Un site fonctionnant comme un moteur de recherche agrège 1,2 milliard de données personnelles de Français — état civil, IBAN, données médicales, plaques d'immatriculation — en croisant sources administratives ouvertes et fuites issues du darkweb. La CNIL juge le dispositif non conforme, une plainte a été déposée, mais le service reste actif et s'est même monétisé.
Un incident survenu dans un collège de l'Essonne a mis en lumière un phénomène bien plus vaste : des enseignants ont constaté que leurs élèves pouvaient consulter librement l'ensemble de leurs informations personnelles sur une plateforme apparue depuis quelques semaines seulement. Cette découverte locale n'est que la partie visible d'un dispositif d'ampleur nationale, capable de restituer en quelques clics l'identité, les coordonnées bancaires ou encore les données de santé de millions de citoyens français.
L'existence de ce service a été mise au jour par la cellule de vérification de franceinfo. Le site se présente comme un outil de recherche classique, mais il permet en réalité d'obtenir, pour une personne donnée, son nom, sa date et son lieu de naissance, son adresse, son numéro de passeport, ses coordonnées bancaires (IBAN), des informations médicales ou la composition de son foyer. L'enquête de franceinfo a également révélé que des données appartenant à des agents publics — normalement protégées à ce titre — ainsi que des informations relatives à l'entourage de personnalités connues figuraient parmi les contenus indexés.
Le fonctionnement technique repose sur l'agrégation automatisée d'une centaine de sources distinctes. Selon les explications recueillies par franceinfo auprès de l'un des développeurs du site, un jeune homme de 18 ans se présentant sous le pseudonyme « Zalko », ces sources combinent des plateformes administratives publiques et des bases de données volées lors de cyberattaques, ensuite diffusées sur le darkweb. Un logiciel développé en interne se charge de collecter et de recouper ces informations, y compris certaines issues de l'INSEE.
L'argumentaire avancé par le créateur du site pour justifier cette pratique repose sur une interprétation contestable : une donnée personnelle divulguée à la suite d'un piratage perdrait, selon lui, son caractère privé dès lors qu'elle circule déjà publiquement. « Zalko » indique par ailleurs ne pas redouter de poursuites judiciaires et se dit disposé à faire valoir sa position devant un tribunal.
Sur le plan réglementaire, la position de la Commission nationale de l'informatique et des libertés est sans ambiguïté : un tel service, qui compile des données issues de violations de sécurité, n'est pas conforme à la législation applicable en matière de protection des données personnelles. La ministre déléguée chargée de l'Intelligence artificielle et du Numérique a pour sa part saisi la justice, en s'appuyant sur l'article 40 du code de procédure pénale, qui impose à tout agent public ayant connaissance d'un crime ou d'un délit d'en informer le procureur de la République.
Ce cadre juridique n'a toutefois pas empêché le site de poursuivre son activité. Gratuit jusqu'au 15 juin, il a depuis basculé vers un modèle payant, avec des abonnements affichés à 10 euros la semaine ou 35 euros le mois. Ses créateurs évoquent même la perspective de doubler, voire tripler ces tarifs.
Interrogé par franceinfo, le hackeur éthique Clément Domingo, connu sous le pseudonyme SaxX, qualifie la situation d'« édifiante » tout en se montrant peu optimiste quant aux moyens d'y mettre fin. Il souligne la logique économique qui sous-tend ce type de plateforme, ainsi que sa résilience structurelle : la fermeture d'un site de ce genre entraîne généralement l'apparition immédiate de plusieurs autres services similaires. Son constat est sans détour : une fois exposées, ces données personnelles demeurent accessibles sur internet de façon quasi permanente.
Ce type d'affaire illustre un enjeu que les organisations, publiques comme privées, ne peuvent plus traiter comme secondaire. La multiplication des fuites de données, leur réutilisation à des fins commerciales et la difficulté à les faire disparaître une fois diffusées renforcent l'intérêt d'une démarche structurée de sécurité de l'information, notamment via des référentiels reconnus comme la norme ISO 27001, qui vise précisément à limiter l'exposition des données sensibles face à ce type de risque.
Source : franceinfo, cellule Vrai ou Faux, 2025.