Faut-il avoir peur des moteurs de recherche de données personnelles volées ?
Nos confrères de France Info ont trouvé un site web, permettant de trouver des données personnelles de Français. Se présentant comme un moteur de recherche, à partir de données personnelles qui ont fuité, le site se vante d’être « Le meilleur moteur français de fuite de données ».
Faut-il en avoir peur ?
Un média libre grâce à ses lecteurs
Nous avons fait le choix d’un modèle sans paywall, ni publicité.
Si l’objectif mensuel est atteint, le média reste entièrement accessible à tous.
Votre soutien permet de rendre cela possible.
Les searchers, qu’est-ce que c’est ?
Comme un moteur de recherche classique ou même certains sites répertoriant des données personnelles, ces plateformes se vantent de pouvoir trouver n’importe qui en croisant les données.
La particularité de ces sites est qu’ils sont alimentés par des bases de données qui ont fuité et qui se retrouvent sur certains forums, sous couvert d’OSINT (Open Source Intelligence – une pratique qui consiste à collecter des données en sources ouvertes).
Nous avons identifié trois searchers en une petite soirée. Le premier n’est pas accessible et s’est fait littéralement plagié par des adolescents ou jeunes adultes, qui eux-mêmes ont été copiés par d’autres adolescents.
En résumé, il s’agit du nouveau terrain de jeu de ce que l’on appelle des script-kiddies, c’est-à-dire des aspirants hackers, qui ne comprennent généralement pas l’informatique et se contentent de reproduire des scripts ou des attaques déjà existantes.
Pour les trois searchers identifiés, on est face à des script-kiddies, qui ont « vibe-codé » leur site. Ils ne savent pas coder eux-mêmes : ils ont eu recours à ChatGPT ou à Claude AI pour créer la plateforme.
Faut-il avoir peur des searchers ?
Voir ses données personnelles dans la nature surtout lorsqu’elles permettent d’obtenir un profil complet est toujours angoissant. Pour autant, ces searchers ne font pas d’attaques : ils se contentent d’utiliser des bases de données qui ont déjà fuité.
À part un accès plus facile, ils n’apportent rien. Lorsque cela est possible, il faut changer ses mots de passe, surveiller les emails que l’on reçoit, ne pas décrocher le téléphone lorsqu’un numéro inconnu appelle — si c’est important, on vous laissera un message — ne pas cliquer sur des liens contenus dans des emails, surveiller ses comptes bancaires.
Une gymnastique bien épuisante, mais, les pouvoirs publics sont aux abonnés absents sur le dossier de la délinquance et de la criminalité informatique, à charge pour le citoyen ordinaire de se débrouiller.
Pour vous rassurer, vous pouvez aussi interroger le FICOBA (Fichier des comptes bancaires) pour vérifier qu’aucun compte n’a été ouvert à votre nom.
La majorité des créateurs de searchers sont surtout immatures, mais peu dangereux. Nous avons échangé avec eux dans la soirée. Ils ne sont ni des hackers de génie ni des chefs d’entreprise qui vont révolutionner la tech, ni de bons menteurs. Juste des gamins qui ont vu une opportunité de se faire de l’argent facile, sans donner dans le piratage, comme le gamin de 15 ans en Vendée.
Agréger les données qui ont fuité, est-ce légal ?
Ces searchers se vantent de respecter la loi, puisqu’ils se contentent de réutiliser des données qui ont déjà fuité et qu’ils ne sont pas à l’origine des attaques. C’est faux.
Même si une donnée personnelle se retrouve sur le web, alors qu’elle est issue d’une fuite de données, cela ne signifie pas que la source est ouverte, à savoir librement accessible, utilisable, modifiable et diffusable, et ce, quel que soit son but.
Techniquement, c’est du recel et cela a été confirmé par la Cour de cassation dans un arrêt du 18 février 2026. Comme l’explique Amélie Bonfanti, du cabinet Deshoulières Avocats « le fait de bénéficier, en connaissance de cause, d’une information provenant d’un délit peut constituer un recel au sens de l’article 321-1, alinéa 2, du Code pénal ».
L’autre véritable danger réside dans la possibilité qu’une personne très mal intentionnée qui utiliserait ces données, obtenues illégalement, pour faire du mal à quelqu’un d’autre. Dans ce cas, la responsabilité des créateurs de searchers pourrait être engagée.
Faut-il utiliser ces searchers ?
Vous souhaitez vérifier si vous êtes dans un leak ? Chercher le nom d’un ex pour trouver son nouveau numéro de téléphone ? Ne le faites pas. Au-delà du risque pénal, vous ne savez absolument pas ce que ces sites vont faire avec vos propres données personnelles.
Pour le moment, l’un des searchers identifiés se vante d’être gratuit et auprès de nos confrères de France Info, les créateurs entendent demander jusqu’à 75 € par mois et faire monter les prix et ils vont bien y être obligés.
En effet, la plupart des leaks circulant dans certains endroits sont payants. Par ailleurs, ces plateformes sont gourmandes en ressources, notamment en intelligence artificielle. Mais, leur durée de vie commerciale n’est pas garantie.
Si on se fie à l’un des salons Discord que nous avons consultés, le public est surtout composé d’adolescents, qui cherchent principalement à identifier des utilisateurs de ce réseau social, ou de TikTok ou de Snapchat. Un seul demande, avec insistance, les coordonnées d’Emmanuel Macron.
La présentation même des searchers est de nature à faire fuir les adultes, inquiets du devenir de leurs données personnelles.
Le plus simple pour savoir si vos données ont fuité est encore de faire une simple recherche dans un moteur de recherche.
Un cadre juridique pour l’OSINT ?
Or, l’OSINT n’est pas une pratique illégale par nature, puisqu’il s’agit simplement de recouper des informations publiques.
Les parlementaires semblent souhaiter utiliser la transposition de NIS2 pour insérer une légalisation, mais il n’est pas dit que le gouvernement y soit favorable, d’autant que NIS2 dort toujours quelque part dans un tiroir.
