[Mise à jour #136]
Le 5 octobre, la ministre déléguée à l’Intelligence artificielle et au Numérique, Anne Le Hénanff, a signalé BrixHub au parquet de Paris. Ce site est un « lookup » : un moteur qui puise dans des fuites de données et, à partir d’un nom, renvoie des informations personnelles. Il revendique plus de 11 milliards de lignes et vend aussi la suppression de fiches. Le 9 octobre, le parquet de Paris a annoncé que trois adolescents de 17 ans seraient jugés pour en avoir géré un autre.
Un lookup, c’est quoi ?
Un moteur de recherche classique explore des pages web. Un lookup, lui, interroge des fichiers dérobés lors de piratages. D’après Que Choisir, la requête peut ramener des informations parfois très sensibles : coordonnées, date de naissance, IBAN, numéro de Sécurité sociale, jusqu’au revenu fiscal de référence, et pas seulement pour soi. Le chiffre de 11 milliards est celui du site, que les sources consultées ne permettent pas de vérifier.
Ces moteurs vivent des fuites : cet été, des administrations comme l’Éducation nationale ou les Finances publiques ont été piratées. Leurs adresses, elles, ne tiennent pas : un lookup fermé peut rouvrir sous un autre nom quelques jours plus tard.
Ce que fait la justice
La ministre a recouru à l’article 40 du code de procédure pénale, la procédure par laquelle une autorité alerte le parquet quand elle a connaissance d’une infraction. Son cabinet attribue les données à de « probables piratages » d’entreprises, et évoque notamment un accès frauduleux à des systèmes informatiques et l’extraction de données volées. « Aucune plateforme n’est au-dessus des lois », a-t-elle écrit sur X. L’offensive n’est pas nouvelle : dès juin, le député Éric Bothorel avait saisi la justice contre trois autres lookups.
Le 9 octobre, le parquet de Paris a annoncé le procès de trois jeunes de 17 ans, « inconnus de la justice », qui comparaîtront le 14 janvier 2027 devant le tribunal pour enfants. Ils sont soupçonnés d’avoir géré le lookup Reacher/Stryxx et risquent dix ans de prison. L’Office anticybercriminalité avait annoncé la veille son démantèlement, d’après franceinfo. Depuis février, le parquet a ouvert environ dix enquêtes sur ce type de sites. Toujours selon franceinfo, ces moteurs sont illégaux dans l’Union européenne tant que leurs données ont une origine illicite, ce qui vise ceux qui les créent ou les gèrent comme ceux qui s’en servent.
La CNIL, elle, dit avoir peu de prise : malgré de nombreuses plaintes, elle contacte éditeurs et hébergeurs, mais tous ne sont pas identifiables et les réponses restent rares.
La suppression payante, un faux service
BrixHub facture le retrait de fiches avec des tarifs dégressifs : de 5 € pour dix fiches à 200 € pour mille, selon Que Choisir. La ministre demande de ne jamais payer. D’abord parce que rien n’assure qu’un effacement soit définitif ; ensuite parce que payer, c’est remettre son numéro de carte à une plateforme que la justice examine. Et une fiche retirée du moteur ne change rien aux fichiers d’origine, toujours en circulation.
Le vrai danger vient après
Ces bases servent surtout aux escrocs : avec des détails exacts en main, un appel frauduleux devient bien plus convaincant. Dès le 24 juin, la CNIL a mis en garde contre des messages d’associations prétendument dédiées aux victimes de fuites, dont certains reprenaient son propre numéro pour sembler légitimes. Après une fuite, elle conseille de garder l’œil sur ses relevés bancaires pendant plusieurs semaines. À ce stade, selon Selectra, le signalement vise l’exposition des données elle-même, sans fraude bancaire établie.
Que faire concrètement
- Ne pas payer, et ne pas multiplier les recherches sur ces sites : la CNIL estime qu’ils « n’apparaissent pas conformes à la législation », et on ignore ce qu’il advient des informations qu’on y saisit.
- Vérifier son adresse e-mail avec Have I Been Pwned, que Que Choisir présente comme la référence, avec une base incomplète.
- Guetter les messages des organismes piratés : en cas de piratage à haut risque, ils doivent prévenir les personnes concernées.
- Changer un mot de passe exposé et tous ses doublons, puis activer la double authentification.
- Se méfier de tout appel ou message non sollicité sur le sujet, et contacter soi-même l’organisme à ses coordonnées officielles.
- Surveiller son compte et, en cas de débit inconnu ou de compte ouvert à son nom, porter plainte auprès de la police ou de la gendarmerie, comme le conseille la CNIL. Les arnaques peuvent être signalées sur Cybermalveillance.gouv.fr.
Le RGPD ouvre en théorie un droit à indemnisation, mais il est difficile à obtenir : il faut établir une faute de l’organisme, un préjudice et le lien entre les deux, devant un tribunal.
Ce qu’il faut retenir
Faire tomber BrixHub est justifié, mais cela ne règle pas grand-chose. Le site peut fermer et rouvrir ailleurs, et surtout les données qu’il expose viennent de fuites d’origine qui, elles, ne disparaîtront pas. Que de simples adolescents aient pu gérer un de ces moteurs montre combien la barrière d’entrée est basse. La bonne question n’est plus « mes données ont-elles fuité ? », dont la réponse est probablement oui, mais « que peut en faire un escroc, et comment lui compliquer la tâche ? ». Refuser de nourrir le système de rançon, activer la double authentification et se méfier des appels trop bien renseignés protègent davantage qu’une saisine du parquet.
Sources : Que Choisir Ensemble, « Fuite de données personnelles : attention aux sites qui proposent de les effacer » (14 octobre 2026) — franceinfo, « Trois adolescents risquent dix ans de prison pour avoir administré un « lookup », un moteur de recherche illicite qui revend des données personnelles volées » — KultureGeek, « BrixHub : la ministre du Numérique saisit la justice contre ce site listant les données personnelles » — Selectra, « Vos coordonnées sur BrixHub : la démarche pour bloquer un prélèvement suspect et récupérer votre argent » — Senioractu, « Votre nom sur BrixHub, avec vos données volées ? La ministre du Numérique saisit la justice et demande de ne jamais payer pour les effacer » — Yahoo Finance (relais du Parisien), « Un site rassemble vos données volées et vous fait payer pour les effacer » — Le Parisien, « BrixHub : comment les « lookups », ces moteurs de recherche pirates, pillent et diffusent nos données personnelles » (chapeau lu via ta capture) — Data Knight, « BrixHub : le piège de la suppression payante » — Cyberstrat, « BrixHub, Searcher et moteurs de fuites : quand vos données deviennent consultables en un clic » — Kohen Avocats, « BrixHub : chercher un nom sur ce moteur de données issues de fuites est-il illégal, et que risque l’internaute ? (2026) »
Level 50, la mise à jour pour rester connecté.