H. B. avec AFP
Après l’interpellation de trois personnes et la fermeture d’un premier site d’agrégation de fuites de données personnelles en France, les autorités alertent sur ces moteurs de recherche clandestins alimentés par des bases issues de cyberattaques qui se sont récemment multipliés.
Communément appelés « look up », ces sites ne sont « pas une nouveauté », explique Damien Bancal, qui anime le blog spécialisé en cybersécurité Zataz. « Le tout premier que j’ai pu voir, c’était il y a 15 ans », ajoute-t-il. Semblables à des moteurs de recherche, ils permettent de chercher des informations en saisissant par exemple un nom et un prénom. Mais comment fonctionnent ces sites ?
Qu’est-ce que qu’un « look up » ?
Il est possible d’y trouver l’adresse mail, postale, la date de naissance, mais aussi les coordonnées bancaires (Iban) ou le numéro de Sécurité sociale d’une personne. Si certains ne sont accessibles que sur le Darkweb, d’autres peuvent aussi être consultés sur l’Internet classique.
Ces sites, dont les adresses circulent le plus souvent sur des forums consacrés à la cybercriminalité ou via des chaînes sur des messageries telles que Telegram ou Signal, proposent de nombreuses fonctionnalités payantes.
D’où viennent les données ?
L’origine exacte des données mises en ligne sur ces sites reste difficile à déterminer. Dans un message sur X, l’autorité française de protection des données personnelles, la Cnil, indique que « ces services fonctionnent généralement en compilant des données personnelles issues de violations », c’est-à-dire de vols de données personnelles détenues par des organisations ou des entreprises.
Ces bases de données peuvent être achetées directement par les individus qui tiennent ces « look up », ou être récupérées gratuitement. « Il y a des dizaines de forums qui diffusent des données, vieilles ou récentes, qu’ils récupèrent gratuitement, il suffit de les télécharger », explique Damien Bancal.
Comment se rémunèrent ces sites ?
Si la plupart offrent quelques recherches gratuites, ces sites vendent aussi des abonnements pour débloquer des requêtes en illimité. Sur deux sites consultés, les tarifs mensuels varient de 10 à 15 euros. L’un d’entre eux propose par ailleurs une offre à partir de 11 euros pour demander la suppression de ses propres données personnelles du site.
« Aux personnes concernées, ne payez jamais pour faire retirer vos données », a averti ce lundi dans un message sur X la ministre déléguée au Numérique, Anne Le Hénanff, qui a dit avoir saisi la justice.
Quels sont les risques ?
D’après la Cnil, « ces services n’apparaissent pas conformes à la législation ». L’autorité déconseille de les utiliser, y compris pour vérifier si ses propres données personnelles y sont répertoriées, « en l’absence de garanties sur l’usage qui peut être fait des données que vous pourriez y renseigner ».
Régulièrement alertée sur ce type de sites, la Cnil indique qu’elle transmet ces informations à la justice. Outre le signalement récemment effectué par la ministre déléguée au Numérique, le parquet cybercriminalité a déjà été saisi pour d’autres plateformes du même type. « Entre février et octobre 2026, la section cybercriminalité du parquet de Paris a diligenté une dizaine d’enquêtes pénales portant sur des sites d’agrégats de données volées, eux-mêmes alimentés par des fuites de données », a précisé le parquet.
