Un phénomène devenu massif. Jeudi 11 juin, l'Office anti-cybercriminalité (OFAC) annonce l'interpellation de sept personnes soupçonnées d'avoir organisé le vol et la revente de données informatiques sensibles à grande échelle. L'enquête a été ouverte en novembre 2025 par l'antenne rennaise de l'OFAC après l'attaque d'une entreprise locale. Par la suite, les gendarmes ont remarqué que les hackeurs avaient volé les données de plus de 1.500 entreprises ou entités, dont des fédérations sportives, des sites médicaux, l'enseigne de bricolage Leroy Merlin et même l'Assemblée nationale.

Réunis sous un groupe baptisé Dumpsec, deux jeunes hackeurs âgés de 15 et 22 ans ont été mis en examen le 16 juin. Ce n'est guère un cas isolé. En 2025, par exemple, France Travail (anciennement Pôle emploi) a été la cible d'une cyberattaque, exposant les données de 340.000 personnes demandeuses d'emploi. Cet incident intervient un an après un autre piratage d'ampleur ayant visé France Travail et ayant potentiellement touché jusqu'à 43 millions de comptes, en mars 2024. En avril 2026, l'Agence nationale des titres sécurisés (ANTS) a été à son tour victime d'un incident de sécurité, avec pas moins de 11,7 millions de comptes concernés.

L'écosystème crypto en première ligne 

Dans certains cas, ces fuites peuvent avoir des conséquences dramatiques. Notamment dans l'écosystème des cryptomonnaies où les séquestrations et enlèvements sont devenues légion. Avant le passage à l'action, les groupes criminels mènent une traque numérique pour identifier des cibles et vérifier la détention de cryptoactifs. Ces informations proviennent de multiples sources, entre courriels d'hameçonnage (ou phishing), bases de données piratées, fuites de plateformes commerciales et failles de sécurité des services publics.

Une fois volées, les données circulent sur le darknet où elles sont revendues. Le précédent le plus marquant reste le piratage de l'entreprise française Ledger (spécialisée dans les portefeuilles physiques de cryptomonnaies) en juillet 2020. Plus de 272.000 comptes de clients ont été exposés, dont les noms, adresses postales et numéros de téléphone. Une mine d'or pour les criminels.

Un business organisé en partie par des États...

«Le business des données volées a dépassé le trafic de drogue, affirme Renaud Lifchitz, spécialiste en cybersécurité. On ne s'en rend pas compte, mais cela sert même à l'effort de guerre. La Russie et l'Iran se financent avec ces données volées et revendues ensuite.»

Selon une analyse menée par l'entreprise américaine de recherche sur les cryptomonnaies Chainalysis, près des trois quarts des montants extorqués par des rançongiciels (ransomwares en anglais) en 2021 ont transité vers des portefeuilles de cryptomonnaies associés à la Russie ou à des pays de la Communauté des États indépendants: Arménie, Azerbaïdjan, Biélorussie, Kazakhstan ou Kirghizistan… C'est-à-dire la communauté post-soviétique. Plusieurs entreprises, dont l'hébergeur russe Aeza Group, ont depuis été sanctionnées par les États-Unis.

Pour ces organisations criminelles, le vol de données revêt une importance stratégique. Ces attaques peuvent servir d'outil de déstabilisation, comme lorsqu'un rançongiciel paralyse un hôpital ou une mairie. Mais ces exploits sont parfois le fait d'acteurs isolés: des hackeurs tout juste majeurs, en quête de notoriété et d'argent facile.

...mais aussi par des hackeurs privés 

Ceux-ci s'en prennent aux grandes entreprises, notamment dans l'univers des jeux vidéo. C'est le cas du hackeur britannique Arion Kurtaj. Âgé d'à peine 18 ans, ce jeune autiste originaire d'Oxford (sud de l'Angleterre) a réussi à pirater les fichiers du célèbre jeu vidéo Grand Theft Auto VI (abrégé GTA VI) en septembre 2022. Le tout depuis une chambre d'hôtel, alors qu'il était placé sous surveillance policière et privé d'ordinateur.

Arion Kurtaj, le jeune hackeur à l’origine de la grosse fuite de GTA 6, a pu voler les données du jeu avec une clé Amazon Fire TV, une télé et un smartphone. Le tout sous la surveillance de la police. pic.twitter.com/7mdNgDvwE4

Ces criminels en herbe s'inspirent de plus en plus du modèle des grands groupes. Après s'être spécialisés dans le vol d'informations sensibles, certains se lancent dans la revente de données à grande échelle. C'est le cas de «Zalko», un pseudonyme. À seulement 18 ans également, il a cocréé une plateforme en ligne permettant d'explorer 1,2 milliard d'informations confidentielles concernant des millions de Français.

Pas directement hackeur, «Zalko» récolte les données privées issues des fuites, disponibles sur les forums du dark web. Son site vante ses mérites sur la page d'accueil: «Trouvez n'importe qui en quelques secondes.» Fier de son succès, le jeune entrepreneur a été interrogé par France Info. «On ne fait rien d'illégal et s'il faut qu'il y ait des poursuites juridiques, je serai prêt à tenir mon point de vue devant la justice. Par ailleurs, quand quelqu'un veut supprimer ses données, on accepte, on a créé tout un onglet pour ça», se défend-il.

Les données proposées par le site de «Zalko» peuvent pourtant être exploitées par des criminels. Là, l'image que le jeune hackeur se donne, presque «Robin des Bois», n'est en réalité guère reluisante. Ciblée chez elle grâce à des fuites de données, une victime détentrice de cryptomonnaies se confie: «Ma famille est traumatisée.» Depuis une agression, elle vit à l'étranger. «J'ai peur de revenir en France», souffle-t-elle par téléphone.

Quelles réponses apportées par l'État français? 

Face à cette menace, le Premier ministre Sébastien Lecornu a annoncé, à la fin du mois d'avril, un plan de 200 millions d'euros accompagné d'une réorganisation de l'État numérique. Malgré les promesses, les failles continuent de se multiplier, y compris au sein des services publics comme l'ANTS en avril. La question n'est plus de savoir si les données personnelles des Français fuitent, mais comment elles alimentent désormais une nouvelle forme de criminalité mêlant cyber, extorsion et grand banditisme.

«Le budget de l'État est très insuffisant», déplore Renaud Lifchitz, selon qui on ne s'attaque pas aux causes mais aux conséquences. «Les causes, ce serait d'empêcher des entreprises pas assez sécurisées de collecter des données en l'absence d'un audit, notamment dans les secteurs réglementés, financiers ou de santé, poursuit l'expert en sécurité informatique. Il faudrait vraiment appliquer le RGPD, le règlement général sur la protection des données. La CNIL [la Commission nationale de l'informatique et des libertés, ndlr] ne sanctionne que 5% des entreprises négligentes, ce qui n'est pas dissuasif. Il faut revenir au principe de minimisation de la collecte. Quant au chiffrement des données, il existe des techniques un peu plus poussées pour travailler sur des données chiffrées.»

La CNIL, que nous avons interrogée, affirme toutefois avoir renforcé son action répressive. Sur les 313 contrôles réalisés, 89 ont porté spécifiquement sur les questions de sécurité selon l'autorité, qui nous indique également avoir prononcé vingt-deux sanctions, dont plusieurs pour manquement à l'obligation d'assurer la sécurité des données. Ce qui reste une goutte d'eau dans un océan de données vulnérables.