11 milliards de données personnelles exposées

Un nom, un prénom, un clic : voilà que s'affichent une adresse, un numéro de téléphone, parfois un numéro de Sécurité sociale. Le site s'appelle BrixHub, il est accessible depuis une simple recherche Google, et il revendique plus de 11 milliards d'enregistrements issus de fuites de données personnelles.

Lundi 5 octobre 2026, Anne Le Hénanff, ministre déléguée au Numérique, a annoncé saisir la procureure de la République de Paris, au titre de l'article 40 du code de procédure pénale. Son cabinet évoque de « probables piratages de systèmes de traitement automatisé de données à caractère personnel » appartenant à des sociétés commerciales.

Un moteur de recherche dans des bases compromises

BrixHub fonctionne comme un « Google des fuites de données ». Il suffit de saisir un nom et un prénom pour obtenir des coordonnées personnelles, parfois des relevés d'identité bancaires. Le site propose même un arbre généalogique, en rapprochant les personnes qui portent le même nom et vivent dans la même zone géographique.

La base concerne des particuliers, mais aussi des personnalités publiques, parmi lesquelles des responsables politiques. Chaque fiche indique les sites d'origine des données : Facebook, Canva, Engie, FranceConnect, France Travail ou Pajemploi figurent parmi les sources citées, selon Libération. Plusieurs fuites proviendraient même d'agences gouvernementales.

Le site ne se contente pas d'exposer les informations. Il propose aussi, moyennant paiement, de supprimer les fiches qui concernent les personnes fichées. Le système fonctionne par crédits payants, chaque crédit permettant théoriquement d'effacer une fiche.

Un vide juridique difficile à combler

La Cnil juge ces services non conformes au droit. « En l'état actuel du droit, ces services n'apparaissent pas conformes à la législation », affirme l'autorité, citée par 20 Minutes. Elle reçoit « de nombreuses plaintes » qu'elle priorise, contacte les éditeurs et leurs hébergeurs, et transmet des dénonciations au parquet spécialisé en cybercriminalité.

Le problème, c'est que ces plateformes, appelées « lookups » par les experts, restent difficiles à atteindre. BrixHub se déclare établi au Panama, ce qui complique toute poursuite directe. Le site édité par une société dénommée ООО «мостхаб» circule déjà sous plusieurs extensions, .net, .cc ou .to, et fait la promotion d'un canal Telegram pour prévenir ses utilisateurs si l'adresse change ou est bloquée.

« En l'état actuel du droit, ces services n'apparaissent pas conformes à la législation », La Cnil.

Un juge pourrait en théorie demander aux fournisseurs d'accès de couper l'accès au site. Mais cette procédure reste rare hors des cas de droit d'auteur ou de terrorisme. Et même en cas de blocage, les données déjà copiées ailleurs sur Internet ne disparaissent pas.

Quel risque réel pour les personnes fichées

Pour Thibaut Hénin, expert en cybercriminalité auprès du tribunal de Montpellier, consulter ces sites n'est pas en soi illégal pour un particulier.

« C'est ce que vous allez en faire qui peut potentiellement constituer une infraction, comme du cyberharcèlement », Thibaut Hénin, expert en cybercriminalité auprès du tribunal de Montpellier.

En revanche, une consultation à des fins commerciales par une entreprise constitue une infraction. L'expert invite surtout à se méfier de l'offre « pro » de BrixHub, censée donner accès à davantage de fonctionnalités, qu'il soupçonne de comporter un risque d'arnaque.

La Cnil reconnaît elle-même un paradoxe. Ces outils, en révélant si et quelles données ont fuité, répondent à un besoin réel, pour les particuliers comme pour les entreprises. L'autorité réfléchit, avec d'autres acteurs, à un service équivalent mais sécurisé et légal, sur le modèle du dispositif « Check your hack » proposé par la police néerlandaise.

En attendant, les victimes restent largement démunies. Une recherche sur BrixHub ne prend qu'un clic. Obtenir la suppression d'une fiche, elle, peut prendre des semaines, voire des mois, sans garantie que la donnée ne réapparaisse pas ailleurs.