Office français de la biodiversité : incident confirmé sur l'application Permis de chasser, environ 1 200 personnes informées, 165 000 lignes revendiquées

Dans un communiqué, l’Office français de la biodiversité (OFB) indique que, le 4 octobre 2026, un incident de sécurité a été identifié sur son application « Permis de chasser », qui sert à s’inscrire à l’examen du permis ou à demander un duplicata. L’établissement évalue à environ 1 200 le nombre de personnes concernées, des utilisateurs récents informés par courriel, et a suspendu l’accès au service par précaution. Le même jour, selon Fuites Infos, une revendication portant sur environ 165 000 lignes de dossiers a circulé sur un réseau social et une messagerie. Chasse Passion rapporte que le compte JustaBreach a annoncé le 5 octobre la mise hors ligne du site, rattachée à une vulnérabilité de son interface de programmation, et que le service restait indisponible le 7 octobre.

Le point le plus délicat tient à l’écart entre les deux ordres de grandeur, qu’aucune source consultée ne réconcilie : l’OFB parle d’environ 1 200 personnes, tandis que la revendication (165 000 lignes pour Cyberattaque.org et Fuites Infos, 170 000 pour Chasse Passion) porte sur des lignes de dossiers et non sur des personnes. Une même personne pouvant figurer sur plusieurs lignes, l’écart n’est pas nécessairement une contradiction, mais plus de cent lignes par personne restent difficiles à expliquer sur cette seule base : le périmètre de l’OFB vise des utilisateurs récents, alors que la revendication pourrait recouvrir davantage d’enregistrements ou en gonfler le nombre, sans que rien ne permette de choisir. L’OFB ne confirme ni le volume ni le mode opératoire, et Cyberattaque.org attribue la revendication à un collectif nommé LunarisSec, une attribution qui ne repose que sur ce média.

Il s’agit aussi de la seconde compromission connue de la même application en 2026, l’OFB ayant confirmé fin janvier un acte de cyber-malveillance contre elle, dans le sillage de la fuite de la Fédération nationale des chasseurs. Aucun élément public ne relie les deux événements, et l’application, encore fermée le 11 mars selon Mediaterranee, a nécessairement rouvert depuis, sans que la date de réouverture ait été trouvée. Qu’une même application soit visée à deux reprises en moins de neuf mois justifie de suivre les suites que l’OFB donnera à cet épisode, sans qu’on puisse dire si les deux affaires ont une cause commune.

L’OFB ne détaille pas les champs concernés : il évoque des données personnelles et exclut les données de santé, de compte bancaire et de détention d’arme. Pour l’attaque de janvier, il avait listé l’état civil, les coordonnées, la nationalité, le numéro de permis et des informations d’examen, dont l’inscription au fichier national des personnes interdites d’acquisition et de détention d’armes (FINIADA). La revendication d’octobre évoque des champs du même ordre, plus des montants et modes de paiement des droits, dont Cyberattaque.org souligne que la présence ne prouve pas qu’ils aient été renseignés ni extraits. Cet assemblage ouvre la voie à l’hameçonnage ciblé, notamment par de faux messages de l’OFB ou d’une fédération départementale, et à l’usurpation d’identité. Il comporte aussi un risque physique, à mentionner sans dramatiser : bien que les données ne comportent, selon l’OFB, aucune information sur les armes, un fichier de chasseurs désigne des détenteurs probables à leur domicile, et dans le cas de la FFTir le ministre de l’Intérieur a évoqué une vingtaine à une trentaine de cambriolages potentiellement liés à la revente des données. Les personnes concernées incluent toutefois des candidats à l’examen, qui n’ont pas nécessairement d’arme.

L’OFB a suspendu l’accès, informé les personnes concernées par courriel et recommandé la vigilance face aux messages et appels inhabituels liés au permis ; son délégué à la protection des données est joignable pour toute question. Le communiqué indique que les autorités compétentes seront informées conformément aux procédures applicables, sans nommer la CNIL ni évoquer de plainte, alors que l’établissement avait détaillé en janvier une notification à la CNIL et à l’ANSSI ainsi qu’une plainte : ces démarches ne sont donc pas établies pour l’incident d’octobre.

Les personnes ayant utilisé l’application ces derniers mois, qu’elles aient ou non reçu le courriel de l’OFB, traiteront avec méfiance tout message, SMS ou appel se réclamant de l’OFB, du permis ou d’une fédération départementale, surtout s’il réclame une pièce, un paiement ou une confirmation d’identité, et vérifieront toute demande par le site officiel ou leur fédération. Les détenteurs d’armes veilleront à la sécurisation de leur domicile et signaleront à la gendarmerie tout démarchage ou visite inhabituelle se présentant comme lié au permis.