Lookups fermées, données en fuite : le gouvernement ferme les yeux pendant que la France se vide de ses secrets

Le gouvernement affiche une victoire symbolique : le 6 octobre 2026, l’Office anti-cybercriminalité (OFAC), saisi le 15 mai 2026 par la section J3 du parquet de Paris, a interpellé les trois administrateurs présumés de Reacher, rebaptisée Stryxx, et mis la plateforme hors ligne. Applaudissements, communiqués de presse, affichage de compétence. Sauf que pendant ce temps, des dizaines d’organisations françaises voient leurs données exposées massivement. Le message est clair : l’État préfère poursuivre ceux qui les vendent plutôt que de sécuriser ses propres systèmes.

Car durant cette même période, les chiffres parlent d’eux-mêmes. Climb Up, réseau français de salles d’escalade indoor, fait l’objet d’une importante revendication de fuite de données impliquant 151 000 personnes. Des centaines de restaurants, des entreprises de transport, des services d’assurance, des réseaux immobiliers : tous piratés en quelques jours. VACAF, le dispositif utilisé par les Caisses d’allocations familiales pour gérer les aides aux vacances des familles, a été victime d’une importante revendication de fuite touchant 1,39 million de lignes de données. Enfants, familles, informations sensibles de protection sociale : tout exposé.

La mascarade de la CNIL

La solution officielle du gouvernement ? Étouffer le mal à la source en fermant les moteurs de recherche qui permettent de retrouver les données piratées. Selon Que Choisir, les « lookups » (BrixHub, SnusBase, Reacher, Stryxx, etc.) sont des moteurs de recherche de données issues de piratages, qui monnayent parfois l’effacement des fiches. Accessoirement, ces plateformes permettaient aussi à des citoyens de vérifier si leurs données personnelles circulaient en ligne, fonction qui disparaît avec la fermeture.

La CNIL indique recevoir de nombreuses plaintes, se rapprocher des éditeurs et hébergeurs pour obtenir la suppression des données, et estime que ces sites « n’apparaissent pas conformes à la législation ». Mais le vrai problème ? Les responsables ne sont pas tous identifiables et répondent peu, ce qui limite l’action. Pendant ce temps, aucun audit systématique n’est lancé auprès des entités publiques elles-mêmes. Aucune sanction n’arrive. L’État reste dans le confortable du blâme externe.

Chiffrer l’inaction

Les faits sont accablants. Un dépliant sous forme de « Liste à faire », disponible dès le 1er octobre, a pour objectif d’accompagner les victimes et les aider à anticiper les risques, détaillant de manière claire et pédagogique les actions à mener en cas de divulgation de leurs données, du premier jour à J+30. Traducción : l’État reconnaît implicitement que les fuites sont chroniques, habituelles, structurelles. Au lieu de les prévenir, il distribue des guides de survie numérique aux victimes.

Ces chiffres cumulés, ces centaines de milliers de Français exposés en quelques semaines seulement : ils ne sont pas l’exception. Ils forment le pattern. Un État qui investit des millions pour tracer, surveiller, fichier ses citoyens, mais qui se révèle incapable de les protéger. Fermer les lookups ne change rien : les données existent, elles circulent, elles se revendent. Ce que l’État cache, ce n’est pas le crime cybernétique, c’est son propre échec à le combattre à la racine.