Vos données personnelles accessibles en deux clics : le boom inquiétant des moteurs de recherche "lookups"

Un nom, un numéro de téléphone ou une adresse mail suffisent désormais pour faire remonter, en quelques secondes, des pans entiers de la vie privée d'un inconnu.

Adresse postale, IBAN, numéro de Sécurité sociale, plaque d'immatriculation... RTL a révélé cette semaine l'existence d'un site internet permettant de retrouver les données personnelles de millions de Français, parmi lesquels plusieurs candidats à l'élection présidentielle de 2027.
Dans le milieu de la cybersécurité, ces moteurs sont appelés des "lookups" ou des "searchers". Leur principe est simple. Il faut les imaginer comme un Google des données volées. Leurs créateurs collectent ou achètent des bases issues de piratages d'entreprises, d'administrations, d'opérateurs télécoms ou d'associations, puis les regroupent dans un même outil.

"Ce qu'on retrouve dedans, c'est un agrégat de diverses informations venant de différentes fuites", explique à RTL Karim Hamia, expert en cybersécurité chez Check Point. Un numéro récupéré lors d'une cyberattaque peut ainsi être rapproché d'une adresse ou d'un IBAN provenant d'une autre.

Des données volées désormais accessibles en quelques clics

Le phénomène n'est pas nouveau. Jusqu'ici, ces services circulaient surtout sur le dark web, Telegram, Discord ou des forums spécialisés. Mais certains sortent désormais de ces espaces confidentiels pour apparaître sur le web classique.

"Des données qui circulaient autrefois dans des forums spécialisés ou des communautés fermées deviennent progressivement plus faciles d'accès", constate Benoît Grunemwald, expert en cybersécurité chez ESET France. 

En juin dernier, le gouvernement avait signalé une plateforme similaire à la justice. Selon Le Monde, plusieurs enquêtes concernant ce type de services étaient déjà ouvertes au parquet de Paris.

Cette démocratisation est alimentée par la multiplication des piratages. France Travail, des opérateurs télécoms, des fédérations sportives ou encore des administrations, comme les impôts cet été, ont été touchés ces dernières années. Autant de fichiers susceptibles d'alimenter ces moteurs.

Les lookups répondent aussi à une logique économique. "Quelques recherches sont offertes pour attirer des utilisateurs, puis un abonnement devient payant", résume Benoît Grunemwald. Le site consulté par RTL proposait ainsi vingt recherches gratuites avant de facturer son accès 20 euros par mois.

Une base volée peut donc continuer à rapporter longtemps après le piratage initial. "Certaines ont déjà été rentabilisées sur le dark web puis sont diffusées gratuitement pour faire de la publicité", explique Karim Hamia. Le moteur sert alors de vitrine pour attirer de nouveaux clients vers des données plus récentes ou plus complètes.

Une mine d'informations pour rendre les arnaques crédibles

Pour les escrocs, l'intérêt est évident. Plus besoin de télécharger des fichiers contenant des millions de lignes ni de maîtriser des outils complexes. Une simple recherche peut suffire à retrouver le nom d'une banque, une adresse, un numéro de téléphone ou d'autres éléments utiles à la préparation d'une attaque ciblée.

"La valeur réside dans le recoupement", souligne Benoît Grunemwald. "Un numéro de téléphone, une adresse ou une date de naissance peuvent sembler anodins séparément. Croisés avec d'autres informations, ils permettent de reconstituer un profil beaucoup plus complet."

Un faux conseiller bancaire capable de citer votre banque, votre agence ou certaines de vos coordonnées devient ainsi beaucoup plus convaincant lorsqu'il vous demande dans l'urgence de bloquer un prétendu virement. La même mécanique est à l'œuvre pour les faux SMS de l'Assurance maladie, les arnaques aux colis ou les tentatives d'usurpation d'identité.

Mieux vaut ne pas aller vérifier soi-même

RTL a choisi de ne publier ni le nom ni l'adresse du moteur où figuraient les données de plusieurs candidats à la présidentielle. Cela n'a pas empêché de nombreux internautes, dans les commentaires du reportage de M6 sur X et Instagram, de chercher à l'identifier pour le tester eux-mêmes.

Mieux vaut pourtant éviter. Ces services demandent souvent une adresse mail, parfois des coordonnées bancaires, et peuvent conserver l'historique des recherches. Autant d'informations supplémentaires confiées à des opérateurs anonymes, souvent malveillants, qui exploitent déjà des données volées.

Les "lookups" accessibles au grand public ne contiennent d'ailleurs pas nécessairement les informations les plus récentes. "Si vous avez une base avec des informations hautement exploitables et très utilisables, elle ne sera pas en public. Elle sera généralement sur le dark web et revendue bien avant", explique Karim Hamia. Les moteurs visibles sur le web classique recyclent souvent des données plus anciennes, parfois déjà exploitées ou obsolètes.

La consultation des données d'un tiers présente en outre un risque judiciaire. Leur détention ou leur exploitation en connaissance de leur origine peut notamment relever du recel, puni de cinq ans d'emprisonnement et de 375.000 euros d'amende.

Renforcer ses réflexes de sécurité

Face à la généralisation de ces plateformes, les experts recommandent de renforcer ses réflexes de sécurité. Cela passe par des mots de passe complexes et différents pour chaque service, des mises à jour régulières et, dès que possible, l'activation de la double authentification.

"L'authentification multifacteur reste aujourd'hui l'un des moyens les plus efficaces pour empêcher l'exploitation d'identifiants compromis", rappelle Karim Hamia.

La prudence doit aussi s'appliquer aux sollicitations du quotidien. Lorsqu'un appel, un SMS ou un mail vous demande d'agir dans l'urgence, même si l'interlocuteur connaît déjà certaines de vos informations, mieux vaut ne rien valider et contacter soi-même l'organisme concerné via son numéro officiel.

Car à l'heure des fuites massives de données, quelqu'un qui en sait beaucoup sur vous n'est plus nécessairement quelqu'un de confiance.

L’actualité par la rédaction de RTL dans votre boîte mail.

Grâce à votre compte RTL abonnez-vous à la newsletter RTL info pour suivre toute l'actualité au quotidien

Je créé mon compte Se connecter

S’abonner à la Newsletter RTL Info