Adresses, téléphones et IBAN : un moteur de recherche expose les données personnelles d’élus et de citoyens français

Une découverte qui montre ce que deviennent réellement les données volées lors des cyberattaques

Lorsqu’une entreprise annonce avoir été victime d’une cyberattaque, l’attention se concentre généralement sur quelques questions immédiates : combien de personnes sont concernées, quelles informations ont été compromises, les mots de passe ont-ils été récupérés et les coordonnées bancaires font-elles partie des données dérobées ? Pendant quelques jours, l’incident fait parler de lui, les utilisateurs reçoivent éventuellement un message d’information, certains changent leur mot de passe et l’actualité finit par passer à autre chose. Pourtant, pour les personnes concernées, l’histoire ne s’arrête absolument pas lorsque l’entreprise a sécurisé ses serveurs. Une fois qu’une base de données a été copiée par un attaquant, il devient pratiquement impossible de contrôler ce qu’elle deviendra. Elle peut être conservée pendant des années, vendue à plusieurs groupes, échangée sur des forums clandestins, combinée avec d’autres fichiers ou réapparaître longtemps après l’incident initial dans des outils permettant d’effectuer des recherches extrêmement précises sur une personne.

C’est justement ce phénomène que vient mettre en lumière une enquête publiée le 10 août 2026 par Dijon Actualités. Le média affirme avoir découvert l’existence d’une plateforme capable d’agréger d’importantes quantités de données personnelles provenant de différentes fuites et de permettre leur consultation à travers un système ressemblant à un véritable moteur de recherche. L’utilisateur n’aurait donc plus besoin de télécharger manuellement plusieurs énormes fichiers de données compromises puis de les analyser un par un. Une simple recherche à partir d’informations comme un nom, un prénom ou une adresse pourrait permettre de faire apparaître différents éléments associés à une personne. La rédaction a volontairement choisi de ne pas communiquer le nom ou l’adresse de la plateforme afin de ne pas faciliter son utilisation et indique avoir signalé son existence aux services de police.

L’affaire est particulièrement intéressante parce qu’elle ne semble pas révéler une nouvelle cyberattaque massive ayant spécifiquement ciblé la ville de Dijon ou ses élus. Elle montre plutôt la conséquence à long terme d’un phénomène que la France connaît désormais très régulièrement : l’accumulation des fuites de données. Une personne peut apparaître dans plusieurs bases compromises provenant d’entreprises totalement différentes et datant de plusieurs années. Lorsqu’un système est capable de rapprocher ces informations, des fragments qui semblaient relativement anodins lorsqu’ils étaient isolés peuvent progressivement former un profil extrêmement détaillé.

Nom, adresse, téléphone, e-mail et parfois même coordonnées bancaires

Selon les constatations rapportées par Dijon Actualités, les résultats obtenus peuvent contenir différents types d’informations personnelles. Toutes les personnes ne disposent évidemment pas d’une fiche identique et certaines informations peuvent être anciennes, incomplètes ou ne plus correspondre à la situation actuelle de la personne. Néanmoins, le média affirme avoir retrouvé, selon les profils, des noms, adresses postales, numéros de téléphone, adresses électroniques et parfois des données présentées comme des coordonnées bancaires, notamment des IBAN.

Il faut ici faire une distinction importante. Le fait qu’une plateforme issue de données compromises affiche une information ne permet pas automatiquement d’affirmer que celle-ci est encore valide en 2026. Une personne peut avoir déménagé, changé de numéro de téléphone, fermé un compte bancaire ou abandonné une adresse électronique depuis la fuite originale. De même, une base illégitime peut contenir des erreurs ou des associations incorrectes. Mais cela ne rend pas le problème insignifiant. Même une information vieille de plusieurs années peut être utile à quelqu’un cherchant à identifier une personne, retrouver d’autres comptes lui appartenant ou construire une tentative d’escroquerie beaucoup plus crédible.

Le danger augmente surtout lorsque plusieurs informations correctes sont regroupées. Recevoir un e-mail frauduleux contenant uniquement son prénom n’a aujourd’hui rien d’exceptionnel. En revanche, recevoir un message contenant son nom complet, son adresse, son numéro de téléphone et éventuellement des informations liées à son compte bancaire peut immédiatement donner une impression de légitimité beaucoup plus forte. Un fraudeur n’a pas besoin que toutes les informations soient récentes : quelques données authentiques suffisent parfois à convaincre une victime qu’elle parle réellement à sa banque, son opérateur téléphonique, une administration ou une entreprise avec laquelle elle possède un contrat.

Plusieurs élus de Dijon et de Bourgogne-Franche-Comté apparaissent dans les recherches

Pour vérifier l’étendue des informations disponibles, les journalistes ont effectué différentes recherches concernant des personnalités politiques locales. Parmi les personnes citées figure notamment François Rebsamen, président de Dijon Métropole et ancien ministre. Selon Dijon Actualités, une recherche correspondant à son identité faisait apparaître plusieurs informations personnelles, parmi lesquelles une adresse et des données présentées comme des coordonnées bancaires. Le média n’a naturellement pas reproduit ces informations sensibles dans son article.

Les recherches ne se sont toutefois pas arrêtées à une seule personnalité. Des résultats correspondant à plusieurs membres du conseil municipal de Dijon auraient également été retrouvés, ainsi que des responsables appartenant à différentes tendances politiques. L’enquête a ensuite été étendue à d’autres collectivités, notamment au conseil régional de Bourgogne-Franche-Comté, au conseil départemental de la Côte-d’Or ainsi qu’à plusieurs communes appartenant à Dijon Métropole. Là encore, différents profils seraient apparus dans le moteur de recherche.

Cette diversité est importante, car elle montre qu’il ne s’agit vraisemblablement pas d’un fichier spécifiquement constitué pour surveiller un parti politique ou une collectivité particulière. Les personnes semblent plutôt apparaître parce que leurs informations se trouvaient déjà dans différentes bases compromises. Dans au moins un cas étudié par la rédaction, la plateforme aurait d’ailleurs associé certaines informations à une compromission concernant une entreprise française survenue en 2024. Cela permet de comprendre la logique du système : l’information peut avoir été volée plusieurs années auparavant, mais devenir beaucoup plus facilement exploitable aujourd’hui grâce à un outil qui la centralise et la rend consultable en quelques secondes.

Non, cela ne signifie pas que la mairie de Dijon vient d’être piratée

C’est probablement l’une des précisions les plus importantes à apporter concernant cette affaire. Voir apparaître plusieurs élus d’une même région dans une base de données ne signifie pas automatiquement qu’un pirate vient de compromettre le système informatique de la mairie de Dijon, de Dijon Métropole ou du conseil régional. À ce stade, les éléments rapportés par l’enquête décrivent plutôt une agrégation de données provenant de compromissions antérieures. Il serait donc trompeur de présenter cette découverte comme une nouvelle attaque informatique contre les institutions dijonnaises sans preuve supplémentaire.

Une même personne confie aujourd’hui ses informations personnelles à un nombre impressionnant d’organisations. Une banque connaît son identité et ses coordonnées financières. Un opérateur téléphonique possède son numéro, son adresse et ses informations de facturation. Une boutique en ligne conserve son adresse de livraison. Un assureur dispose d’autres renseignements. Un programme de fidélité peut connaître son téléphone et son adresse électronique. Des administrations, plateformes numériques, applications et services de livraison possèdent encore d’autres fragments de son identité. Il suffit qu’une petite partie de ces organismes soit compromise au fil des années pour qu’une quantité considérable d’informations commence à circuler.

Imaginons qu’une première fuite révèle uniquement une adresse électronique et un numéro de téléphone. Quelques années plus tard, une deuxième compromission associe cette même adresse électronique à un nom complet et une adresse postale. Une troisième fuite contient le nom, la date de naissance et d’autres informations. Une quatrième fournit éventuellement des informations financières. Chacune de ces bases, considérée individuellement, ne permet pas nécessairement de dresser un portrait complet. Mais lorsqu’elles sont regroupées autour d’un identifiant commun, comme une adresse e-mail ou un numéro de téléphone, elles peuvent progressivement permettre de reconstruire l’identité numérique d’une personne.

Le test réalisé sur une résidence montre que le phénomène concerne aussi les citoyens ordinaires

Les responsables politiques constituent naturellement des exemples particulièrement visibles, mais l’un des éléments les plus intéressants de l’enquête concerne justement des personnes qui ne sont pas des personnalités publiques. Pour déterminer si les résultats obtenus étaient principalement liés à la forte présence des élus sur Internet, Dijon Actualités indique avoir réalisé un test sur les occupants d’une résidence comprenant 51 logements. Selon le média, des profils correspondant à 31 occupants ont pu être retrouvés grâce au service.

Ce résultat donne une tout autre dimension à l’affaire. Il signifie que le problème ne concerne pas seulement des responsables politiques, des dirigeants d’entreprises ou des personnalités dont les informations sont largement accessibles publiquement. Des citoyens ordinaires peuvent également apparaître dans ce type de base simplement parce qu’ils ont utilisé des services victimes de cyberattaques au cours des dernières années. Il n’est même pas nécessaire que la personne ait commis une erreur particulière en matière de cybersécurité. Elle peut utiliser un mot de passe différent sur chaque site, activer l’authentification à deux facteurs et maintenir parfaitement son ordinateur à jour : si une entreprise à laquelle elle a confié ses données se fait pirater, certaines informations peuvent malgré tout être compromises.

C’est une différence fondamentale entre la sécurité de ses comptes et la protection de ses données personnelles. Un utilisateur peut contrôler la sécurité de son propre ordinateur, de son téléphone et de ses mots de passe. Il ne peut en revanche pas auditer personnellement la sécurité informatique de chaque banque, assureur, opérateur, boutique, administration ou plateforme ayant conservé ses informations depuis quinze ans. Nous dépendons donc en permanence de la capacité de centaines d’organisations à protéger correctement des données qui, une fois volées, peuvent continuer à circuler très longtemps.

Une cyberattaque peut durer quelques heures, mais les données volées peuvent circuler pendant des décennies

C’est probablement l’un des aspects les plus sous-estimés des fuites de données. Une entreprise peut subir une intrusion un lundi, identifier la faille le mardi, isoler ses serveurs le mercredi et annoncer le vendredi que l’incident est désormais maîtrisé. Techniquement, elle peut avoir raison : l’attaquant n’a peut-être plus accès à son infrastructure. Mais si celui-ci a eu le temps d’exfiltrer une base contenant plusieurs millions d’enregistrements, la partie la plus durable du problème vient seulement de commencer.

Contrairement à un serveur compromis, une donnée copiée ne peut pas être rappelée à distance. L’entreprise peut changer les mots de passe de ses utilisateurs, révoquer des sessions ou remplacer certains identifiants techniques, mais elle ne peut pas effacer toutes les copies d’un fichier qui se trouvent désormais sur des machines qu’elle ne contrôle plus. Une base peut être copiée des centaines de fois sans aucune perte de qualité. Chaque acheteur peut la revendre à son tour. Elle peut circuler sur des forums clandestins, être intégrée à des collections contenant plusieurs milliards d’enregistrements puis réapparaître plusieurs années plus tard.

C’est précisément ce qui distingue une fuite numérique du vol d’un objet traditionnel. Lorsqu’un document papier est volé, le propriétaire perd généralement un exemplaire. Lorsqu’une base de données numérique est dérobée, l’organisation conserve souvent ses données pendant que l’attaquant en possède désormais une copie parfaitement identique. Le vol ne retire donc pas nécessairement l’information à son propriétaire : il détruit son exclusivité. À partir de cet instant, il devient impossible de savoir précisément combien de personnes la possèdent.

Le véritable danger vient de la combinaison des différentes fuites

Une base de données contenant uniquement des adresses électroniques peut sembler relativement limitée. Une autre contenant des numéros de téléphone paraît également peu spectaculaire. Une troisième peut contenir des noms et des adresses. Pourtant, lorsqu’un outil est capable de relier automatiquement ces différentes sources, leur valeur augmente considérablement. C’est exactement le principe utilisé dans l’analyse de données : une information isolée apporte peu de contexte, mais plusieurs informations reliées autour de la même identité peuvent produire un profil beaucoup plus complet.

Une adresse électronique constitue par exemple un excellent point de rapprochement, car de nombreuses personnes utilisent la même pendant des années. Un numéro de téléphone joue un rôle similaire. Si une fuite de 2021 contient prenom.nom@example.com avec un numéro de téléphone et qu’une fuite de 2024 contient la même adresse avec une adresse postale, il devient possible de supposer qu’elles concernent la même personne. Une troisième base peut ensuite ajouter une date de naissance ou d’autres renseignements. Le processus peut être automatisé à très grande échelle.

Ce phénomène explique pourquoi une fuite apparemment « peu sensible » ne doit jamais être totalement minimisée. Une information qui semble sans importance aujourd’hui peut devenir beaucoup plus intéressante demain lorsqu’elle est combinée avec une autre. C’est également pour cette raison que les entreprises devraient éviter de collecter ou de conserver des informations dont elles n’ont plus réellement besoin : chaque donnée stockée constitue une donnée supplémentaire susceptible d’enrichir un futur profil en cas de compromission.

Un IBAN exposé ne permet pas de vider directement un compte bancaire

La présence d’informations présentées comme des IBAN mérite une explication particulière, car elle peut facilement provoquer une inquiétude excessive. Un IBAN est évidemment une donnée bancaire sensible, mais ce n’est pas l’équivalent du mot de passe permettant d’accéder à un compte. Connaître l’IBAN d’une personne ne permet normalement pas de se connecter à son espace bancaire, de consulter son solde ou d’effectuer librement des virements vers un autre compte. Il ne faut donc pas imaginer qu’un pirate disposant simplement d’un nom et d’un IBAN possède instantanément les clés du compte bancaire.

Cela ne signifie pas pour autant que sa divulgation soit anodine. Le danger apparaît surtout lorsque l’IBAN est associé à plusieurs autres informations réelles. Un escroc peut contacter une personne en prétendant travailler pour son établissement bancaire et citer plusieurs données exactes afin de gagner sa confiance. Il peut connaître son nom complet, son adresse, son numéro de téléphone, son adresse électronique et certaines coordonnées bancaires. Pour quelqu’un qui n’est pas sensibilisé aux techniques modernes d’ingénierie sociale, il devient alors beaucoup plus difficile de comprendre immédiatement qu’il s’agit d’une tentative de fraude.

C’est d’ailleurs l’une des règles de sécurité qui devient essentielle en 2026 : le fait qu’un interlocuteur connaisse des informations confidentielles sur vous ne prouve plus son identité. Pendant longtemps, un client pouvait être rassuré lorsqu’un prétendu conseiller connaissait son adresse ou certaines informations personnelles. Aujourd’hui, avec les gigantesques bases compromises qui circulent, cette logique est devenue dangereuse. Un véritable conseiller et un escroc peuvent parfois posséder exactement les mêmes informations de départ.

Le faux conseiller bancaire devient beaucoup plus crédible avec des données réelles

Les escroqueries au faux conseiller bancaire illustrent parfaitement la manière dont ces données peuvent être utilisées. Le fraudeur n’a pas forcément besoin de pirater le système informatique d’une banque. Il peut commencer avec des informations provenant d’une fuite totalement différente, puis construire un scénario destiné à pousser la victime à effectuer elle-même une action dangereuse. Le principe de l’ingénierie sociale consiste précisément à contourner la sécurité technique en manipulant l’utilisateur.

Le fraudeur peut par exemple appeler sa cible en affirmant qu’une transaction suspecte vient d’être détectée. Pour rendre son histoire crédible, il cite le véritable nom de la victime, son adresse ou d’autres renseignements obtenus dans une base compromise. Il peut ensuite expliquer qu’une opération urgente doit être réalisée pour « sécuriser » le compte. La victime, impressionnée par la quantité d’informations connues par son interlocuteur, peut être tentée de lui faire confiance et de valider une opération qu’elle aurait immédiatement refusée face à un appel totalement anonyme.

Les données personnelles servent donc ici de preuve artificielle de légitimité. Le cybercriminel ne les utilise pas nécessairement pour attaquer directement la banque : il les utilise pour convaincre le véritable propriétaire du compte de contourner lui-même les mécanismes de protection. C’est beaucoup plus simple et, malheureusement, parfois extrêmement efficace.

Le phishing ciblé devient lui aussi beaucoup plus dangereux

La même logique s’applique aux courriels et SMS frauduleux. Les campagnes de phishing traditionnelles sont généralement faciles à reconnaître parce qu’elles sont génériques. Un message annonce vaguement qu’un colis attend une confirmation ou qu’un compte doit être vérifié, sans disposer d’informations précises sur le destinataire. Les cybercriminels compensent cette mauvaise qualité en envoyant leurs messages à des millions de personnes : même si seulement une infime partie clique, l’opération peut rester rentable.

Les bases agrégées permettent de passer à une attaque beaucoup plus personnalisée, souvent appelée spear phishing. Au lieu d’envoyer exactement le même message à tout le monde, l’attaquant peut adapter son scénario à la personne visée. Un élu peut recevoir un faux document semblant provenir d’une collectivité. Un dirigeant peut recevoir une fausse demande d’un partenaire. Un particulier peut recevoir un message prétendant provenir d’une entreprise dont il est réellement client. Plus le cybercriminel dispose d’informations, plus il peut éliminer les éléments qui rendent habituellement une fraude suspecte.

Pour un élu ou un responsable public, les conséquences peuvent être encore plus importantes. Une messagerie professionnelle compromise peut donner accès à des échanges internes, des contacts, des documents ou servir à lancer de nouvelles attaques contre des collaborateurs. L’attaquant peut donc utiliser les informations personnelles comme simple première étape d’une opération beaucoup plus ambitieuse.

Pour les élus, l’exposition d’une adresse personnelle pose aussi un problème de sécurité physique

Les coordonnées financières ne sont pas les seules données sensibles dans cette affaire. Pour certaines catégories de personnes, l’adresse personnelle peut représenter une information particulièrement problématique. Un responsable politique est davantage exposé aux menaces, au harcèlement ou aux actes de malveillance qu’un citoyen anonyme. Rendre son domicile facilement accessible à partir d’un simple moteur de recherche peut donc créer un risque qui dépasse largement la cybersécurité traditionnelle.

Le phénomène du « doxxing » consiste précisément à collecter puis divulguer des informations permettant d’identifier ou localiser une personne, souvent dans le but de l’intimider ou de faciliter son harcèlement. Une plateforme capable de centraliser automatiquement des informations provenant de nombreuses fuites réduit considérablement le travail nécessaire. Ce qui pouvait auparavant nécessiter plusieurs heures de recherche et une certaine connaissance technique peut potentiellement devenir une opération réalisée en quelques secondes.

Dans le cas des élus, il faut également considérer leur entourage. Une adresse personnelle peut indirectement exposer un conjoint ou des enfants qui n’ont eux-mêmes aucune fonction publique. Le problème de la protection des données dépasse alors largement la personne dont le nom a été recherché.

Un attaquant n’a parfois même plus besoin de pirater sa victime

Cette affaire montre également à quel point l’image traditionnelle du pirate informatique est devenue dépassée. Pour obtenir une quantité impressionnante d’informations sur quelqu’un, il n’est pas toujours nécessaire de compromettre son ordinateur, son smartphone ou son compte Gmail. Il peut suffire de rechercher ce qui a déjà été volé ailleurs. Dans certains scénarios, la cible possède une excellente sécurité personnelle mais reste exposée à cause d’organisations tierces compromises plusieurs années auparavant.

C’est une évolution importante de la menace. Pendant longtemps, les conseils de cybersécurité se concentraient principalement sur les actions individuelles : choisir un mot de passe complexe, installer un antivirus, éviter les pièces jointes suspectes et maintenir son système à jour. Ces recommandations restent essentielles, mais elles ne suffisent plus à contrôler toutes les informations circulant sur une personne. Une partie du risque dépend désormais directement de la sécurité de services externes sur lesquels l’utilisateur n’a pratiquement aucun contrôle.

Un particulier peut donc appliquer toutes les bonnes pratiques et malgré tout découvrir son nom, son adresse ou son téléphone dans une base compromise. Cela ne signifie pas que les protections individuelles sont inutiles : au contraire, elles permettent d’éviter qu’une fuite de données se transforme facilement en compromission de compte. Mais elles montrent surtout qu’il faut désormais raisonner en partant du principe que certaines de nos informations personnelles finiront probablement par circuler un jour en dehors des services auxquels nous les avons confiées.

Les mots de passe uniques restent indispensables lorsque les bases commencent à être regroupées

Même si l’enquête de Dijon Actualités se concentre principalement sur les informations personnelles, l’agrégation de bases compromises rappelle également pourquoi il est extrêmement dangereux de réutiliser un mot de passe. Lorsqu’un service subit une fuite contenant une adresse électronique et un mot de passe exploitable, les cybercriminels peuvent automatiquement tester cette combinaison sur de nombreux autres sites. Cette technique, appelée credential stuffing, repose sur une faiblesse humaine extrêmement répandue : utiliser le même mot de passe partout.

Une personne utilisant MonMotDePasse123 sur une petite boutique en ligne peut penser que la compromission de cette boutique n’est pas dramatique. Mais si elle utilise exactement le même identifiant sur sa messagerie, un réseau social ou un autre service important, le problème change totalement de dimension. Le pirate n’a plus besoin de trouver une faille chez Google, Microsoft ou une banque : il lui suffit de tester les identifiants déjà récupérés ailleurs.

L’utilisation d’un gestionnaire de mots de passe permettant de générer un secret différent pour chaque service réduit énormément ce risque. L’authentification à deux facteurs apporte une couche supplémentaire lorsque les identifiants ont malgré tout été compromis. Et lorsque cela est possible, les passkeys permettent également de réduire certains risques liés aux mots de passe traditionnels et au phishing.

Certaines données peuvent être remplacées, d’autres resteront compromises toute une vie

Toutes les informations personnelles n’ont pas la même durée de vie. Un mot de passe peut être changé immédiatement. Une carte bancaire compromise peut être bloquée puis remplacée. Un numéro de téléphone peut être modifié, même si cela représente une contrainte importante. Une adresse électronique peut également être remplacée dans certaines situations.

Mais d’autres informations sont beaucoup plus difficiles, voire impossibles à modifier.

Une date de naissance reste la même toute la vie.

Un nom peut changer, mais pas facilement.

Certaines informations administratives ou historiques restent durablement associées à une personne.

C’est précisément ce qui rend les fuites contenant des données d’identité particulièrement sensibles. Une entreprise ne peut pas simplement envoyer un message disant « changez votre date de naissance » comme elle demanderait de réinitialiser un mot de passe. Une fois ces informations exposées, la victime doit plutôt apprendre à considérer qu’elles peuvent désormais être connues par des personnes malveillantes.

Cette réalité devrait également modifier les systèmes de vérification d’identité. Demander à quelqu’un son nom, sa date de naissance ou son adresse ne constitue plus une authentification suffisamment robuste lorsque ces informations circulent potentiellement dans des bases compromises. Les entreprises qui continuent à utiliser des données personnelles relativement faciles à obtenir comme unique preuve d’identité prennent donc un risque important.

L’intelligence artificielle pourrait rendre l’exploitation de ces données encore plus efficace

L’arrivée des outils d’intelligence artificielle générative ajoute une nouvelle dimension au problème. Une gigantesque base de données n’est réellement utile que si quelqu’un peut l’analyser et en extraire les informations pertinentes. Historiquement, cette opération nécessitait des scripts, des compétences techniques et un travail important de nettoyage. L’automatisation moderne permet progressivement de simplifier ces étapes et d’exploiter plus facilement de grandes quantités de données hétérogènes.

L’IA peut également aider à rédiger des messages frauduleux beaucoup plus naturels. Les anciennes tentatives de phishing étaient parfois trahies par des fautes grossières ou des formulations étranges. Un escroc peut désormais générer rapidement un message professionnel adapté au contexte de la victime, dans un français correct et avec un ton correspondant à l’organisation qu’il souhaite imiter. Associée à une base contenant de véritables informations personnelles, cette capacité peut rendre certaines attaques beaucoup plus convaincantes.

Il faut toutefois éviter de tomber dans le scénario catastrophiste où une IA serait automatiquement capable de voler l’identité complète de n’importe qui. Les mêmes protections continuent de s’appliquer et les institutions financières disposent de nombreux mécanismes antifraude. Mais l’IA réduit le coût nécessaire pour personnaliser une attaque, et cette évolution peut permettre à des campagnes autrefois réservées à quelques cibles particulièrement importantes d’être réalisées à beaucoup plus grande échelle.

Les nombreuses cyberattaques françaises des dernières années alimentent progressivement cet écosystème

La France a connu ces dernières années une succession impressionnante d’incidents impliquant des entreprises privées, des opérateurs, des organismes publics, des établissements de santé et différentes plateformes numériques. Tous les incidents ne conduisent évidemment pas à la publication des données, et toutes les informations volées ne finissent pas nécessairement dans des moteurs de recherche clandestins. Mais chaque nouvelle compromission potentielle augmente la quantité de données pouvant circuler.

C’est ce phénomène cumulatif qui doit inquiéter davantage que la simple succession des annonces. Lorsqu’une entreprise annonce que « seuls » le nom, l’adresse électronique et le téléphone ont été exposés, l’incident peut sembler relativement limité. Pourtant, ces trois informations peuvent être exactement celles qui manquaient pour relier deux autres bases compromises plusieurs années auparavant. La gravité réelle d’une fuite ne dépend donc plus uniquement de son contenu propre : elle dépend également de toutes les informations déjà disponibles ailleurs.

La multiplication des fuites transforme ainsi progressivement le paysage de la cybersécurité. Le risque n’est plus seulement qu’un pirate dispose d’une base contenant les clients d’une entreprise. Le risque est qu’il puisse reconstituer des profils individuels à travers des dizaines de compromissions indépendantes.

Les entreprises doivent aussi se demander pourquoi elles conservent autant de données

Cette situation pose directement la question de la responsabilité des organisations qui collectent les informations. Chaque donnée stockée représente une responsabilité supplémentaire. Une entreprise qui conserve l’adresse d’un ancien client cinq ans après la fin de toute relation commerciale doit être capable de justifier pourquoi elle en a encore besoin. Dans le cas contraire, cette information devient simplement une donnée supplémentaire susceptible d’être exposée lors d’une future intrusion.

Le principe de minimisation des données prévu par le RGPD répond précisément à cette problématique : une organisation ne devrait pas collecter davantage d’informations que nécessaire et ne devrait pas les conserver indéfiniment sans raison valable. Cette logique est parfois présentée comme une contrainte administrative, alors qu’elle constitue également une véritable mesure de cybersécurité. Une donnée qui n’existe plus dans le système ne peut pas être volée lors de la prochaine attaque.

La meilleure base de données à protéger est donc parfois celle que l’entreprise a décidé de supprimer parce qu’elle n’en avait plus besoin. Cette approche limite les conséquences potentielles d’une compromission, même lorsqu’un attaquant parvient à contourner les protections techniques.

Supprimer le moteur découvert ne supprimera malheureusement pas les données

Dijon Actualités indique avoir signalé la plateforme aux services de police et avoir volontairement évité de donner des informations permettant de la retrouver. C’est une précaution essentielle, car publier son adresse reviendrait pratiquement à faire de la publicité pour un outil permettant potentiellement d’accéder à des données personnelles compromises.

Mais même si les autorités obtenaient rapidement la fermeture du service, le problème ne disparaîtrait pas pour autant. Les informations agrégées ont nécessairement une origine et peuvent exister sous de nombreuses autres formes. Une base volée en 2024 peut avoir été téléchargée par des centaines de personnes avant d’être intégrée au moteur. Certaines copies peuvent se trouver dans plusieurs pays. D’autres peuvent avoir été mélangées avec de nouvelles bases. La suppression d’une interface de recherche élimine donc un moyen particulièrement simple d’exploiter les données, mais elle ne permet pas de remettre le dentifrice numérique dans le tube.

C’est précisément pourquoi la prévention est si importante. Une fois les données exfiltrées, les possibilités d’action deviennent beaucoup plus limitées. Les autorités peuvent poursuivre les responsables, fermer certains services et faire supprimer des contenus lorsqu’ils sont identifiés, mais elles ne peuvent jamais garantir que toutes les copies ont disparu.

Comment se protéger lorsqu’on ignore quelles informations circulent déjà ?

La première chose à accepter est qu’il est impossible pour un particulier de connaître avec certitude toutes les bases dans lesquelles ses informations apparaissent. Cela ne signifie pas qu’il faut céder à la paranoïa, mais plutôt adapter certains réflexes à cette nouvelle réalité. Il faut notamment considérer qu’un escroc peut connaître plusieurs informations exactes avant même le premier contact.

Lorsqu’une personne appelle en prétendant travailler pour une banque, une assurance, un opérateur ou une administration et demande une action urgente, la meilleure protection consiste souvent à interrompre la conversation puis à contacter soi-même l’organisation par un canal officiel. Il ne faut pas rappeler automatiquement le numéro fourni dans un SMS ou un e-mail suspect. Il est préférable d’utiliser l’application officielle, le site saisi manuellement ou un numéro figurant sur un document fiable.

La même prudence doit être appliquée aux demandes de codes de sécurité. Un code reçu par SMS, une validation dans une application bancaire ou un code d’authentification à deux facteurs ne doit jamais être transmis simplement parce que l’interlocuteur connaît déjà votre adresse, votre date de naissance ou votre IBAN. Ces informations peuvent provenir d’une fuite ; le code temporaire, lui, peut être précisément ce qui manque au fraudeur pour finaliser son attaque.

Les personnes concernées par une fuite doivent rester vigilantes bien après l’annonce initiale

Lorsqu’une entreprise informe ses clients d’une compromission, il est fréquent que les utilisateurs soient particulièrement attentifs pendant quelques jours puis reprennent leurs habitudes. Pourtant, une base de données peut n’être exploitée que plusieurs mois après son vol. Elle peut rester privée pendant un certain temps, être vendue à un autre groupe puis finalement devenir publique des années plus tard.

Une tentative d’escroquerie reçue en 2026 peut donc parfaitement utiliser des informations volées en 2023 ou 2024. La victime ne fera pas forcément le rapprochement, précisément parce que l’incident initial paraît ancien. Les cybercriminels peuvent même préférer attendre : lorsque l’attention médiatique retombe, les personnes concernées sont parfois moins méfiantes.

Cette durée de vie explique pourquoi une notification de fuite ne doit pas être considérée comme un simple message administratif à supprimer après lecture. Elle indique que certaines informations doivent désormais être considérées comme potentiellement connues de tiers et qu’elles ne doivent plus servir de preuve suffisante pour établir la légitimité d’un interlocuteur.

Cette affaire révèle surtout la « seconde vie » de nos données personnelles

L’enquête réalisée à Dijon est finalement intéressante moins pour la technologie du moteur de recherche lui-même que pour ce qu’elle révèle sur l’écosystème actuel des données volées. Pendant des années, nous avons regardé les cyberattaques comme des incidents indépendants : telle entreprise perd deux millions de comptes, telle administration expose plusieurs centaines de milliers de dossiers, tel service découvre qu’une base a été copiée. Chaque incident était traité séparément.

Mais les cybercriminels, eux, n’ont aucune raison de conserver cette séparation.

Pour eux, toutes ces bases peuvent devenir les pièces d’un même puzzle.

Une fuite contient le téléphone.

Une autre contient l’adresse.

Une troisième contient le nom complet.

Une quatrième ajoute éventuellement des informations financières.

Et un outil d’agrégation peut ensuite réunir automatiquement ces morceaux autour d’une même identité.

Nous passons donc progressivement d’une époque dominée par les grandes fuites de données à une époque où le véritable enjeu devient l’exploitation croisée de toutes les fuites précédentes.

Le problème pourrait devenir beaucoup plus important dans les prochaines années

Plus le temps passe, plus la quantité de données compromises disponibles augmente. Une personne ayant utilisé Internet pendant vingt ans a potentiellement créé plusieurs centaines de comptes. Certains services n’existent même plus aujourd’hui. D’autres ont changé de propriétaire. Plusieurs ont pu connaître des incidents de sécurité sans que l’utilisateur s’en souvienne encore. Toutes ces traces constituent progressivement une sorte d’archive involontaire de sa vie numérique.

Si les outils permettant d’agréger ces informations deviennent plus performants, la difficulté nécessaire pour construire un profil individuel continuera de diminuer. Ce qui nécessitait autrefois un attaquant expérimenté capable d’analyser plusieurs fichiers peut progressivement devenir une simple recherche. C’est cette simplification qui rend l’affaire particulièrement préoccupante : elle démocratise potentiellement l’accès à des informations qui existaient déjà, mais qui étaient beaucoup plus difficiles à exploiter.

Cela pourrait également modifier la manière dont nous évaluons la gravité des futures cyberattaques. Le nombre de victimes restera évidemment important, mais il faudra également regarder quelles informations nouvelles la fuite apporte par rapport aux données déjà disponibles. Une petite fuite contenant un identifiant particulièrement utile peut parfois permettre de relier plusieurs bases beaucoup plus importantes.

L’affaire de Dijon est donc beaucoup plus qu’une histoire locale

À première vue, le sujet pourrait sembler concerner principalement quelques élus de Dijon et de Bourgogne-Franche-Comté. En réalité, l’enquête illustre un problème qui dépasse très largement la région. Le test réalisé sur les occupants d’une résidence constitue probablement l’élément le plus parlant : les personnes ordinaires apparaissent elles aussi dans ce type de recherche.

Le message à retenir n’est donc pas que « les élus de Dijon ont été piratés ». Ce serait une simplification incorrecte. Le véritable enseignement est beaucoup plus préoccupant : des informations personnelles volées lors de différentes cyberattaques peuvent être conservées pendant des années, regroupées puis transformées en profils facilement consultables.

Cela change profondément la manière dont il faut comprendre une fuite de données. Une entreprise peut corriger la vulnérabilité. Elle peut sécuriser son infrastructure. Elle peut réinitialiser les mots de passe et informer la CNIL. Elle peut même considérer quelques mois plus tard que l’incident appartient au passé.

Pour les données copiées, en revanche, il n’existe pas de bouton « annuler ».

Elles peuvent continuer à circuler, changer de propriétaire, être associées à d’autres informations et réapparaître plusieurs années plus tard sous une forme beaucoup plus facile à exploiter.

Et c’est probablement ce que cette affaire révèle de plus inquiétant : la cyberattaque n’est parfois que le début de l’histoire. La véritable menace apparaît lorsque toutes les données volées au fil des années commencent à être réunies au même endroit.