Cinq services d'incendie et de secours visés en deux jours : les données de milliers de sapeurs-pompiers diffusées

Les 29 et 30 août 2026, un acteur utilisant le pseudonyme « ChimeraZ » a mis en ligne les bases de cinq services départementaux d’incendie et de secours : les Bouches-du-Rhône, le Gard, la Moselle, le Bas-Rhin et les Vosges. Aucun outil métier ni prestataire mutualisé commun n’a été identifié, ce qui oriente vers cinq compromissions individuelles menées par le même acteur au cours d’une même campagne, plutôt que vers une fuite unique chez un fournisseur partagé.

Un seul service a communiqué. Le 31 août, le directeur du SDIS du Gard a reconnu une fuite touchant l’ensemble de ses 3 168 agents, portant sur les nom, prénom, matricule, téléphone et adresse électronique professionnelle, sans données bancaires. Une plainte a été déposée, certaines applications ont été arrêtées par précaution en lien avec la Direction générale de la sécurité civile, et la continuité des secours a été assurée. Les quatre autres services n’avaient pas communiqué à la date de rédaction, ce qui maintient la fiche en statut « alléguée » malgré cette confirmation partielle.

Le chiffre de dix-huit mille sapeurs-pompiers, largement repris, ne résiste pas à la vérification. L’observatoire qui l’avance annonce un total de 17 952 personnes qui ne correspond pas à la somme des sous-totaux qu’il publie par ailleurs pour chacun des cinq services. Faute de pouvoir trancher entre les deux, seul le sous-total confirmé du Gard est retenu comme solide, le reste devant être lu comme un ordre de grandeur.

Les données concernées sont professionnelles, ce qui pourrait laisser croire à un risque limité. Il l’est moins qu’il n’y paraît pour deux raisons. La première est le volume de sapeurs-pompiers volontaires, dont l’adresse électronique enregistrée est fréquemment personnelle, ce qui brouille la frontière entre annuaire de service et fichier de particuliers. La seconde tient à l’usage possible du croisement grade, affectation et centre de rattachement : il permet de construire une sollicitation crédible se réclamant de la hiérarchie ou d’un organisme de formation, auprès d’un public habitué à des communications administratives fréquentes.

Une source de veille situe par ailleurs cet épisode dans une série plus large touchant quatorze services d’incendie et de secours au cours de l’année 2026. Cette fiche ne couvre que la vague des 29 et 30 août, les autres épisodes n’ayant pas fait l’objet de la même vérification.