Le 24 septembre 2026, le site FrenchBreaches, spécialisé dans le recensement des fuites de données en France, a publié qu’un cybercriminel agissant sous le pseudonyme de ChimeraZ revendique la base d’appels du groupe DigitRE Group : 159 135 enregistrements concernant, selon ses déclarations, 54 569 personnes, avec noms, adresses électroniques, numéros de téléphone, dates, heures et durées des communications. Le groupe visé fédère des réseaux immobiliers nationaux comme Capifrance et Optimhome, revendique 17 000 transactions en 2025 et fournit à ses réseaux des solutions d’affaires centralisées. Surtout, l’incident est présenté comme une récidive : le groupe serait « de nouveau » piraté, ce qui change beaucoup de choses pour les entreprises de la chaîne déjà exposées une première fois.

La réponse pratique tient en quatre réflexes : identifier les rôles sans les confondre, figer les preuves immédiatement, respecter le délai de notification qui court dès la connaissance de l’incident, et traiter la récidive comme une circonstance aggravante de fait. Deux réserves structurent tout ce qui suit : les volumes cités sont ceux revendiqués par l’auteur sur un forum cybercriminel, ni confirmés par le groupe ni vérifiés de manière indépendante ; et cet article décrit des obligations et des démarches, sans préjuger ni de la réalité technique de l’intrusion ni de la responsabilité définitive de tel ou tel acteur, que seules une enquête et, le cas échéant, une décision de justice ou de l’autorité de contrôle peuvent établir.

I. Un fichier d’appels central, quatre acteurs exposés différemment

Une base d’appels n’est pas un simple carnet d’adresses. Chaque ligne associe une identité à un moment, une durée et souvent un objet : rappel d’un acquéreur après une visite, relance d’un vendeur, prise de rendez-vous pour une estimation. Pour un réseau immobilier, ce fichier est l’outil de travail quotidien de centaines de conseillers ; pour les personnes démarchées, il révèle leurs projets de vie ; pour un tiers malveillant, il fournit des cibles déjà qualifiées, joignables au bon numéro et à la bonne heure. C’est cette triple valeur qui explique que la diffusion revendiquée le 24 septembre 2026 produise un effet en chaîne : le groupe qui centralise, les conseillers qui exploitent, les prospects qui subissent, le prestataire qui achemine. Chacun détient une partie de la preuve et supporte une partie du risque.

A. Qui détient quelle preuve dans la chaîne des appels

Le groupe DigitRE Group, qui présente sur son site officiel ses marques, ses solutions d’affaires et son campus multi-marques, occupe dans cette chaîne la position du responsable du traitement au sens du droit européen : c’est lui qui détermine les finalités et les moyens de la base centralisée. Le règlement européen sur la protection des données l’exprime sans détour : ne fait appel qu’à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles, comme le rappelle la Commission (travailler avec un sous-traitant) Concrètement, le groupe doit donc être en mesure de produire le contrat qui le lie à son prestataire de téléphonie ou d’hébergement, la description des mesures de sécurité convenues, l’historique des accès à la base et la trace des incidents précédents, puisque la récidive alléguée impose de démontrer ce qui avait été corrigé après la première fuite.

Le prestataire technique — opérateur télécom, hébergeur, éditeur du logiciel de relation client — détient la seconde moitié de la preuve : journaux de connexion, enregistrements d’accès anormaux, sauvegardes, alertes de supervision. Son régime est celui d’une obligation de moyens renforcée, comme l’illustre un arrêt récent de la cour d’appel de Reims du 28 avril 2026 (RG 24/01502) : après une attaque par rançongiciel subie par une entreprise cliente, la cour a jugé le prestataire informatique responsable à hauteur de 50 % des dommages et l’a condamné à verser 12 097,59 euros, détaillés en 7 862,47 euros de perte d’exploitation, 2 673,78 euros de remise en état du système, 131,25 euros de paramétrage des connexions à distance et 52,50 euros de réinstallation du logiciel, outre les frais de procédure. L’enseignement vaut pour toute entreprise cliente d’un prestataire : le partage de responsabilité n’exclut pas l’indemnisation, mais il suppose une expertise et des pièces — devis accepté, factures d’intervention, constats de dysfonctionnement, échanges de mise en demeure — que seule une conservation rigoureuse dès les premiers jours permet de réunir.

Les conseillers et agents indépendants du réseau, troisième maillon, détiennent la preuve de l’usage : agendas, comptes rendus de visite, messages échangés avec les prospects, historiques de leurs propres lignes. Ils sont les premiers exposés à l’exploitation détournée du fichier, car un prospect rappelé par un escroc qui connaît le nom de son interlocuteur habituel, la date de sa dernière visite et le bien convoité ne détecte pas facilement l’imposture. C’est ici que la jurisprudence sur l’usage abusif du téléphone éclaire le risque : le tribunal de proximité de Sannois, par jugement du 3 mai 2021 confirmé par la cour d’appel de Versailles le 4 juin 2024 (RG 22/00102), a jugé qu’une société de recouvrement avait commis un abus de droit par appels téléphoniques agressifs et répétés et l’a condamnée à 500 euros de dommages et intérêts. Le montant est modeste, mais le principe est transposable : des appels passés à partir d’un fichier détourné, avec menaces ou pressions, engagent la responsabilité de leur auteur, et les relevés d’appels des victimes comme les scripts des conseillers deviennent des pièces déterminantes.

Les prospects et clients démarchés, enfin, détiennent la preuve du préjudice : captures des appels reçus, relevés téléphoniques, courriels suspects faisant suite à un appel, attestations de leur entourage. Chacun de ces quatre acteurs ne voit qu’un fragment de l’incident ; c’est la réunion des fragments — base centrale, journaux techniques, agendas commerciaux, relevés des victimes — qui permettra de reconstituer la chronologie, d’identifier la faille et d’imputer les responsabilités. D’où la première décision commune à tous : écrire, dater et conserver, avant toute démarche contentieuse.

Un mot particulier sur les conseillers indépendants, car leur position est la plus inconfortable de la chaîne. Liés à la tête de réseau par un contrat de distribution ou d’agent commercial, ils exploitent un fichier qui ne leur appartient pas, auprès de prospects qui leur font personnellement confiance. En cas de fuite, ils répondent à leurs clients de leur propre diligence — avoir relayé la consigne du réseau, suspendu les campagnes douteuses, proposé un contre-appel de vérification — tandis qu’ils se retournent vers la tête de réseau pour la défaillance de l’outil central. Qu’ils relisent donc leur contrat dès maintenant : clauses de sécurité et de confidentialité, répartition des obligations informatiques, assurance professionnelle et ses exclusions cyber, conditions de suspension d’activité. Un conseiller qui documente ses demandes écrites à la tête de réseau — correctifs demandés après le premier incident, informations réclamées après le second — se constitue la preuve d’une loyauté contractuelle qui pèsera lourd si le réseau cherchait ensuite à lui imputer la perte de sa clientèle.

B. Qui notifie, qui informe, et dans quel délai

La diffusion revendiquée le 24 septembre 2026 fait courir des délais brefs, et la répartition des rôles conditionne leur respect. Le texte européen impose au responsable du traitement une notification rapide : notifie la violation à la Commission dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes (violations de données : les règles à suivre) En France, cette autorité est la Commission nationale de l’informatique et des libertés, saisie via son service de notification en ligne (violations de données : les règles à suivre). Lorsque la notification n’a pas lieu dans les 72 heures, elle doit être accompagnée des motifs du retard, et le responsable doit documenter chaque violation en indiquant les faits, ses effets et les mesures prises, afin de permettre à l’autorité de vérifier le respect de ces obligations.

Le prestataire, de son côté, n’a pas à notifier l’autorité, mais il doit alerter son donneur d’ordre sans attendre : alerte son donneur d’ordre dans les meilleurs délais après en avoir pris connaissance (travailler avec un sous-traitant) Dans la chaîne des appels, cela signifie que l’opérateur ou l’hébergeur qui détecte une extraction anormale le 24 septembre doit prévenir le groupe le jour même, avec les éléments techniques permettant de qualifier l’incident : volumétrie extraite, périmètre concerné, comptes compromis, mesures de confinement déjà prises. La commission précise les modalités de cette coopération avec les sous-traitants (travailler avec un sous-traitant). Tout retard à ce stade décale la notification du groupe et fragilise sa position, surtout en cas de récidive où l’autorité s’interrogera nécessairement sur les suites données au premier incident.

Vient ensuite l’information des personnes concernées, qui obéit à un seuil distinct : informe les personnes concernées dans les meilleurs délais dès lors que la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés (violations de données : les règles à suivre) Une base de 159 135 lignes d’appels, avec numéros directs et historiques de contact, expose typiquement à l’hameçonnage vocal ciblé et à l’usurpation d’identité commerciale : le risque élevé est ici difficile à écarter, et la communication aux personnes — en des termes clairs et simples, avec la nature de la violation, ses conséquences probables et les mesures prises — devient la règle plutôt que l’exception. Trois dispenses seulement sont prévues, notamment lorsque les données étaient chiffrées de manière à rester incompréhensibles aux personnes non autorisées ou lorsque des mesures ultérieures garantissent que le risque élevé ne se matérialisera plus : deux hypothèses que le groupe devra établir pièces à l’appui s’il entend s’en prévaloir. Pour les conseillers du réseau, l’enjeu est double : ils doivent à la fois être informés comme personnes concernées si leurs propres coordonnées figurent dans la base, et relayer une information cohérente à leurs prospects sans improviser de version individuelle qui contredirait la communication officielle.

II. Les décisions des professionnels de la chaîne après la fuite

Passé le temps des notifications, chaque acteur doit trancher des questions concrètes : porter plainte ou attendre, suspendre un contrat ou le maintenir, indemniser ou contester, et avec quelles pièces. Les réponses diffèrent selon la place occupée dans la chaîne, mais toutes reposent sur le même socle : le droit commun de la responsabilité et des contrats, appliqué à un fichier d’appels devenu pièce à conviction.

A. Le groupe, ses conseillers et leurs contrats : contenir, prouver, se retourner

Pour le groupe, la première décision contentieuse est le dépôt de plainte : l’accès frauduleux à un système de traitement automatisé de données, l’extraction et la diffusion des données sont des infractions pénales, et la plainte — avec constitution de partie civile si le préjudice est chiffrable — ouvre l’accès aux investigations techniques que l’entreprise ne peut pas mener seule. Elle doit être accompagnée d’un constat dressé par un commissaire de justice : capture de la publication sur le forum, horodatage, description des échantillons visibles, sans télécharger ni exploiter la base illicite. La plainte vise des qualifications précises, que le code pénal définit en des termes directement applicables à une base extraite puis diffusée : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Et l’extraction elle-même est visée par un texte distinct : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » Quant à l’usage ultérieur du fichier — démarchage à partir des numéros, revente, hameçonnage — il peut relever du détournement de finalité : « Le fait, par toute personne détentrice de données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par la disposition législative, l’acte réglementaire ou la décision de la Commission nationale de l’informatique et des libertés autorisant le traitement automatisé, ou par les déclarations préalables à la mise en oeuvre de ce traitement, est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » Citer ces qualifications dans la plainte, avec les captures et constats correspondants, donne aux enquêteurs une base de travail immédiate et évite que le dossier ne soit classé parmi les signalements vagues.

Parallèlement, l’audit de sécurité doit être confié à un prestataire indépendant du fournisseur mis en cause, afin d’éviter tout soupçon de complaisance ; le rapport d’audit servira à la fois à la notification complémentaire à la commission, à la négociation avec l’assureur cyber et, le cas échéant, au recours contre le prestataire défaillant.

Ce recours contre le prestataire se joue sur le terrain contractuel. Le principe est posé par le code civil : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le prestataire tentera d’invoquer la force majeure, mais la définition légale est étroite : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Or une cyberattaque n’est plus, en 2026, un événement imprévisible par nature, et elle l’est encore moins pour un fichier déjà compromis une première fois : la récidive alléguée prive pratiquement le prestataire comme le groupe de l’argument de l’imprévisibilité. L’arrêt de la cour d’appel de Reims précité confirme d’ailleurs que le juge entre dans le détail des mesures — sauvegardes, mémoire, remises en état — et partage les responsabilités plutôt qu’il n’exonère : 50 % à la charge du prestataire dans cette affaire, après expertise judiciaire.

Parallèlement, le groupe comme chaque entreprise du réseau doit déclarer le sinistre à son assureur cyber sans attendre la fin de l’audit : la plupart des polices imposent une déclaration dans un délai contractuel bref, souvent de quelques jours ouvrés après la découverte, et le retard peut fonder un refus de garantie pour les frais de notification, d’expertise et de défense. La déclaration s’accompagne de la mise en demeure du prestataire, envoyée en recommandé avec accusé de réception : description précise des manquements reprochés, référence aux clauses de sécurité et de délai du contrat, demande de mesures correctives sous un délai explicite et réserve expresse de tous droits à indemnisation. Cette lettre fige la date à partir de laquelle le retard du prestataire devient indemnisable et conditionne, en pratique, l’issue de toute négociation comme de toute assignation ultérieure. Les factures d’intervention, devis d’audit et échanges avec l’assureur rejoignent alors le dossier de preuves constitué dès le premier jour.

Pour les conseillers et agents indépendants, la décision la plus urgente est commerciale autant que juridique : prévenir leurs prospects actifs, avec un message validé par la tête de réseau, que leurs coordonnées ont pu être exposées et qu’aucune demande de fonds, aucun changement de coordonnées bancaires et aucune validation d’offre ne doit intervenir sans contre-appel au numéro connu de l’agence. Cette consigne n’est pas de la pure prudence : elle crée la preuve d’un comportement diligent si un client trompé cherche ensuite un responsable. Vient ensuite la question du fichier de prospection lui-même. La prospection directe par voie électronique obéit à une règle de consentement préalable stricte : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » Un conseiller qui continuerait à exploiter un fichier dont il sait qu’une copie circule sur un forum s’expose doublement : à la sanction administrative — jusqu’à 375 000 euros pour une personne morale — et à l’action des personnes démarchées à partir de données détournées. La décision raisonnable consiste à suspendre les campagnes issues de la base compromise, à tracer cette suspension par écrit et à n’utiliser, en attendant, que des contacts recueillis directement avec un consentement frais et documenté. Les entreprises du réseau qui s’interrogent sur l’articulation entre leurs contrats de distribution, leurs obligations de sécurité et leurs recours contre leurs fournisseurs peuvent utilement faire examiner leur situation par un cabinet d’avocats en droit des affaires à Paris, habitué aux litiges entre partenaires commerciaux : c’est à ce stade, avant que les positions ne se figent, qu’un accompagnement est le plus utile.

B. Prospects, clients et partenaires : faire valoir ses droits sans se tromper de cible

Les personnes dont les appels figurent dans la base disposent d’un droit propre à réparation, que le règlement européen formule largement : ouvre à toute personne ayant subi un dommage du fait d’une violation le droit d’obtenir réparation auprès du responsable du traitement ou du sous-traitant (le règlement européen sur la protection des données) Ce droit vise le responsable comme le sous-traitant, ce qui permet d’agir contre le groupe, contre le prestataire, ou contre les deux, selon les pièces disponibles. En droit français, le fondement commun reste celui de la responsabilité pour faute : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Mais l’expérience contentieuse enseigne que le préjudice doit être démontré et chiffré : le tribunal judiciaire de Paris, par jugement du 30 janvier 2025 (RG 20/12149), a ainsi débouté un demandeur qui mettait en cause une société prestataire et son donneur d’ordre, faute de rapporter la preuve de ses prétentions, et l’a condamné aux dépens ainsi qu’à 11 000 euros au titre des frais de procédure. La leçon vaut pour chaque prospect de la base : un dossier d’indemnisation se construit avec des relevés d’appels, des captures de messages suspects, des attestations et, si des fonds ont été détournés, des relevés bancaires et un dépôt de plainte, jamais avec la seule affirmation que ses données figurent dans une base diffusée. Le code civil le rappelle en une phrase : « Celui qui réclame l’exécution d’une obligation doit la prouver. »

Les partenaires commerciaux du groupe — apporteurs d’affaires, plateformes partenaires, financeurs — doivent de leur côté auditer leurs propres échanges de données avec le réseau : quelles catégories de données ont-ils transmises, sur quel fondement contractuel, avec quelles clauses de sécurité et de restitution en fin de contrat. Si leur contrat les qualifie de responsables conjoints ou de sous-traitants, ils peuvent être recherchés à leur tour et doivent préparer leur propre notification. Enfin, chacun doit résister à la tentation du contentieux tous azimuts : assigner le groupe, le prestataire et l’hébergeur du forum sans hiérarchie ni pièces expose au débouté et aux dépens, comme le rappelle le jugement parisien précité. La bonne méthode consiste à adresser d’abord des mises en demeure précises et documentées, à saisir la commission pour les manquements à la protection des données, à déposer plainte pour l’intrusion et l’escroquerie, puis à n’assigner qu’au vu des réponses — ou de leur absence — et des pièces réunies. Reste à ordonner tout cela dans le temps, car les délais se chevauchent. Le jour même de la découverte, chaque acteur fige ses preuves : le groupe exporte les journaux et suspend les comptes suspects, le prestataire photographie l’état de ses systèmes, le conseiller sauvegarde ses agendas et relevés, le prospect conserve les appels suspects sans rappeler les numéros inconnus. Dans les 72 heures, le groupe notifie la commission et le prestataire lui transmet les éléments techniques ; passé ce délai, la notification doit expliquer son retard. Dans la première semaine, le groupe informe les personnes exposées à un risque élevé, dépose plainte avec constats, déclare le sinistre à son assureur et met son prestataire en demeure ; les conseillers préviennent leurs prospects actifs avec le message validé et suspendent les campagnes issues du fichier compromis ; les prospects adressent leurs mises en demeure et saisissent la commission si la communication promise n’arrive pas. Ce calendrier n’a rien d’académique : chaque étape manquée devient, en cas de contrôle ou de procès, la pièce manquante du dossier adverse.

Dans une chaîne où chaque maillon détient un fragment de preuve, celui qui écrit et conserve prend l’avantage sur celui qui attend.

La diffusion revendiquée le 24 septembre 2026 ne restera pas un simple fait divers technique : pour les conseillers dont le téléphone est l’outil de travail, pour les acquéreurs et vendeurs dont les projets sont désormais entre des mains inconnues, et pour les prestataires dont les mesures de sécurité seront scrutées ligne à ligne, elle ouvre une période de décisions courtes et de contentieux longs. La carte des responsabilités existe — responsable du traitement, sous-traitant, conseiller, personne concernée — et les textes comme les juges en précisent les contours. Reste à chaque acteur de s’y placer sans tarder, preuves en main, car dans les affaires de fuite de données comme dans les transactions immobilières qu’elles parasitent, le temps joue contre ceux qui attendent.