Pendant des années, les données volées circulaient dans des espaces confidentiels, réservés à des initiés. Ce temps est révolu. Les données volées quittent désormais les espaces spécialisés pour devenir accessibles via des interfaces simples, presque banalisées. BrixHub en est l’illustration la plus récente, et la question qu’il pose concerne chaque dirigeant, chaque DSI et chaque DPO : que deviennent les données de mon organisation une fois sorties de mon périmètre ?
BrixHub, la fuite de données transformée en produit grand public
BrixHub affirme interroger plus de 11 milliards d’enregistrements issus de fuites françaises et internationales, avec une recherche par nom, e-mail, téléphone ou identifiant Discord, et propose la suppression immédiate des fiches. La promesse marketing est assumée : un critère en entrée, un dossier sourcé en sortie. Le compteur affiché en page d’accueil revendique même 14 541 200 688 enregistrements indexés.
Ce modèle a déclenché une réaction immédiate des pouvoirs publics. Le 5 octobre 2026, la ministre déléguée chargée de l’Intelligence artificielle et du Numérique, Anne Le Hénanff, a saisi la procureure de la République de Paris par un signalement fondé sur l’article 40 du code de procédure pénale. Son cabinet estime que les données proviennent de probables piratages de sociétés commerciales et évoque l’accès frauduleux à un système de traitement automatisé de données, ainsi que l’extraction et la détention frauduleuses de données informatiques. La procédure en est au stade du signalement, et la présomption d’innocence s’applique pleinement à ses exploitants.
Selon les reprises de la dépêche AFP, le site permet des recherches nominatives et peut afficher une adresse, un numéro de téléphone ou un numéro de sécurité sociale ; il propose aussi aux personnes concernées de faire supprimer ces informations moyennant paiement. C’est ce dernier point qui doit retenir l’attention de toute organisation soucieuse de la protection de ses données.
Searcher et la galaxie des « lookups » : un marché qui se structure
BrixHub s’inscrit dans une tendance de fond. En juin dernier, Searcher avait déjà fait la une. Ce site agrégeait environ 1,2 milliard de données issues de piratages, dont des bases volées à l’ANTS et à l’Assurance maladie, centralisées dans un moteur de recherche à l’interface soignée. L’affaire a pris une dimension très concrète lorsque des professeurs ont découvert que leurs informations personnelles étaient accessibles à leurs propres élèves.
Le modèle économique est désormais clairement installé. Le média Next relevait que l’accès à Searcher coûtait 10 euros par semaine minimum, et ses gestionnaires présentaient leur projet comme une base réunissant tout ce qui est trouvable publiquement et dans les fuites. En parallèle, le député Éric Bothorel a saisi la justice contre trois autres services de lookup, et le parquet de Paris avait ouvert plusieurs enquêtes sur ce type de plateformes dès avril 2026.
Pour un comité de direction, le constat est stratégique : la fuite de données est devenue un actif revendu, indexé et monétisé, avec une durée de vie qui dépasse largement l’incident initial. Les données volées continuent de circuler des années après la violation.
L’argument des « données déjà publiques » face au droit
Ces plateformes partagent un même argumentaire : elles se contenteraient d’agréger des informations déjà publiques. Le droit français apporte une lecture bien plus exigeante. Comme le souligne l’analyse du cabinet Kohen, cet argument devra être apprécié au regard d’une jurisprudence qui refuse d’assimiler l’accessibilité d’une donnée à l’autorisation de la recueillir.
Pour les juristes, trois qualifications structurent le débat. Le recel d’abord : l’article 321-1 du code pénal le punit de cinq ans d’emprisonnement et de 375 000 euros d’amende, et la Cour de cassation a franchi un cap cette année en jugeant que bénéficier en connaissance de cause d’une information produit d’un délit entre dans les prévisions de l’article 321-1, alinéa 2 (Crim. 18 février 2026, n° 24-82.611). La collecte déloyale ensuite, puisque l’article 226-18 punit de cinq ans d’emprisonnement et de 300 000 euros d’amende la collecte de données personnelles par un moyen frauduleux, déloyal ou illicite. La divulgation et le doxing enfin, qui visent la diffusion des résultats obtenus.
Le risque concerne donc aussi l’utilisateur. Rechercher la fiche d’un tiers en connaissant l’origine des données, la conserver, la transmettre ou s’en servir pour démarcher, harceler ou exposer quelqu’un peut relever du recel, de la collecte déloyale, de la divulgation ou du doxing. Un collaborateur qui consulte ces bases par curiosité, ou un service commercial tenté de les utiliser pour enrichir un fichier de prospection, engage potentiellement l’organisation. La CNIL a tranché sur l’usage de ces services : « La CNIL déconseille de les utiliser ».
Supprimer ses données de BrixHub : une sécurité en trompe-l’œil
La proposition de suppression payante est le cœur du problème. Elle répond à une émotion légitime, le sentiment d’exposition, avec une réponse illusoire. La ministre a appelé les personnes concernées à refuser tout paiement pour faire retirer leurs données. Notre analyse rejoint cette position, pour quatre raisons concrètes.
Une suppression limitée à un seul index. Retirer une fiche de BrixHub efface uniquement son affichage sur BrixHub. Les fichiers d’origine restent intacts sur les forums, dans les archives des pirates et dans les autres lookups, Searcher compris.
Une demande qui enrichit la base. Pour supprimer une fiche, la personne s’identifie et confirme ainsi l’exactitude et l’actualité de ses propres données, ce qui en augmente la valeur.
Un paiement qui finance le modèle. Chaque règlement valide la rentabilité de l’exposition et désigne la personne comme solvable, donc comme cible prioritaire pour de futures sollicitations.
Une garantie juridiquement inexistante. Les mêmes bases peuvent circuler sur d’autres services, et une somme versée à un site visé par un signalement pénal achète zéro protection juridique.
La volatilité de ces services renforce le constat. BrixHub indique lui-même fonctionner en service temporaire pendant la maintenance, avant le retour annoncé des comptes et abonnements. Une plateforme qui ferme, renaît sous un autre nom ou change de main ignore par définition les engagements pris par la précédente.
Pour les organisations, un risque business avant d’être un risque technique
La conséquence la plus lourde se joue côté entreprise. Lorsque l’adresse personnelle d’un dirigeant, le numéro de mobile d’un DAF ou l’IBAN d’un collaborateur deviennent consultables en quelques secondes, la fraude au président, l’hameçonnage ciblé et l’usurpation d’identité gagnent en crédibilité. Pour la direction des ressources humaines, la protection des salariés exposés devient un sujet de responsabilité employeur. Pour la DSI et le RSSI, les identifiants réutilisés alimentent les attaques par réutilisation de mots de passe.
Sur le plan réglementaire, chaque fuite à l’origine de ces bases correspond à une violation de données au sens du RGPD. L’organisation responsable doit la documenter dans son registre, la notifier à la CNIL dans les 72 heures lorsqu’elle présente un risque pour les personnes, et informer directement celles-ci en cas de risque élevé. Les entités soumises à NIS2 ajoutent à ces obligations une alerte précoce sous 24 heures, et les acteurs financiers relevant de DORA un dispositif de déclaration des incidents majeurs liés aux TIC. La réputation se joue dans ces premières heures : une organisation qui notifie vite, informe clairement et accompagne ses clients transforme une crise en démonstration de maîtrise.
Les bons réflexes, du collaborateur au comité de direction
Pour une personne qui découvre ses données sur l’un de ces sites, la démarche recommandée est sobre. Elle consiste à conserver une preuve limitée à ce qui la concerne, à porter plainte en mentionnant le signalement du 5 octobre 2026, puis à suivre la décision du parquet et, au besoin, à se constituer partie civile. Cybermalveillance.gouv.fr recommande de signaler les pages concernées aux plateformes qui les diffusent, de demander leur déréférencement aux moteurs de recherche, puis de saisir la CNIL si les données restent accessibles un mois après la demande. Le contact direct avec l’organisme d’où provient la fuite reste la voie la plus utile pour comprendre l’étendue de l’exposition.
Pour une organisation, la réponse se construit en amont, sur trois piliers. La gouvernance d’abord, avec une cartographie à jour des traitements et des sous-traitants, car une large part des fuites provient de prestataires. La procédure ensuite, avec un plan de gestion des violations testé, des rôles clairement attribués entre direction, DSI, juridique et DPO, et des modèles de notification prêts à l’emploi. La culture enfin, avec des collaborateurs formés à reconnaître une sollicitation frauduleuse construite à partir de données réelles et conscients du risque pénal attaché à la consultation de ces bases.
L’approche Cyberstrat, transformer l’exposition en maîtrise :
Chez Cyberstrat, nous accompagnons entreprises, associations et collectivités dans cette démarche avec une double expertise juridique et technique, directement opérationnelle. Nos audits de conformité RGPD, NIS2 et DORA évaluent la robustesse de votre gestion des violations de données. Nos missions de mise en conformité et de DPO externe structurent vos procédures et votre documentation. Nos formations préparent vos équipes à réagir avec justesse le jour où les données de l’organisation apparaissent là où elles n’ont rien à faire.
Les moteurs de fuites continueront d’apparaître, de fermer et de renaître. La capacité de votre organisation à protéger ses données, à réagir vite et à rassurer ses clients et collaborateurs relève, elle, entièrement de vos choix stratégiques.
