Votre numéro, votre adresse, parfois votre IBAN : un moteur de recherche pirate les affiche à partir d'un simple nom, de Marine Le Pen comme d'anonymes. Le consulter par curiosité vous expose à un risque pénal et à la fuite de vos propres données. Voici ce qu'il faut vérifier pour vous.
En bref
- Un moteur pirate regroupe les données volées de millions de Français, consultables à partir d'un nom, avec vingt recherches gratuites.
- Détenir ou exploiter ces données volées relève du recel : cinq ans de prison et 375 000 euros d'amende.
- Pour payer, le site testé réclamait un IBAN, des coordonnées bancaires ou des cryptomonnaies : vous confiez tout à un opérateur inconnu.
Le chiffre clé : 375 000 euros, Amende maximale encourue pour recel de données volées, avec cinq ans de prison.
Un nom suffit pour afficher le numéro d'une personnalité ou d'un anonyme
Vous tapez un nom, le moteur répond. Les journalistes de RTL ont obtenu ainsi le numéro de téléphone de Marine Le Pen, de Jean-Luc Mélenchon et d'Édouard Philippe, ainsi que des adresses associées à Éric Zemmour et à François Ruffin. La radio a choisi de taire le nom du site.
Les journalistes de France Télévisions ont fait le même test. En quelques secondes, ils ont obtenu le téléphone et l'e-mail de Marine Tondelier, l'adresse personnelle d'Édouard Philippe et un numéro de compte bancaire attribué à François Ruffin, sans pouvoir vérifier qu'il était exact. Le site revendique des dizaines de millions de données.
L'accès paraît anodin. Un compte gratuit suffit : vingt recherches sont offertes contre une adresse e-mail, puis l'abonnement coûte 20 euros par mois sur le site consulté par RTL. Interrogés dans la rue, une riveraine a reconnu son numéro et son adresse e-mail, un passant a retrouvé aussi l'adresse de ses parents.
Ces fiches sont fabriquées avec les fuites de données à répétition
Les spécialistes parlent de « lookups ». Leurs créateurs récupèrent ou achètent des fichiers dérobés par d'autres pirates à des entreprises ou à des administrations, puis les rassemblent dans une base unique. Selon la personne, la fiche peut contenir un IBAN, un numéro de sécurité sociale, une plaque d'immatriculation ou l'adhésion à une fédération sportive.
Le carburant, ce sont les fuites récentes : France Travail, administration fiscale, opérateurs télécoms, fédérations sportives. Le mois dernier, un attaquant a récupéré les IBAN et les adresses postales de 143 000 bénéficiaires d'une aide régionale à l'énergie, lors de la cyberattaque contre l'ASP.
« Aujourd'hui, cela concerne de fait près de neuf Français sur dix »
Clément Domingo, hacker éthique, interrogé par RTL
Marine Tondelier, candidate écologiste à la présidentielle, dit avoir été concernée par les fuites de la CAF et des impôts. Elle ignore laquelle a alimenté le site, et résume : « on doit pouvoir savoir, quand on est citoyen de ce pays, que nos données sont en sécurité ».
Chercher les données d'un tiers peut vous exposer à des poursuites pour recel
Détenir ou exploiter ces données en connaissant leur origine relève du recel : cinq ans d'emprisonnement et 375 000 euros d'amende. L'avocate Eléonore Favero Agostini rappelle que tous les maillons de la chaîne sont concernés, du pirate à l'agrégateur, en passant par celui qui achète les données.
Thibault Douville, professeur de droit du numérique à l'Université de Caen, distingue deux cas. Entrer son propre nom dans un lookup ne constitue a priori rien d'illégal. Collecter des informations sur des tiers, en revanche, revient à réaliser un traitement de données illicite, passible du recel. Un ancien conjoint, un voisin, une personnalité : selon les circonstances, vous entrez dans le périmètre du risque.
Aucune condamnation n'a encore été prononcée en France dans une affaire de lookup, mais la justice s'est saisie du sujet. Le parquet de Paris a ouvert plusieurs enquêtes dès avril, et un jeune homme de 19 ans a été mis en examen puis placé en détention provisoire le 14 mai. La brigade de lutte contre la cybercriminalité de la police judiciaire parisienne enquête sur le site consulté par RTL. En juin, la ministre déléguée chargée du Numérique, Anne Le Hénanff, avait saisi la justice à propos d'un autre moteur.
Payer, c'est confier son IBAN à un opérateur inconnu qui peut être piraté
Lors d'un test, le paiement par PayPal s'est révélé impossible, le site invoquant une maintenance. La plateforme demandait de saisir un IBAN ou des coordonnées bancaires, ou de payer en cryptomonnaies. Pour consulter des données volées, il faut donc livrer les siennes à ceux qui exploitent ces fuites.
Selon FrenchBreaches, un moteur de ce type aurait lui-même été compromis en juillet. Adresses e-mail, adresses IP, historiques de recherche et journaux d'activité auraient été exposés. La liste des personnes que vous avez cherchées pourrait alors se retrouver associée à votre e-mail et à votre adresse IP. Autre danger : l'exit scam, un site qui disparaît avec l'argent de ses abonnés, sans aucun recours face à un vendeur anonyme.
Le précédent WeLeakInfo, site vendant l'accès à des milliards de données issues de plus de 10 000 fuites, montre que la base clients survit au site :
| Date | Ce qui s'est passé |
|---|---|
| Janvier 2020 | Le FBI et plusieurs polices européennes saisissent le site |
| Décembre 2020 | 21 de ses clients sont arrêtés au Royaume-Uni |
| Mars 2021 | Un nom de domaine secondaire expire : un hacker prend le contrôle du compte Stripe associé |
| Conséquence | Données de paiement de près de 24 000 enregistrements exposées, près de 12 000 adresses e-mail uniques recensées par Have I Been Pwned |
Vos vrais risques : l'arnaque ciblée et des fiches de plus en plus précises
Pour un escroc spécialisé dans l'hameçonnage ou les faux appels de conseillers bancaires, ces moteurs sont une mine. En quelques clics, il connaît votre banque et votre numéro. Son scénario devient beaucoup plus crédible. Un interlocuteur qui cite votre banque n'est donc pas une preuve de sérieux.
Quelques points à passer en revue pour vous :
- Avez-vous un dossier à France Travail, aux impôts, à la CAF, chez un opérateur télécom ou dans une fédération sportive ? Ces organismes figurent parmi les fuites récentes.
- Touchez-vous une aide régionale à l'énergie ? Les IBAN et adresses de 143 000 bénéficiaires ont été dérobés lors de l'attaque contre l'ASP.
- Partez du principe que votre numéro, votre banque et votre adresse peuvent circuler, et méfiez-vous de tout appel qui vous demande des informations bancaires.
- Ne cherchez ni un proche, ni un collègue, ni un voisin : c'est là que le risque de recel apparaît.
Ne vous fiez pas non plus à ce que affiche un lookup : lors du test d'un journaliste de France Télévisions, le portable était erroné et l'adresse e-mail celle d'un ami. Mais Gérôme Billois, expert en cybersécurité chez Wavestone, prévient que ces fiches vont devenir de plus en plus précises avec des données plus fraîches.
Vos questions
Puis-je chercher mon propre nom sans risque ?
Pour le professeur de droit Thibault Douville, saisir son propre nom n'a a priori rien d'illégal. Mais le site demande d'abord une adresse e-mail, puis un IBAN ou des cryptomonnaies pour payer, et un moteur de ce type aurait déjà vu ses journaux de recherche exposés. Votre curiosité peut donc se retourner contre vous.
Les informations affichées sont-elles exactes ?
Pas toujours. Un journaliste de France Télévisions a trouvé son téléphone fixe correct, mais un portable erroné, l'adresse e-mail d'un ami, son ancienne voiture et une association sportive rejointe il y a 30 ans. Gérôme Billois, de Wavestone, s'attend toutefois à des fiches de plus en plus précises.
Ces sites vont-ils être fermés ?
La police judiciaire parisienne a ouvert une enquête sur le site consulté par RTL, et le parquet de Paris mène d'autres procédures depuis avril. Mais Clément Domingo prévient : « lorsqu'un de ces sites ferme, deux ou trois autres réapparaissent presque aussitôt ».
Sources : clubic.com, franceinfo, numerama.com.