Lire une revendication de fuite de données : ce qui sépare une fuite alléguée d'une fuite confirmée

Entre le 4 et le 12 août 2026, un même acteur, actif sous le pseudonyme ZeroBytes, a revendiqué trois intrusions visant des organisations françaises sans rapport entre elles : le service Drive d’Intermarché, l’enseigne Bureau Vallée, puis un outil interne de la Direction générale des Finances publiques. Trois annonces, trois volumes spectaculaires, une couverture médiatique quasi immédiate. À la même période, un second acteur, « Cybernox », revendiquait coup sur coup Bloctel et Santé publique France.

Sur ces cinq revendications, une seule a fait l’objet d’une confirmation officielle à ce jour. Une autre a été confirmée par l’entreprise concernée avec un chiffre cinq fois inférieur à celui annoncé par l’attaquant. Les trois dernières restent, à l’heure où ces lignes sont écrites, des affirmations invérifiées émanant de personnes qui ont un intérêt direct à les exagérer.

L’écart entre ce qui est annoncé et ce qui est établi conditionne la valeur de l’information : reprise sans filtre, une revendication devient un vecteur de communication pour son auteur. Cet article détaille la méthode d’instruction appliquée à chaque fiche de la section Fuites de données, ainsi que les critères que tout lecteur, journaliste ou responsable sécurité peut appliquer avant de reprendre un chiffre.

Dans cet article, vous découvrirez :

• Pourquoi une revendication n’est pas une fuite, et ce que recouvrent nos trois statuts
• L’erreur la plus fréquente : confondre une ligne de base de données et une personne
• Les six vérifications à mener avant de reprendre un chiffre
• Ce que signifie, et ce que ne signifie pas, le silence d’une organisation
• Ce qu’une entreprise concernée doit faire, et dans quel délai

Une revendication n’est pas une fuite

Une revendication est une publication sur un forum de fuites ou sur un site d’extorsion, dans laquelle un acteur affirme détenir des données issues d’une organisation. Elle comporte généralement un nom de victime, un volume, une description sommaire des champs, parfois un échantillon de quelques dizaines de lignes, et un mode de diffusion (vente, diffusion gratuite, ou compte à rebours dans le cas d’un rançongiciel).

Ce format ressemble à une information. Il n’en est pas une, pour une raison simple : son auteur est intéressé au résultat. Sur ces forums, la réputation détermine la valeur marchande des publications suivantes. Annoncer un million de lignes plutôt que deux cent mille améliore la visibilité de l’annonce, la crédibilité du vendeur et le prix de vente. L’exagération relève donc d’une mécanique économique documentée, et non d’un accident de mesure.

Les trois statuts en vigueur

Chaque fiche de la section porte un statut, qui renseigne l’état de la preuve et non la gravité de l’incident :

• Alléguée : la fuite repose sur une revendication ou sur l’analyse d’un tiers, sans confirmation par l’organisation concernée ni par une autorité. C’est le statut par défaut, et il le reste tant qu’aucune source primaire ne vient l’infirmer ou le confirmer.
• Confirmée : l’organisation, son autorité de tutelle ou un régulateur a reconnu publiquement l’incident. Le périmètre reste parfois discuté, mais l’existence de la violation ne l’est plus.
• Clôturée : l’incident a fait l’objet d’un traitement complet, avec information des personnes concernées et, le cas échéant, décision de l’autorité de contrôle.

Le passage de « alléguée » à « confirmée » n’est jamais automatique et ne dépend pas du volume de la couverture médiatique. Quinze articles reprenant la même revendication ne constituent pas quinze sources : ils constituent une source, relayée quinze fois.

L’erreur la plus fréquente : la ligne n’est pas la personne

C’est l’écueil le plus répandu, et il traverse la majorité des reprises rapides.

Une base de données ne stocke pas une personne par ligne. Elle stocke des enregistrements, et un même individu peut en générer plusieurs : une commande par ligne, un renouvellement d’adhésion par ligne, une adresse de livraison distincte de l’adresse de facturation. Annoncer « 1,4 million de lignes » n’a donc pas la même signification que « 1,4 million de personnes », et l’écart est régulièrement d’un facteur deux à cinq.

Trois cas récents, tirés des fiches de la section, illustrent l’ampleur du phénomène :

Incident	Volume revendiqué	Volume établi	Écart
Intermarché Drive	1 393 807 lignes	287 605 clients notifiés	facteur 4,8
Bureau Vallée	55 949 enregistrements	21 921 personnes distinctes	facteur 2,6
FSPN	224 076 enregistrements	~71 304 personnes après déduplication	facteur 3,1

Le cas Bureau Vallée est particulièrement instructif : c’est l’attaquant lui-même qui précise que ses 55 949 enregistrements correspondent à 21 921 personnes distinctes. La reprise médiatique a majoritairement retenu le premier chiffre.

Règle de lecture : tant que la nature de l’unité n’est pas explicite (ligne, enregistrement, compte, personne, document), un volume ne veut rien dire. En l’absence de précision, il faut supposer qu’il s’agit de lignes, donc d’un majorant.

Les six vérifications avant de reprendre un chiffre

Voici la séquence appliquée, dans cet ordre, avant la publication d’une fiche.

1. Identifier l’unité de compte

Lignes, enregistrements, comptes, personnes uniques, documents, ou volume en gigaoctets. Un volume exprimé en Go, comme les 29 Go revendiqués dans l’affaire Prelys Courtage, ne dit strictement rien du nombre de personnes concernées : il dit qu’il y a beaucoup de documents, ce qui est une information sur la sensibilité, pas sur l’ampleur.

2. Chercher la source primaire

Une source primaire est un communiqué de l’organisation, une notification adressée aux personnes concernées, une décision ou une mise en garde d’une autorité. Dans l’affaire Bloctel, le communiqué de la DGCCRF du 12 août a transformé une revendication en fait établi, tout en corrigeant le périmètre : les 2,3 millions de comptes annoncés recouvraient en réalité 3 millions de numéros contenus dans des fichiers professionnels, dont 600 000 inscrits au service. Sans ce communiqué, la fiche serait restée « alléguée ».

3. Vérifier l’indépendance des sources secondaires

Deux articles publiés le même jour, reprenant le même échantillon et citant la même plateforme de veille, ne constituent pas deux vérifications. Le seuil retenu est de deux sources au minimum, dont l’une apporte un élément propre : une analyse d’échantillon, une déclaration recueillie auprès de l’organisation, ou un recoupement technique.

4. Examiner la cohérence interne de l’échantillon

Sans jamais rediffuser de données, il est possible de raisonner sur la structure décrite : les champs annoncés correspondent-ils à ce qu’un tel système stocke réellement ? Un service qui n’enregistre pas de coordonnées bancaires ne peut pas en faire fuiter. Une plateforme de gestion de partenaires professionnels contient un annuaire, pas des dossiers médicaux. C’est précisément ce type d’examen qui a permis, dans l’affaire DGFiP, de constater que les champs décrits (revenu fiscal de référence, taux de prélèvement à la source, nombre de personnes à charge) étaient cohérents avec un outil de consultation fiscale.

5. Distinguer une fuite nouvelle d’une recompilation

Une part significative des « fuites massives » annoncées sont des combolists : des agrégats de fuites anciennes, reformatés et republiés sous un nouveau nom. Les indices sont connus, à commencer par l’absence de champ propre à l’organisation citée, la présence de mots de passe hachés selon des algorithmes obsolètes, ou des adresses e-mail comportant des domaines disparus depuis des années.

6. Dater l’intrusion, pas seulement la publication

L’écart entre les deux est souvent considérable et il change l’interprétation. Dans l’affaire DGFiP, l’intrusion revendiquée remonte au 26 juin pour une publication le 12 août. Pour I-CAD, la vulnérabilité a été détectée en septembre 2025 et la communication publique n’est intervenue qu’en août 2026, déclenchée par une vague d’hameçonnage. Une donnée exfiltrée il y a onze mois circule depuis onze mois.

Ce que le silence d’une organisation signifie

C’est le point le plus délicat, et celui sur lequel les raccourcis sont les plus tentants.

Le silence ne vaut pas démenti : une organisation qui ne communique pas peut être en pleine investigation, sous contrainte judiciaire, ou simplement en train de vérifier un périmètre avant de notifier. Le RGPD lui impose de notifier la CNIL sous 72 heures après avoir pris connaissance d’une violation, et d’informer les personnes concernées en cas de risque élevé, mais ces démarches peuvent rester internes pendant un certain temps sans qu’aucune communication publique n’intervienne.

Il ne vaut pas davantage confirmation : écrire qu’une organisation « n’a pas démenti » pour laisser entendre que les faits sont établis relève du procédé rhétorique plutôt que de la vérification.

Ce que le silence justifie, en revanche, c’est le maintien du statut « alléguée » et la mention explicite de ce silence dans la fiche. C’est la position que nous tenons pour la DGFiP et pour Santé publique France, dont les revendications sont sérieuses et les échantillons jugés cohérents par les analystes, mais qui n’ont fait l’objet d’aucune communication officielle.

Ce qu’une organisation concernée doit faire

Si votre organisation est citée dans une revendication, l’ordre des opérations compte plus que la vitesse.

Les actions prioritaires :

• Ne pas démentir avant d’avoir vérifié. Un démenti contredit par les faits quelques jours plus tard coûte davantage, en confiance comme en exposition réglementaire, que le silence pendant l’investigation.
• Qualifier la violation au sens de l’article 33 du RGPD et enclencher le décompte des 72 heures dès la prise de connaissance, y compris lorsque le périmètre reste incertain : la notification peut être complétée par la suite.
• Vérifier l’échantillon avant la base entière. Un échantillon publié suffit généralement à établir si les données proviennent bien de vos systèmes, et par quel applicatif.
• Rechercher le vecteur du côté des accès partenaires, pas seulement du système central. Trois des incidents d’août 2026 passent par un compte professionnel légitime usurpé plutôt que par une intrusion frontale.
• Informer les personnes concernées lorsque le risque est élevé (article 34), en fournissant des consignes utilisables plutôt qu’un rappel de vigilance générique.
• Ne jamais télécharger le fichier diffusé depuis un poste de production, et confier cette vérification à des intervenants dont c’est le métier, dans un cadre juridiquement établi.

Vers une lecture plus exigeante des revendications

La couverture des fuites de données souffre d’un biais structurel : la seule partie qui communique vite et volontiers est celle qui a intérêt à gonfler les chiffres. Les organisations concernées parlent tard, les autorités plus tard encore, et l’écart de tempo suffit à installer durablement un volume erroné dans l’espace public.

La méthode qui protège de ce biais n’a rien de sophistiqué : identifier l’unité de compte, chercher la source primaire, vérifier que les sources secondaires sont réellement indépendantes, examiner la cohérence des champs, écarter les recompilations et dater l’intrusion plutôt que sa publication.

C’est ce qui explique que certaines fiches de la section n’alimentent pas le compteur cumulé, faute de chiffre confirmé, et qu’elles restent parfois au statut « alléguée » alors même que la presse a tranché. Cette réserve a un coût éditorial assumé : elle marque la limite entre documenter un incident et en amplifier l’annonce.

Besoin d’aide pour qualifier un incident, instruire une notification ou évaluer l’exposition de vos données ? Découvrez nos services pour une approche personnalisée.

📚 Sources et références ▼

Cadre réglementaire

• CNIL : notifier une violation de données personnelles
• RGPD, article 33 : notification à l'autorité de contrôle
• RGPD, article 34 : communication à la personne concernée

Cas cités

• Fiche : Intermarché, 287 605 clients du Drive touchés
• Fiche : Bureau Vallée, 55 949 enregistrements extraits via une API
• Fiche : DGFiP, 678 438 lignes de données fiscales revendiquées
• Fiche : Bloctel, 3 millions de numéros exfiltrés
• Fiche : Santé publique France, 80 000 partenaires exposés

Aller plus loin

• Guide OSINT défensif : auditer l'exposition de son entreprise
• Techniques du cyber-renseignement (OSINT)
• Indicateurs à surveiller en cas d'usurpation d'identité