Un nom, un mail ou un numéro de téléphone tapé dans la bonne case fait ressortir une adresse, un IBAN ou un numéro de sécurité sociale. Ces outils sont des « lookups ». Ils agrègent des bases de données volées lors de piratages successifs. La justice française a ouvert plusieurs enquêtes ces derniers mois à leur sujet.
France-Info a enquêté sur ces outils qui fonctionnent comme un moteur de recherche classique. Leurs bases, en revanche, ne proviennent pas du Web ouvert. Elles proviennent de fuites et de piratages informatiques, parfois de logiciels espions installés à l’insu des victimes. L’utilisateur envoie un e-mail ou un numéro de téléphone. Il reçoit en retour les correspondances trouvées dans des bases compilées au fil des cyberattaques, parfois par milliards de lignes. Sur Telegram, les opérateurs du bot Lookup revendiquent un accès à plus de 85 milliards d’enregistrements issus de 3 658 bases compromises.
Un commerce organisé autour de milliards de lignes volées
Le prix d’entrée est dérisoire. Sur ce bot, les mille premières recherches sont gratuites. Au-delà, chaque lot de mille requêtes coûte environ 1 dollar, soit 0,91 euro. Ses opérateurs reversent en outre 20 % de commission sur le premier niveau de parrainage, 5 % sur le second, et revendiquent un accès à plus de 25 milliards d’adresses email, 13 milliards de mots de passe et 11 milliards de numéros de téléphone, en plus d’identités complètes, de documents officiels, d'adresses IP et de plaques d'’immatriculation.
En France, l’administrateur de Searcher, CryptoCove, faisait la même chose sur son serveur Discord. Il suffisait de taper un nom, un e-mail ou un numéro de téléphone pour obtenir l’IBAN, l’adresse postale, la date de naissance ou le numéro de sécurité sociale d’une personne. Des dizaines de bases piratées étaient accessibles sur ce serveur.
Le pirate Zestix a lui aussi tiré parti de ce marché. Il a acheté des identifiants volés par des logiciels infostealers comme RedLine ou Lumma, conçus pour capturer les mots de passe enregistrés dans un navigateur, avant de s’introduire chez une cinquantaine d’organisations dépourvues de double authentification. La police militaire brésilienne et la compagnie aérienne espagnole Iberia ont fait partie des organisations touchées. Des pirates ont, de la même manière, mis en vente 44,3 millions de dossiers personnels dérobés à France Travail sur le dark web, une réserve directement exploitable par ce type de moteurs.
La justice ouvre plusieurs enquêtes
Le parquet de Paris a ouvert plusieurs enquêtes en avril. Le 14 mai, un jeune homme de 19 ans a été mis en examen et placé en détention provisoire, dans une affaire liée à l’exploitation de ce type de plateformes. Anne Le Hénanff a saisi la justice en juin. La ministre déléguée chargée de l’intelligence artificielle et du numérique a signalé un site de lookup destiné à des Français. Le député Eric Bothorel a déposé, à la même période, une plainte contre trois services de lookup différents.
La CNIL a recensé 6 167 violations de données en France sur la seule année 2025, avant d’infliger pour 1,15 milliard d’euros d’amendes aux entreprises fautives sur la même période. Une personne visée par une fuite peut vérifier son exposition grâce à plusieurs outils spécialisés, gratuits pour la plupart.
D'’autres affaires impliquent des suspects tout aussi jeunes. Cinq Français de 16 à 22 ans ont été interpellés le 23 juin par l’Office anti-cybercriminalité, soupçonnés d’avoir revendu environ 525 000 dossiers de patients dérobés à une clinique privée de la Loire. Deux d’entre eux, mineurs au moment des faits, ont été placés sous contrôle judiciaire.
Un précédent plus ancien existe en dehors du seul cercle des opérateurs de lookups. Lors du piratage de Free, en 2024, l’auteur identifié par les enquêteurs avait 17 ans.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.