Des moteurs de recherche alimentés par des données volées
Le vendredi 12 juin 2026, BFM-TV a révélé qu'Anne Le Hénanff, ministre déléguée au numérique, avait signalé à la justice un site permettant d'effectuer des requêtes dans des dizaines de bases de données volées. Dans la foulée, Éric Bothorel, député Renaissance des Côtes-d'Armor, a annoncé avoir lui aussi saisi la justice pour signaler trois services de lookup différents, déclarant sur BlueSky : « Il faut le redire avec force, le recel de données volées est un crime. »
Ces services ne sont pas nouveaux. Dès avril 2026, le parquet de Paris avait ouvert plusieurs enquêtes concernant des plateformes de ce type. Le 14 mai, un jeune homme de 19 ans a été mis en examen et placé en détention provisoire dans un dossier similaire, comme l'a révélé ZDNET.
Comment fonctionnent les « lookups » ?
Un lookup fonctionne comme un moteur de recherche classique, mais alimenté par des données exfiltrées lors de piratages : fuites de bases e-commerce, hôpitaux, administrations, opérateurs télécom. En tapant un simple nom, une adresse e-mail ou un numéro de téléphone, l'utilisateur peut obtenir en quelques secondes :
- IBAN et coordonnées bancaires
- Adresse postale et date de naissance
- Numéro de sécurité sociale
- Adhésion à des fédérations sportives
- Données issues de violations d'organismes publics et privés
C'est le symptôme d'un problème structurel : en 2025, la CNIL a enregistré 6 167 violations de données en France. Chaque fuite alimente des bases qui finissent par être croisées, revendues, puis indexées par ces moteurs. Le risque ne se limite pas à l'instant de la violation : les données volées continuent de circuler des années après.
Un risque accru d'usurpation d'identité
Pour les organisations et leurs DPO, le danger est double. D'une part, les données de leurs entreprises peuvent se retrouver dans ces bases sans qu'ils en aient connaissance. D'autre part, les personnes concernées — salariés, clients, patients — sont exposées à des risques d'usurpation d'identité pouvant se matérialiser des mois après la fuite initiale.
L'existence des services de lookup modifie également l'évaluation des risques post-violation. Lorsqu'une entreprise subit une fuite de données, le niveau de risque pour les personnes concernées dépend en partie du fait que ces données peuvent être agrégées avec d'autres bases déjà compromises.
Les recommandations pour les organisations
Plusieurs réflexes doivent être intégrés face à cette menace :
- Surveiller régulièrement si vos données ont fuité via des outils de surveillance dédiés.
- Renforcer les notifications aux personnes concernées : en cas de violation impliquant des données pouvant alimenter un lookup (identifiants, données financières, coordonnées), la communication prévue à l'article 34 du RGPD doit être précise sur les risques d'usurpation.
- Tester sa procédure de réponse à incident : la notification à la CNIL dans les 72 heures (article 33) est le premier maillon, mais réagir vite suppose une procédure documentée et testée en amont.
- Minimiser les données collectées : chaque donnée non collectée est une donnée qui ne peut pas se retrouver dans un lookup. Le principe de minimisation du RGPD est une réduction concrète de la surface d'exposition.
Un signal politique qui ne remplace pas la maturité interne
Les saisines politiques contre les lookups sont bienvenues, mais elles n'effaceront pas les bases déjà en circulation. La vraie réponse se trouve en amont : des organisations qui minimisent leurs données, chiffrent ce qui doit l'être, et des DPO qui traitent la violation de données non pas comme une simple case à cocher, mais comme un risque opérationnel continu à gérer.
La prise de conscience politique est un signal fort — elle ne remplace toutefois pas la maturité interne des organisations face à cette menace persistante.
Sources : Le Monde, BFM-TV, ZDNET, Leto.legal