Votre nom et votre prénom peuvent suffire à faire remonter votre adresse, votre IBAN ou votre numéro de Sécurité sociale sur un « look up », un moteur de recherche clandestin nourri par des fuites. Voici comment ils fonctionnent, ce que la CNIL déconseille et les gestes à faire selon la donnée volée.
En bref
- Les « look up » compilent des données volées lors de cyberattaques et les rendent interrogeables par nom, avec des abonnements payants.
- La CNIL juge ces services non conformes et déconseille de s'y chercher, même pour vérifier ses propres données.
- Le geste dépend de la donnée : mot de passe à changer vite, IBAN à surveiller, pièce d'identité à documenter.
Le chiffre clé : plus d'1 Français sur 2, déclare avoir été informé d'une fuite de ses données personnelles en 12 mois.
Un look up fonctionne comme un moteur de recherche, mais sur des données volées
Le principe est simple. Vous tapez un nom et un prénom, le site fouille sa base et renvoie ce qu'il a sur la personne : adresse mail, adresse postale, date de naissance, coordonnées bancaires, numéro de Sécurité sociale. Certains de ces sites ne sont accessibles que sur le Darkweb. D'autres se consultent sur l'Internet classique.
Le phénomène n'est pas neuf. Damien Bancal, qui anime le blog spécialisé Zataz, explique avoir vu le tout premier il y a 15 ans. Ce qui change, c'est leur multiplication récente. Les adresses de ces sites circulent surtout sur des forums consacrés à la cybercriminalité, ou sur des chaînes Telegram et Signal.
Les autorités viennent de frapper un premier coup en France : trois personnes ont été interpellées et un site d'agrégation de fuites a été fermé.
Les données viennent de fuites chez des entreprises et des organismes
L'origine exacte des informations reste difficile à établir. La CNIL indique toutefois que ces services fonctionnent généralement en compilant des données issues de violations, c'est-à-dire de vols dans les systèmes d'organisations ou d'entreprises.
Les exploitants de ces sites peuvent acheter les bases volées. Ils peuvent aussi les récupérer sans payer : selon Damien Bancal, des dizaines de forums diffusent des données anciennes ou récentes, qu'il suffit de télécharger.
Pour vous, cela veut dire qu'une fuite chez une enseigne ou un service public ne reste pas dans un coin du web. Elle peut finir dans une base interrogeable par n'importe quel curieux ou escroc. Et elle est loin d'être rare : plus d'1 Français sur 2 dit avoir été informé d'une fuite de ses données au cours des 12 derniers mois. Le numéro de téléphone du Premier ministre, Sébastien Lecornu, circule d'ailleurs depuis un vol de données chez la marque Le Slip Français en 2024.
Ne payez jamais pour faire retirer vos données, et ne vous cherchez pas sur ces sites
Ces sites ont un modèle économique. La plupart offrent quelques recherches gratuites, puis vendent des abonnements pour lever la limite. Sur deux sites consultés, les tarifs mensuels vont de 10 à 15 euros. L'un d'eux propose même, à partir de 11 euros, de supprimer vos données de sa propre base.
« Aux personnes concernées, ne payez jamais pour faire retirer vos données »
Anne Le Hénanff, ministre déléguée au Numérique, dans un message sur X
La ministre a dit avoir saisi la justice. De son côté, la CNIL estime que ces services n'apparaissent pas conformes à la législation. Elle déconseille de les utiliser, y compris pour vérifier si vos données y figurent, faute de garanties sur l'usage de ce que vous y saisiriez.
La justice est déjà mobilisée. Entre février et octobre 2026, la section cybercriminalité du parquet de Paris a ouvert une dizaine d'enquêtes pénales sur des sites d'agrégats de données volées.
Le bon geste dépend de la donnée qui a fuité
Toutes les fuites ne se valent pas. La CNIL et la plateforme Cybermalveillance, à l'occasion du mois de la cybersécurité, rappellent les réflexes à adopter selon le cas.
| Donnée volée | Risque principal | Geste à faire |
|---|---|---|
| Adresse mail ou téléphone | Faux SMS de livraison, faux mails de banque ou d'administration | Redoubler de vigilance face aux messages inattendus avec lien |
| Mot de passe | Test automatique sur d'autres sites | Le changer partout où il sert, activer la double authentification |
| IBAN seul | Prélèvements suspects | Pas d'opposition en général, surveiller les relevés, alerter la banque |
| Carte bancaire | Paiements frauduleux | Contacter sans attendre la banque, opposition éventuelle |
| Pièce d'identité | Usurpation, compte ou crédit ouvert à votre nom | Garder les preuves, porter plainte si l'identité est utilisée |
Pour le mot de passe, ne vous contentez pas du compte touché. Si vous le réutilisez ailleurs, changez-le sur chacun de ces sites, car les pirates testent les identifiants volés sur d'autres plateformes.
Un appel de « votre banque » qui connaît votre adresse doit vous alerter
Un interlocuteur qui cite votre nom, votre adresse ou une partie de vos coordonnées bancaires paraît forcément légitime. C'est justement ce que permet une fuite de données. Au moindre doute, raccrochez et rappelez vous-même votre banque, avec son numéro officiel.
Si votre pièce d'identité fait partie des données compromises, conservez toutes les preuves, notamment les messages qui vous annoncent l'incident. Si vous découvrez qu'on a utilisé votre identité, déposez plainte.
Les attaques ne touchent pas que des enseignes privées. France Travail et le site des impôts, en juin, ont aussi connu des incidents de sécurité. Le réflexe vaut donc pour tout courrier d'information sur une fuite, quel que soit l'expéditeur.
Vos questions
Dois-je vérifier si mes données figurent sur un look up ?
La CNIL le déconseille. Ces services n'apparaissent pas conformes à la législation et rien ne garantit l'usage qui sera fait des informations que vous y saisiriez.
Faut-il faire opposition si mon IBAN a fuité ?
Si seul l'IBAN est concerné, il n'est généralement pas nécessaire de faire opposition ni de changer de compte. Surveillez vos relevés et signalez vite à votre banque tout prélèvement suspect.
Peut-on payer pour faire effacer ses données d'un look up ?
Non. La ministre déléguée au Numérique, Anne Le Hénanff, appelle les personnes concernées à ne jamais payer. Certains sites vendent pourtant cette suppression, à partir de 11 euros pour l'un d'eux.
Sources : 20 Minutes, franceinfo.