Le samedi 17 octobre, les forums cybercriminels ont vu défiler en quelques heures les fichiers revendiqués d’une vingtaine d’organisations françaises. Selon le décompte de FrenchBreaches, plus de 9 millions de personnes sont potentiellement concernées. Le chiffre additionne surtout des revendications de pirates. Voici ce que l’on sait, ce qui reste à confirmer, et pourquoi cette fuite de données concerne aussi les détenteurs de cryptos.

Une cyberattaque en série : le bilan revendiqué

Le décompte vient de Seb La Tombe, fondateur de FrenchBreaches, une plateforme qui documente au jour le jour les fuites de données en France. Dans un récapitulatif publié le dimanche matin, il chiffre à plus de 9 millions le nombre de personnes potentiellement touchées. Six noms font l’essentiel du volume :

  • Nomad Education : 4,8 millions de fiches d’utilisateurs, dont des élèves et des étudiants ;
  • I-CAD : 2,2 millions de propriétaires d’animaux et 50 000 vétérinaires ;
  • Centrale Canine : 1,4 million de propriétaires de chiens ;
  • Fédération française de tir : 586 854 licenciés, 64 000 photos d’identité et 19 000 documents ;
  • O’Tacos : 334 474 adresses de livraison ;
  • Inter-Etab : 286 773 fiches d’élèves.

La liste continue avec 49 761 enregistrements de facturation d’Alain Afflelou et 16 556 documents de Malakoff Humanis, parmi lesquels des prises en charge hospitalières et des historiques de remboursements. Plus de 38 000 clients des armureries Gilles et Laudier figureraient aussi dans le lot, de même que 3 400 documents internes de la Grande Loge Traditionnelle de France et 987 personnes liées à la Grande Loge Féminine.

Prudence toutefois : ce sont des déclarations de pirates, que FrenchBreaches classe pour la plupart comme crédibles, mais pas encore confirmées. Un même pseudonyme, ChimeraZ, revient derrière plusieurs d’entre elles : Centrale Canine, Malakoff Humanis et la Grande Loge Féminine. Le Journal du Coin précise ne pas avoir pu recouper la revendication visant I-CAD, dont le gestionnaire n’avait reconnu jusqu’ici qu’une fuite d’environ 2 000 adresses e-mail identifiée en 2025.

La CAF et l’ANSSI visées par des attaques par déni de service

Le même samedi matin, le site caf.fr et l’application mobile de la CAF ont affiché « Ce site est inaccessible » pendant plusieurs heures. Une attaque par déni de service distribué (DDoS) est soupçonnée. Le principe : saturer un site de requêtes jusqu’à le rendre indisponible. Aucune confirmation officielle n’est venue, et une panne technique reste possible.

Le groupe CyberTroll Team revendique de son côté une attaque lancée vers 10 heures contre le site de l’ANSSI, l’agence chargée de la cybersécurité de l’État français. Apparu début octobre, il se dit affilié à NoName057(16), un collectif prorusse qui rémunère ses volontaires en crypto, environ 1,20 dollar par jour en dCoins convertibles en TON. Selon Seb La Tombe, les sites des villes de Marseille et de Lyon, celui de Toulouse Métropole et celui de L’Humanité auraient aussi été visés.

Le bruit dépasse souvent les dégâts réels. Dans son rapport 2026 sur les menaces, l’agence européenne ENISA indique que seules 23,8 % des revendications de NoName057(16) examinées ont été corroborées par des contrôles indépendants de disponibilité.

Une semaine plus tôt, la Cnaf avait suspendu Vacaf, sa plateforme d’aides aux vacances, après un piratage revendiqué à 1 191 967 dossiers d’allocataires. Et le 30 septembre, l’ANSSI publiait le bilan de sa propre compromission via le logiciel Metabase, avec 120 comptes touchés.

Pourquoi une adresse postale qui fuite expose les détenteurs de cryptos

Pour un détenteur de cryptos, la donnée la plus sensible n’est pas forcément un mot de passe. Une adresse postale associée à un nom permet de localiser une personne. La France a déjà connu une série d’enlèvements liés aux cryptos nourris par ce type de fichiers : en avril, la justice comptait déjà 88 mises en examen dans cette vague de crypto-rapts.

Le second risque est l’hameçonnage ciblé. Un fichier qui réunit un nom, une adresse et des remboursements de santé permet de rédiger un faux e-mail très crédible, au nom d’un organisme que la victime connaît. Une règle reste valable dans tous les cas : aucun exchange ni aucun fabricant de wallet ne demandera jamais la phrase de récupération, ces 12 ou 24 mots qui donnent accès aux fonds.

Les réflexes utiles, en France comme en Suisse

Ces fichiers concernent des organisations françaises, mais le mécanisme n’a pas de frontière. En Suisse aussi, une fuite de données peut passer par un prestataire. La page « Que faire ? » de FrenchBreaches détaille ceux des 24 premières heures :

  • changer le mot de passe du service concerné et de tous les comptes qui partagent le même ;
  • activer la double authentification par application plutôt que par SMS, car le SMS reste exposé au SIM swapping, le détournement de la ligne téléphonique auprès de l’opérateur ;
  • déconnecter les sessions ouvertes et surveiller ses relevés bancaires ;
  • ne cliquer sur aucun lien reçu au nom de l’organisme piraté et passer toujours par son site officiel.

Si une pièce d’identité a fuité, FrenchBreaches recommande en France une pré-plainte en ligne et renvoie vers Cybermalveillance.gouv.fr et la CNIL. Pour tous, la protection des données personnelles passe aussi par la méfiance envers tout message qui s’appuie sur des informations que l’expéditeur ne devrait pas connaître.

Sources

  • Journal du Coin : « Vague de cyberattaques en France le 17 octobre : 9 millions de personnes concernées »