Voir la table des matières Ne plus voir la table des matières
- Qu’est-ce qu’un lookup de données piratées ?
- Combien BrixHub fait-il payer l’effacement de vos données ?
- Payer un lookup garantit-il la suppression de vos données ?
- Lookup payant, Have I Been Pwned ou recours légal : que vaut chaque option ?
- Les bons réflexes après une fuite de données
- Peut-on obtenir réparation après une fuite de données ?
- Des fuites qui nourrissent les arnaques du quotidien
Votre nom, votre adresse, votre IBAN ou votre numéro de Sécurité sociale s’affichent peut-être, en ce moment, sur un site qui vous propose de les retirer contre paiement. Ces plateformes, appelées lookups, se multiplient depuis l’été 2026, portées par une série de piratages visant l’Éducation nationale, la DGFiP ou Bloctel. Elles se présentent comme des services de vérification, alors qu’elles monétisent des informations volées lors de cyberattaques.
Le principe paraît rassurant : vous tapez votre identité, le site vous montre ce qui circule, puis il vous vend l’effacement. Que Choisir Ensemble a passé au crible ces services le 14 octobre 2026, et la ministre chargée du Numérique a saisi la justice contre l’un d’eux. Face à ce marché, la question que se posent de nombreuses victimes de fuites est simple : faut-il payer pour faire disparaître ses données ?
Qu’est-ce qu’un lookup de données piratées ?
Un lookup est un moteur de recherche qui indexe des fichiers issus de piratages, et non des pages web publiques. BrixHub, SnusBase, Reacher, LeakCheck ou DeHashed en font partie. Ces sites revendiquent de plusieurs centaines de milliers à des dizaines de milliards de coordonnées, consultables à partir d’un simple nom ou d’une adresse mail.
Les informations exposées vont bien au-delà de l’annuaire. D’après l’enquête de Que Choisir Ensemble sur ces lookups, on y trouve l’adresse postale, la date de naissance, le téléphone, l’e-mail, mais aussi l’IBAN, le numéro de Sécurité sociale et le revenu fiscal de référence. Sept catégories de données, de quoi monter une usurpation d’identité crédible.
BrixHub affirme à lui seul indexer plus de 11 milliards d’enregistrements, un chiffre avancé par le site lui-même et invérifiable, qui compte souvent plusieurs entrées pour une même personne. Reste à savoir combien coûte la sortie de ces fichiers.
Combien BrixHub fait-il payer l’effacement de vos données ?
BrixHub facture la suppression à la fiche, avec un tarif dégressif : 5 € pour 10 fiches, 8 € pour 20 et 200 € pour 1 000. Ramené à l’unité, le prix passe de 0,50 € à 0,20 € la fiche. Payer revient à rémunérer le détenteur de vos informations piratées, sans aucune contrepartie vérifiable.
Le calcul a surtout une limite que le tarif ne montre pas. Ces 5 € ne couvrent que BrixHub, alors que Que Choisir Ensemble recense au moins six lookups, chacun avec sa propre base. Et les fichiers d’origine, ceux des fuites, continuent de circuler sur les forums de cybercriminels, où aucun bouton d’effacement n’existe. Une suppression payée ici ne change donc rien là-bas, ce qui pose la question de sa fiabilité.
Payer un lookup garantit-il la suppression de vos données ?
Non, payer un lookup ne garantit rien. Rien ne prouve que vos fiches disparaissent réellement, ni qu’elles ne reviennent pas sous un autre nom de site. La CNIL estime que ces services n’apparaissent pas conformes à la législation et indique recevoir de nombreuses plaintes, mais peu de réponses de leurs responsables, pas toujours identifiables.
Le 5 octobre 2026, un lookup revendiquant plus de 740 milliards d’enregistrements s’est lui-même fait pirater, selon le site spécialisé FrenchBreaches : 352 comptes d’utilisateurs auraient été dérobés, sur environ 87 500 inscrits. Confier votre e-mail et votre moyen de paiement à ce type de plateforme, c’est ajouter une fuite potentielle à celle que vous voulez effacer.
Les pouvoirs publics ont choisi la voie pénale. En juin 2026, le député Éric Bothorel a saisi la justice au sujet de trois lookups. Début octobre, Anne Le Hénanff a effectué un signalement au parquet de Paris au titre de l’article 40 du Code de procédure pénale, en visant un accès et une extraction frauduleux de données.
Aucune plateforme n’est au-dessus des lois.
Anne Le Hénanff, ministre déléguée chargée de l’IA et du Numérique, sur X, à l’annonce de son signalement au parquet de Paris visant BrixHub (propos rapportés le 6 octobre 2026)
La ministre a assorti ce message d’une consigne claire : ne pas payer pour faire retirer ses informations. D’autres outils existent, gratuits et encadrés.
Lookup payant, Have I Been Pwned ou recours légal : que vaut chaque option ?
Pour savoir si vous êtes concerné par une fuite, le service gratuit Have I Been Pwned suffit dans la plupart des cas. Créé en 2013 par le chercheur Troy Hunt, il vérifie une adresse mail sans exiger de paiement. Le tableau ci-dessous compare les trois options qui s’offrent à vous.
| Option | Coût | Ce que vous obtenez | Garantie |
|---|---|---|---|
| Effacement sur BrixHub | 5 € à 200 € | Retrait annoncé de fiches sur un seul site | Aucune, plateforme visée par la justice |
| Have I Been Pwned | Gratuit | Liste des fuites liées à votre e-mail | Base non exhaustive, pas toujours à jour |
| Plainte à la CNIL | Gratuit | Instruction du manquement de l’organisme piraté | Cadre légal, délai d’instruction variable |
La lecture est sans appel : l’option payante est la seule qui ne repose sur aucun cadre légal identifiable. Have I Been Pwned ne trouve pas tout, mais il vous indique gratuitement où chercher, ce qui oriente les bons gestes.
Les bons réflexes après une fuite de données
Une fois la fuite identifiée, quelques gestes simples limitent les dégâts bien mieux qu’un paiement :
- vérifier votre adresse mail sur Have I Been Pwned plutôt que sur un lookup ;
- changer le mot de passe du compte concerné et de tous ceux qui utilisent le même ;
- surveiller vos relevés bancaires si votre IBAN figure dans la fuite ;
- vous méfier de tout appel ou courriel qui cite vos vraies coordonnées pour vous presser d’agir ;
- déposer une plainte auprès de la CNIL si l’organisme piraté ne vous a pas prévenu.
Le RGPD impose en effet à l’organisme piraté de notifier la CNIL sous 72 heures et d’informer directement les personnes en cas de risque élevé. Ce courriel d’alerte, quand il arrive, ouvre aussi la porte à une indemnisation.
Peut-on obtenir réparation après une fuite de données ?
Oui, en théorie, mais l’indemnisation reste difficile à obtenir. L’article 82 du RGPD permet de réclamer réparation à l’organisme dont les données ont fuité, à condition de prouver trois éléments : le manquement, le préjudice subi et le lien entre les deux. Sans dommage chiffrable, la démarche aboutit rarement.
Le volume de dossiers montre pourtant que le sujet n’a rien de marginal. En 2025, la CNIL a enregistré 6 167 notifications de violations de données, en hausse de 9,5 % sur un an, un chiffre déjà mis en avant à propos des fuites liées aux centres d’appels sous-traitants. La moitié de ces violations découlent de piratages, la source même des lookups.
Des fuites qui nourrissent les arnaques du quotidien
Ce qui circule sur ces sites ne reste pas théorique. Le 1er août 2026, une vague de faux mails d’abonnement affichant nom et IBAN a fait plus de 170 signalements en moins de trois heures. Mi-août, la fuite de trois millions de numéros chez Bloctel a montré qu’une simple liste de téléphones suffit aux escrocs.
Le vrai levier se situe donc moins dans l’effacement que dans la vigilance face aux sollicitations qui s’appuient sur ces données. Chaque euro versé à un lookup finance un modèle que la CNIL juge illégal, alors que les recours gratuits existent et que la justice s’en saisit enfin. La manière dont le parquet de Paris traitera le dossier BrixHub dira si ce marché peut encore prospérer en France.