CAPEB : une base de 3,97 millions de lignes revendiquée par ChimeraZ, sans confirmation de la confédération

Le 2 octobre 2026, un acteur que Cyberattaque.org et FrenchBreaches nomment « ChimeraZ » (Fuites Infos ne le nomme pas) a diffusé sur un forum cybercriminel une base qu’il présente comme issue de capeb.fr, le site de la Confédération de l’artisanat et des petites entreprises du bâtiment. Il annonce 3 966 461 lignes (2,48 Go, format JSONL), dont 261 884 numéros de téléphone et 253 636 adresses électroniques. Les trois trackers ont relayé la revendication le 3 octobre après examen d’extraits, mais tous partent de la même publication : leur accord ne vaut pas confirmation. Le motif invoqué, un reproche à la confédération de ne pas défendre les artisans face à la hausse des coûts, ne renseigne pas sur la réalité de l’accès. La CAPEB avait par ailleurs annoncé le 3 septembre la fermeture de son e-boutique après des « expositions répétées à des risques de cyberattaque », sans mentionner d’incident, et aucune source ne relie cette décision à la revendication.

Le point le plus délicat tient à ce que recouvrent ces chiffres. Les titres parlent de « 500 000 artisans » ou de dirigeants, mais Cyberattaque.org et Fuites Infos présentent cette estimation comme approximative et à confirmer, FrenchBreaches ne la reprend pas, et tous rappellent que 3,97 millions de lignes ne font pas autant de personnes, une même entreprise ou un même dirigeant pouvant figurer plusieurs fois. Ce chiffre ne correspond pas non plus au nombre d’adhérents : la plaquette de la CAPEB d’octobre 2025 revendique environ 62 000 entreprises adhérentes, alors que le bâtiment compte 512 000 entreprises de dix salariés au plus. Aucune source ne précise la nature du fichier : les champs relevés (structure de rattachement et, selon Cyberattaque.org seule, ancienneté ou renouvellement) évoquent des fiches d’adhésion, tandis que l’ordre de grandeur renvoie plutôt à un annuaire du secteur, à un fichier de prospects ou à un décompte gonflé par les doublons.

Les extraits examinés par Cyberattaque.org et FrenchBreaches font apparaître le nom des représentants, la raison sociale, l’adresse postale, le téléphone portable, l’adresse électronique, le numéro SIRET, la forme juridique, l’activité (plomberie, chauffage, ventilation), l’effectif et la CAPEB départementale de rattachement. FrenchBreaches note qu’une partie de ces informations peut déjà être publique, la valeur de la base tenant à leur rapprochement avec les coordonnées. Fuites Infos cite en outre, au seul conditionnel, des catégories bien plus sensibles (date de naissance, numéro de sécurité sociale, coordonnées bancaires, mots de passe dont certains hachés) que les deux autres sources ne rapportent pas : elles sont tenues ici pour non corroborées. Associer un nom, un mobile, un métier et un département permet à des escrocs de monter des scénarios crédibles : faux clients ou faux fournisseurs, fausses factures avec changement de RIB, faux organismes (assurance décennale, Qualibat, URSSAF, chambre de métiers), fausses relances de cotisation ou offres d’annuaires professionnels payants.

Le pseudonyme ChimeraZ est associé à d’autres revendications récentes (Plurélya le 25 septembre, la base du 3 octobre liée à la Région Hauts-de-France, la CMA Occitanie relayée le 3 septembre), ce qui n’établit ni vecteur ni prestataire commun. Côté CAPEB, aucune confirmation n’a été trouvée : Cyberattaque.org et Fuites Infos indiquent qu’elle n’a pas confirmé l’incident, et ses pages d’actualités et de communiqués, consultées le 8 octobre 2026, ne contiennent ni alerte aux adhérents ni mention de sécurité (dernier communiqué le 5 octobre, sur le projet de loi de finances 2027). Aucune source ne mentionne la CNIL ni une plainte, et aucun article de presse généraliste n’a été trouvé, ce qui maintient la fuite au statut d’alléguée.

Les artisans du bâtiment, adhérents ou non, ont intérêt à se méfier de tout appel, SMS ou courriel se réclamant de la CAPEB, d’un organisme de qualification, d’un assureur décennal, de l’URSSAF ou de leur chambre de métiers qui demande un paiement, une mise à jour de dossier ou une confirmation d’identité, et à rappeler l’organisme par un numéro connu. Toute demande de changement de coordonnées bancaires d’un fournisseur ou d’un client doit être confirmée par un second canal avant tout virement, et une commande ou un devis inhabituel venant d’un nouveau « client » appelle une vérification de l’entreprise. Les messages suspects se signalent sur signal-spam.fr, au 33700 et sur Cybermalveillance.gouv.fr, et les adhérents peuvent interroger leur CAPEB départementale, l’incident restant non confirmé à ce jour.