Par Sébastien Secrecy, développeur indépendant.
Le faux conseiller bancaire ne commence jamais par demander votre nom. Il le récite. « Vous êtes bien madame X, née le 3 mars, au 12 rue des Lilas, cliente de la Caisse d’épargne ? » Chaque détail exact achète le suivant, qui, lui, est faux. La question que je me pose depuis deux mois est simple : d’où vient ce dossier ? La réponse tient en une liste, et elle est publique.
Ce qui a fui, rien que depuis 2024
Février 2024, le tiers payant des mutuelles. Viamedis et Almerys, les deux opérateurs qui gèrent la carte de mutuelle de la moitié des Français, ont été piratés à quelques jours d’intervalle. Plus de 33 millions d’assurés : nom, prénom, date de naissance, numéro de sécurité sociale, nom de la mutuelle et garanties du contrat.
Mars 2024, France Travail. 43 millions de personnes inscrites au cours des vingt dernières années : nom, prénom, date de naissance, numéro de sécurité sociale, identifiant, adresses postale et électronique, téléphone. Ni mot de passe ni coordonnées bancaires, a précisé l’organisme. Tout le reste, oui.
Décembre 2025, le Pass’Sport. Le ministère des Sports a reconnu la fuite des données de 3,5 millions de foyers bénéficiaires ; le registre Have I Been Pwned en a référencé 6,4 millions d’adresses. Nom, sexe, adresse postale, téléphone, courriel, avec des données venues de la CAF, de la MSA et des Crous.
Ajoutez les fuites d’opérateurs télécoms, d’enseignes, de sites de billetterie, et vous obtenez, pour à peu près chaque adulte en France, un dossier reconstitué : identité complète, numéro de sécurité sociale, adresse, téléphone, mutuelle, situation professionnelle. Pour savoir si votre adresse e-mail apparaît dans une fuite déjà publiée, Have I Been Pwned est le registre de référence, gratuit. Il ne contient pas tout : les fuites de France Travail et des mutuelles n’ont jamais été rendues publiques sous forme de fichier.
Ce que les pirates en font
Ils recoupent. Une ligne de France Travail, une ligne de la mutuelle, une ligne du Pass’Sport : mises bout à bout, elles donnent votre âge, votre adresse, vos enfants et votre banque. Ce travail est automatisé, il se vend par lots.
Ils revendent. Ces fichiers circulent pendant des années sur des forums spécialisés. Une fuite de 2024 alimente les appels de 2026 ; ce qui est sorti ne se reprend pas.
Ils appellent. Avec le dossier sous les yeux, l’appel devient crédible dès la première phrase. Le faux conseiller bancaire, le faux agent de la CAF ou des impôts, le faux petit-fils qui connaît le prénom du chien : tous partent du même fichier. Sur le forum de Que Choisir, les témoignages se ressemblent tous sur ce point : « il savait tout de moi ».
Ce que ça change pour la vérification
Rien de ce qu’on sait sur vous ne prouve qui vous parle. Votre nom, votre adresse, votre numéro de sécurité sociale, le prénom de vos petits-enfants : tout cela est dans un fichier, quelque part. La question personnelle du premier billet est morte avec ces fuites. Le mot de code du deuxième tient encore, à condition qu’il n’ait jamais été écrit nulle part, et c’est précisément là que l’idée de mots qui changent tout seuls prend son sens : ce qui n’existe que dix minutes ne peut pas fuir.
Il reste une chose à laquelle on se fie encore sans y penser : le nom qui s’affiche quand le téléphone sonne. Je l’écrivais en octobre : il ne vaut pas mieux, et la voix non plus. Le mois prochain, je passe à ce qu’il faudrait construire.
Mise à jour, septembre 2026 : la liste des fuites s’est allongée, voir la fuite au fisc d’août et l’encart tenu à jour sur le site TrustWords.