Les recherches françaises sur les fuites de données repartent brusquement à la hausse : le 16 octobre 2026, la presse fait état d’une cyberattaque reconnue par un prestataire technique intervenant pour des opérateurs de télécommunications et un gestionnaire de réseau d’énergie, tandis que l’auteur présumé de l’intrusion proposerait à la vente plus de dix millions d’enregistrements contenant des noms, des numéros de téléphone et des adresses postales. Selon le site Idéal Investisseur, qui publie l’information le 16 octobre 2026, l’entreprise a reconnu une intrusion survenue le 12 octobre 2026 dans ses systèmes, a déposé plainte et s’est tournée vers les autorités compétentes, tout en indiquant que ses activités se poursuivent normalement. Selon le site spécialisé qui recense l’annonce, l’auteur de l’attaque affirmerait détenir environ 10,38 millions d’enregistrements, soit quelque 34 gigaoctets de données issues d’interventions réalisées chez des clients opérateurs. À la date de rédaction du présent article, aucune source officielle n’a confirmé ni l’ampleur exacte des données concernées ni l’identité des personnes touchées, et aucune responsabilité n’est établie : les volumes cités restent ceux que revendique l’auteur présumé de l’attaque. Les développements qui suivent décrivent, de façon générale, les règles applicables quand des données personnelles circulent après une cyberattaque : ce que l’entreprise attaquée doit faire, ce que vous pouvez exiger d’elle, et comment agir si vos nom, adresse et numéro de téléphone se retrouvent entre des mains indésirables. Les contrats que vous avez signés priment sur toute analyse générale, et seul le juge décide en cas de litige.

I. Une cyberattaque revendiquée contre un prestataire : ce qui est établi et ce qui reste allégué

A. L’intrusion reconnue par l’entreprise, la plainte déposée et l’activité qui se poursuit

Premier point de repère : une entreprise qui reconnaît avoir subi une intrusion ne reconnaît ni l’ampleur du préjudice ni une faute. Selon l’article relayé par Idéal Investisseur le 16 octobre 2026, le prestataire technique visé a admis qu’une intrusion avait eu lieu le 12 octobre 2026, que certaines données relatives à ses clients auraient pu faire l’objet d’un accès ou d’une divulgation non autorisés, et qu’une plainte avait été déposée auprès des autorités compétentes. L’entreprise déclare également que son exploitation continue normalement. Ces éléments, rapportés par la presse économique, constituent le socle factuel connu : une attaque admise, une date, une plainte, une continuité d’activité. Rien de plus ne peut en être déduit à ce stade.

Sur le plan pénal, l’intrusion dans un système informatique constitue, lorsqu’elle est frauduleuse, un délit puni par l’article 323-1 du code pénal, qui dispose : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du code pénal). Le dépôt de plainte de l’entreprise attaquée ouvre la voie à une enquête destinée à identifier les auteurs, à caractériser les accès et à mesurer ce qui a été copié, modifié ou diffusé. Lorsque l’attaque perturbe le fonctionnement des systèmes, l’article 323-2 du code pénal ajoute : « Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-2 du code pénal).

La jurisprudence récente illustre la sévérité avec laquelle les juridictions traitent ces atteintes, y compris lorsqu’elles sont commises de l’intérieur par une personne qui disposait pourtant d’un accès. Par arrêt du 2 septembre 2025 (pourvoi n° 24-83.605, publié au Bulletin), la chambre criminelle de la Cour de cassation a rejeté le pourvoi d’un administrateur réseau salarié qui s’était maintenu dans la messagerie de son employeur et avait été condamné à trois mois d’emprisonnement avec sursis (Cass. crim., 2 sept. 2025, n° 24-83.605). La Cour juge que « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie ». Autrement dit, disposer d’un accès ne donne pas le droit d’en faire n’importe quel usage : la finalité étrangère à la mission et la dissimulation caractérisent le maintien frauduleux.

Cette décision présente un second enseignement, précieux pour les victimes : la Cour a validé l’indemnisation du préjudice moral de la personne dont la messagerie avait été consultée. Elle retient que « la perte de confiance éprouvée par M. [G], suite aux agissements de M. [L], était constitutive d’un préjudice moral découlant directement du délit prévu par l’article 323-1 du code pénal retenu à la charge du prévenu », et confirme l’évaluation de ce préjudice à la somme de 10 000 euros (Cass. crim., 2 sept. 2025, n° 24-83.605). La perte de confiance liée à l’accès indu à ses propres données constitue donc un préjudice réparable, ce qui compte quand vos informations personnelles se retrouvent exposées.

Pour l’entreprise attaquée comme pour ses clients, la plainte n’est qu’un premier pas. Le droit des données personnelles impose à l’organisme qui a subi la violation une série d’obligations propres, détaillées dans la seconde partie du présent article, et les personnes concernées disposent de droits qu’elles peuvent exercer sans attendre l’issue de l’enquête pénale.

B. Les dix millions d’enregistrements proposés à la vente : une revendication que rien ne confirme

Second point de repère, tout aussi important : entre l’attaque reconnue et les chiffres qui circulent, il existe un fossé que seule une enquête peut combler. Selon le site spécialisé qui recense l’annonce, l’auteur présumé de l’attaque proposerait à la vente environ 10,38 millions d’enregistrements, soit quelque 34 gigaoctets, comprenant des numéros de téléphone, des noms et des adresses postales qui proviendraient d’interventions réalisées pour le compte d’opérateurs clients. Ces volumes et cette provenance restent, à la date de rédaction, ceux qu’affirme le vendeur présumé : aucune autorité, aucun audit indépendant et aucun jugement ne les a confirmés. Présenter ces chiffres comme établis serait inexact, et les reprendre à son compte exposerait leur auteur à propager une information non vérifiée.

Cette prudence n’enlève rien à la gravité potentielle des faits, que le droit pénal appréhende sous plusieurs qualifications. Si des données ont été copiées puis proposées à la vente, l’article 323-3 du code pénal dispose : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-3 du code pénal). L’extraction et la détention frauduleuses de données sont donc punies indépendamment de l’intrusion elle-même, et plus lourdement qu’elle.

La Cour de cassation a déjà eu l’occasion de cumuler ces qualifications dans une affaire où un particulier s’était introduit sur l’extranet d’un établissement public à la suite d’une défaillance technique, s’y était maintenu après avoir constaté l’existence d’un contrôle d’accès, puis avait téléchargé des données fixées sur différents supports et diffusées à des tiers. Par arrêt du 20 mai 2015 (pourvoi n° 14-81.336, publié au Bulletin), la chambre criminelle a rejeté son pourvoi et jugé que « M. X… s’est maintenu dans un système de traitement automatisé après avoir découvert que celui-ci était protégé et a soustrait des données qu’il a utilisées sans le consentement de leur propriétaire », caractérisant ainsi à la fois le maintien frauduleux et le vol (Cass. crim., 20 mai 2015, n° 14-81.336). Le téléchargement sans consentement de données que l’on sait protégées constitue une soustraction frauduleuse : la mise en vente alléguée des enregistrements, si elle était démontrée, s’inscrirait dans cette logique de prédation punie par la loi.

Du côté des acquéreurs éventuels, le droit pénal n’est pas désarmé non plus. L’article 321-1 du code pénal définit le recel en ces termes : « Le recel est le fait de dissimuler, de détenir ou de transmettre une chose, ou de faire office d’intermédiaire afin de la transmettre, en sachant que cette chose provient d’un crime ou d’un délit. » (article 321-1 du code pénal). Acheter sciemment une base de données issue d’une intrusion, ou servir d’intermédiaire à sa revente, exposerait donc l’acquéreur à des poursuites pour recel, distinctes de celles visant l’auteur de l’intrusion.

Enfin, l’exploitation même des données revendues tombe sous le coup des infractions propres aux données personnelles. L’article 226-18 du code pénal dispose : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-18 du code pénal). Et l’article 226-22 du même code ajoute : « Le fait, par toute personne qui a recueilli, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, de porter, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-22 du code pénal). Nom, adresse postale et numéro de téléphone permettent de démarcher, d’usurper et de harceler : leur diffusion sans autorisation entre dans le champ de ces textes, sous réserve que l’enquête établisse les faits.

II. Vos nom, adresse et téléphone circulent : les droits concrets des personnes concernées

A. Ce que l’organisme attaqué doit faire pour vous : notifier, informer et répondre dans le mois

Quand une violation de données personnelles survient dans le secteur des communications électroniques, la loi française impose au fournisseur une alerte sans délai. L’article 83 de la loi du 6 janvier 1978, applicable aux traitements mis en œuvre dans le cadre de la fourniture au public de services de communications électroniques, prévoit : « En cas de violation de données à caractère personnel, le fournisseur de services de communications électroniques accessibles au public avertit, sans délai, la Commission nationale de l’informatique et des libertés. » (article 83 de la loi n° 78-17 du 6 janvier 1978). La CNIL est, en France, l’autorité de contrôle : l’article 8 de la même loi précise qu’« Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016. » (article 8 de la loi n° 78-17 du 6 janvier 1978). Le dépôt de plainte pénale par l’entreprise ne remplace pas cet avertissement, et l’avertissement ne remplace pas la plainte : les deux démarches avancent en parallèle, avec des finalités différentes.

Au-delà de l’autorité, ce sont les personnes concernées elles-mêmes qui doivent être averties quand leurs données ou leur vie privée peuvent être atteintes. Le même article 83 dispose : « Lorsque cette violation peut porter atteinte aux données à caractère personnel ou à la vie privée d’un abonné ou d’une autre personne physique, le fournisseur avertit également, sans délai, l’intéressé. » Des nom, adresse et numéro de téléphone associés ouvrent la voie au démarchage agressif, aux tentatives d’escroquerie par téléphone et à l’usurpation d’identité : un tel faisceau de données rend difficile de soutenir qu’aucune atteinte ne serait possible, même si l’appréciation définitive appartient à l’autorité de contrôle et, en cas de litige, au juge. La loi dispense toutefois d’avertir individuellement les intéressés dans une hypothèse précise : « La notification d’une violation des données à caractère personnel à l’intéressé n’est toutefois pas nécessaire si la Commission nationale de l’informatique et des libertés a constaté que des mesures de protection appropriées ont été mises en œuvre par le fournisseur afin de rendre les données incompréhensibles à toute personne non autorisée à y avoir accès et ont été appliquées aux données concernées par ladite violation. » Des données solidement chiffrées, dont la clé n’a pas été compromise, peuvent donc justifier l’absence de notification individuelle, ce qui montre l’importance concrète des mesures techniques de protection. « A défaut, la Commission nationale de l’informatique et des libertés peut, après avoir examiné la gravité de la violation, mettre en demeure le fournisseur d’informer également les intéressés ».

Parallèlement, chacun peut prendre l’initiative et interroger par écrit les organismes qui détiennent ses données : accès à ses informations, rectification des données inexactes, opposition à certains usages ou demande de suppression. Adressez ces demandes par un canal qui laisse une trace, conservez-en une copie et notez la date d’envoi. L’absence de réponse, ou une réponse évasive, constitue un manquement distinct de la violation initiale et peut fonder à son tour une réclamation. Chaque fournisseur tient par ailleurs, selon le même article 83, « à jour un inventaire des violations de données à caractère personnel, notamment de leurs modalités, de leur effet et des mesures prises pour y remédier et le conserve à la disposition de la commission » (article 83 de la loi n° 78-17 du 6 janvier 1978) : l’organisme interrogé ne peut donc pas prétendre ne garder aucune trace de l’incident. Les dirigeants confrontés à une attaque en cours trouveront par ailleurs un rappel méthodique des réflexes utiles, notification à la CNIL et gestion du prestataire, dans l’analyse consacrée aux cyberattaques en cours visant une boutique en ligne, entre notification à la CNIL et sort du prestataire.

B. Porter plainte, saisir l’autorité et obtenir réparation : le parcours de la victime

Si vous recevez un démarchage anormal, si un correspondant que vous n’avez jamais contacté dispose de vos coordonnées précises, ou si vous êtes nommément averti par un organisme que vos données ont été exposées, plusieurs démarches se complètent sans s’exclure. D’abord, conservez les preuves : captures d’écran des messages suspects, relevés d’appels, courriers reçus, dates et heures. Les tentatives d’escroquerie qui suivent une fuite de données constituent souvent des infractions autonomes, et leur démonstration repose sur des éléments concrets que seule la victime peut figer à temps. Changez sans attendre les mots de passe des comptes liés à l’adresse ou au numéro exposés, activez la double authentification et placez sous surveillance vos relevés bancaires et vos comptes en ligne.

Ensuite, la plainte pénale reste ouverte à toute personne qui s’estime victime. L’action civile en réparation du dommage causé par une infraction appartient, selon l’article 2 du code de procédure pénale, à « tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction » (article 2 du code de procédure pénale). Vous pouvez donc déposer plainte pour les infractions rappelées plus haut, notamment la collecte frauduleuse de données, leur divulgation sans autorisation ou le recel, et vous constituer partie civile afin de demander réparation devant le juge répressif. La plainte peut être déposée dans n’importe quel commissariat ou brigade de gendarmerie, ou par écrit auprès du procureur de la République, et la constitution de partie civile permet au juge pénal de statuer aussi sur vos intérêts civils.

En parallèle de la voie pénale, toute personne concernée peut saisir l’autorité de contrôle. La loi confie à la CNIL la mission suivante : « Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire » (article 8 de la loi n° 78-17 du 6 janvier 1978). À la date de rédaction, le site de la Commission affiche un message de maintenance, ce qui invite à renouveler la tentative ou à utiliser les autres voies de contact de l’institution plutôt qu’à renoncer. La réclamation constitue ainsi un levier de transparence autant qu’une voie de sanction possible contre l’organisme défaillant.

D’autre part, la victime peut agir directement en réparation devant le juge civil. En droit français, cette action s’adosse au principe général de la responsabilité civile. L’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil). Le préjudice réparable ne se limite pas aux pertes d’argent : comme l’a confirmé la Cour de cassation dans l’arrêt du 2 septembre 2025 cité plus haut, la perte de confiance éprouvée après l’accès indu à ses données constitue un préjudice moral indemnisable, évalué en l’espèce à 10 000 euros. Démarchage intempestif subi, temps passé à sécuriser ses comptes, crainte d’une usurpation d’identité, sentiment de violation de sa vie privée : ces chefs de préjudice, inégalement accueillis selon les juridictions, doivent être articulés avec précision et prouvés pièces à l’appui. Une simple allégation de fuite, sans démonstration d’un dommage personnel et direct, ne suffit pas à obtenir réparation.

Un dernier point mérite l’attention des clients des opérateurs concernés : vos contrats d’abonnement et les conditions générales des services souscrits peuvent contenir des clauses relatives à la sécurité, à la notification et à la responsabilité en cas d’incident. Ces stipulations, qui priment dans vos relations avec votre cocontractant, doivent être relues avant toute démarche, car elles déterminent à qui écrire en premier, sous quelle forme et avec quels justificatifs. Conservez l’original de tout courrier de notification que vous recevriez d’un organisme : il fixe la date à laquelle vous avez été informé, décrit les données concernées selon l’organisme lui-même, et constitue une pièce maîtresse d’un éventuel dossier.

Conclusion

Une cyberattaque reconnue par un prestataire technique, une plainte déposée, une activité qui se poursuit, et face à cela la revendication non vérifiée d’un vendeur présumé de dix millions d’enregistrements : tel est, à la date de rédaction, l’état des informations disponibles, et rien ne permet d’aller au-delà. Aucune source officielle n’a confirmé l’ampleur des données exposées ni l’identité des personnes touchées, aucune responsabilité n’est établie, et les contrats signés priment sur toute analyse générale. Seul le juge, au terme des enquêtes en cours, dira ce qui a été pris, par qui, et avec quelles conséquences. En attendant, le droit applicable est clair : l’intrusion et l’extraction frauduleuses sont des délits punis de plusieurs années d’emprisonnement, l’organisme attaqué doit avertir l’autorité et les personnes exposées sans délai, chacun peut interroger les organismes par écrit et saisir la CNIL, et toute personne ayant subi un dommage matériel ou moral du fait d’une violation peut en obtenir réparation, y compris au titre de la perte de confiance. Conserver les preuves, exercer ses droits par écrit, déposer plainte et, le cas échéant, saisir l’autorité de contrôle : ce parcours, mené avec méthode et pièces à l’appui, donne à la victime les meilleures chances d’être entendue quand le temps de la réparation sera venu.