YggTorrent : fuite de données et fermeture

Dans la nuit du 3 au 4 mars 2026, YggTorrent, présenté comme le plus grand annuaire de torrents de la communauté francophone, a cessé de fonctionner et affiché un message de fermeture définitive. La plateforme, qui revendiquait environ 6,6 millions de comptes, a été visée par une intrusion attribuée à un acteur isolé utilisant le pseudonyme Gr0lum. Selon ses revendications, relayées par plusieurs médias, l’auteur aurait exfiltré une importante quantité de données internes puis publié une archive d’environ 11 Go sur un espace baptisé YGGLeak.

D’après les éléments rapportés par la presse, les données concernées incluraient des pseudonymes associés à des historiques de téléchargement, des empreintes de mots de passe (un algorithme MD5 obsolète étant évoqué pour une partie des comptes) ainsi que, de façon plus sensible, un fichier contenant 54 776 jeux de données de cartes bancaires (numéros, cryptogrammes et dates d’expiration). L’auteur affirme en revanche avoir volontairement retiré de l’archive les adresses e-mail, adresses IP et empreintes de mots de passe afin de ne pas exposer directement les utilisateurs, ce qui reste invérifiable de manière indépendante.

Les chiffres et l’ampleur exacte de la compromission font l’objet de versions divergentes. YggTorrent a reconnu un incident mais affirme que seul un serveur secondaire de pré-production aurait été touché, que les mots de passe étaient hachés et salés, et reste silencieux sur les allégations de cartes bancaires et de scripts de surveillance. Le volume de 6,6 millions de comptes correspond au nombre d’inscrits revendiqué par le site et non à un décompte vérifié de victimes. Faute de confirmation par une autorité, le statut retenu ici est celui d’une fuite alléguée.

YggTorrent étant un service de téléchargement illégal essentiellement utilisé par un public francophone, en majorité en France, l’incident expose potentiellement des données de personnes situées en France et en Europe. Aucune communication de la CNIL ou d’une autorité de protection des données n’a été identifiée à ce stade, ce qui s’explique aussi par le caractère clandestin de la plateforme. Les personnes ayant eu un compte sont invitées par prudence à changer tout mot de passe réutilisé ailleurs et à surveiller d’éventuelles opérations bancaires si elles avaient renseigné une carte.