nom d'une personne d'obtenir en quelques secondes son numéro de téléphone, son adresse, et parfois bien davantage. Surtout, il fonctionne avec des millions de Français mais aussi avec les personnalités politiques les plus exposées du pays. Sur ce site pirate, dont le média a tu le nom pour ne pas aggraver le préjudice, apparaissent en effet des numéros associés à Jean-Luc Mélenchon, Édouard Philippe et Marine Le Pen, ainsi que des adresses liées à Éric Zemmour et François Ruffin.
À un peu plus de six mois du premier tour, fixé au 18 avril 2027, l'affaire tombe mal. Des coordonnées de candidats en accès libre, c'est une porte ouverte aux canulars, au harcèlement et aux escroqueries ciblées. Le problème dépasse pourtant de loin la campagne.
Exploitation des données volées : des "lookups" qui recyclent les infos
Dans le jargon de la cybersécurité, ces services portent un nom : ce sont des "lookups". Leur principe est d'une simplicité redoutable. Leurs exploitants achètent ou récupèrent des fichiers volés, puis les fusionnent dans une seule base, interrogeable à partir d'un nom, d'un numéro ou d'une adresse e-mail. Nul besoin de pirater qui que ce soit : ils ramassent ce que d'autres ont dérobé.
Selon la personne recherchée, la moisson peut être copieuse : dates de naissance, plaques d'immatriculation, adhésions à des fédérations sportives, IBAN, voire numéros de sécurité sociale. Tout cela proviendrait de fuites déjà connues. Free, SFR, France Travail, des dizaines de fédérations sportives et même l'administration fiscale ont été touchés ces dernières années (voir notre article). Clément Domingo, hacker éthique plus connu sous le pseudonyme de SaxX, estime auprès de RTL que près de neuf Français sur dix sont désormais concernés. En clair, personne n'est épargné, pas même les candidats à l'Élysée.
La nouveauté ne tient donc pas aux fuites elles-mêmes, mais à leur facilité d'accès. Pendant longtemps, ces fichiers ont circulé sur des forums spécialisés ou dans des cercles fermés. Ils sont aujourd'hui accessibles à tous à travers des interfaces simples et familières, sous forme de sites Web ou de robots sur Telegram ou Discord.
Exploitation des données volées : un business juteux
Bien entendu, les pirates ne sont pas totalement désintéressés, et ils monnaient leurs services avec un modèle économique souvent calqué sur celui des applications grand public. C'est le cas du site repéré par RTL qui repose sur un abonnement payant : il offre ainsi vingt recherches gratuites en échange d'une adresse mail, puis réclame 20 euros par mois pour des recherches supplémentaires. Malin !
Pour les escrocs, ces bases valent de l'or. Prise isolément, une date de naissance ne dit pas grand-chose. Croisée avec un nom, une adresse et le nom d'une banque, elle rend un fraudeur redoutablement crédible au bout du fil. C'est tout le ressort de l'arnaque au faux conseiller bancaire, qui appelle pour signaler une opération suspecte et finit par obtenir, à force d'aplomb, un code de validation. Les messages d'hameçonnage personnalisés reposent sur le même mécanisme. Plus le mensonge est précis, mieux il trompe. Et le danger ne s'éteint pas avec le temps. Une donnée exposée peut resservir pendant des années, au gré des campagnes d'usurpation d'identité et de fraude.
Sur le papier, la loi ne laisse aucune ambiguïté. Pouvoir consulter ces données ne donne pas le droit de s'en servir : les détenir ou les exploiter en connaissant leur origine peut relever du recel, puni de cinq ans de prison et de 375 000 euros d'amende.
Les enquêtes ne manquent pas non plus. En juin, franceinfo avait déjà mis au jour un service comparable, que plusieurs responsables politiques avaient signalé à la justice. Selon RTL, la brigade de lutte contre la cybercriminalité de la police judiciaire parisienne a ouvert une enquête sur ce nouveau site. Le parquet de Paris suit d'ailleurs déjà plusieurs dossiers visant ce type de plateformes. Mais ce combat rappelle celui contre l'hydre. "Lorsqu'un de ces sites ferme, deux ou trois autres réapparaissent presque aussitôt", constate SaxX.
Une donnée volée ne s'efface jamais, mais il reste possible d'en compliquer l'exploitation. Le site Have I Been Pwned vérifie gratuitement si une adresse e-mail figure dans une fuite connue. Si c'est le cas, mieux vaut changer le mot de passe associé et activer la double authentification partout où elle est proposée.
Au téléphone, une règle ne souffre aucune exception : une banque ne réclame jamais un code reçu par SMS, pas plus qu'elle ne demande de valider une opération pour en annuler une autre. Au moindre doute, il faut raccrocher, puis rappeler soi-même le numéro habituel de son agence. Et ne jamais hésiter à utiliser les plateformes publiques comme Cybermalveillance et 17Cyber pour s'informer et signaler des escroqueries en ligne.
Les prétendants à l'Élysée découvrent ainsi ce que vivent les Français ordinaires. Rien ne dit pour autant que cela suffira à faire de la protection des données personnelles un thème de campagne électorale.