Carte blanche — Axel Legay, expert en cybersécurité et intelligence artificielle
Un faux policier se présente au domicile d’un tireur sportif à Nice. Il repart avec cinq armes et des munitions. Quelques jours auparavant, à Paris, un autre individu avait tenté une opération comparable. Nous sommes en novembre 2025, quelques semaines après une cyberattaque contre la Fédération française de tir. Le lien direct entre ces faits et les données compromises n’est pas établi, mais la coïncidence est suffisamment préoccupante pour poser une question que nous évitons encore trop souvent : et si une fuite de données pouvait contribuer à préparer votre prochaine agression à domicile ?
Pendant des années, nous avons expliqué que les cyberattaques menaçaient nos comptes bancaires, nos mots de passe et notre vie privée. Nous avons appris à reconnaître les faux courriels et à nous méfier des liens suspects. Mais nous avons beaucoup moins insisté sur une réalité désormais incontournable : certaines données personnelles peuvent révéler où nous habitons, ce que nous possédons et pourquoi nous pourrions intéresser des criminels. Le risque ne s’arrête plus nécessairement à l’écran.
Des données personnelles qui deviennent des renseignements criminels
Le 20 octobre 2025, la Fédération française de tir détectait une intrusion dans ses systèmes informatiques. Parmi les informations susceptibles d’avoir été compromises figuraient les identités, les adresses postales, les numéros de téléphone et les numéros de licence de certains membres. La Fédération précisait qu’elle ne détenait pas d’informations permettant de savoir si un licencié possédait effectivement une arme à son domicile.
Cette distinction est importante. Mais les événements qui ont suivi ont montré à quel point l’exploitation de données personnelles pouvait susciter des inquiétudes concrètes. La Fédération et les autorités ont dû mettre en garde les licenciés contre des individus susceptibles de se présenter comme policiers, gendarmes ou douaniers pour récupérer leurs armes.
Le 11 octobre 2026, une nouvelle revendication publiée sur un forum cybercriminel concerne cette fois l’Armurerie du Bocage. Ses auteurs affirment proposer 284 Mo de données, comprenant notamment 439 factures et des documents d’identité. Environ 1 000 personnes seraient concernées. Rien ne permet encore de confirmer indépendamment l’authenticité ou le périmètre de cette fuite. Il serait donc irresponsable de la présenter comme une cyberattaque établie.
Mais cette annonce pose une question essentielle. Une facture d’armurerie peut associer un nom, une adresse et la description d’un équipement acheté. Selon son contenu, elle peut révéler des informations particulièrement intéressantes pour des criminels.
Voilà ce qui me préoccupe : une base de données commerciale peut devenir un fichier de renseignement sur des personnes et leurs biens.
Et ce problème dépasse largement le monde des armes.
Les cryptomonnaies : quand la violence remplace le piratage
Les détenteurs de cryptomonnaies connaissent déjà cette menace. En France, les affaires d’enlèvements, de séquestrations et d’extorsions se sont multipliées. Des criminels ne cherchent plus nécessairement à pirater un portefeuille numérique : ils s’attaquent directement à son propriétaire.
Selon un rapport publié par CertiK en juillet 2026, 52 agressions ou incidents de coercition physique liés aux cryptomonnaies ont été documentés dans le monde au premier semestre, dont 33 en France. Les intrusions à domicile sont passées d’un cas documenté au premier semestre 2025 à vingt sur la même période en 2026.
Dans le jargon de la cybersécurité, ces agressions portent un nom : les wrench attacks, littéralement les attaques à la clé anglaise. L’expression résume une contradiction presque absurde. Nous avons conçu des mécanismes cryptographiques extrêmement sophistiqués pour protéger les actifs numériques. Mais lorsqu’un criminel menace physiquement leur propriétaire, ces protections peuvent devenir insuffisantes.
La blockchain n’a pas besoin d’être piratée. Il suffit de contraindre celui qui contrôle les fonds.
Toutes ces agressions ne résultent évidemment pas de fuites de données. Certaines victimes ont pu être identifiées par leur activité professionnelle, leur visibilité publique ou d’autres sources de renseignement. Mais le danger est comparable à celui soulevé par les données d’une armurerie : dès qu’une identité peut être associée à des biens convoités et à une adresse, l’information prend une dimension potentiellement criminelle.
Dans un cas, on cherche des armes. Dans l’autre, des cryptomonnaies. Le point commun, c’est la personne que l’on peut identifier, localiser et cibler.
Le phishing n’est parfois que la première étape
Nous continuons trop souvent à présenter le phishing comme une tentative de voler un mot de passe ou de détourner un paiement. Cette vision est devenue insuffisante.
Les données personnelles dérobées peuvent être revendues, recoupées et enrichies. Une adresse électronique, un numéro de téléphone, une facture ou un historique d’achats prennent une autre dimension lorsqu’ils sont associés à des informations publiques. Les réseaux sociaux peuvent également révéler des déplacements, des habitudes ou des éléments du patrimoine.
L’intelligence artificielle accélère encore cette exploitation. Elle facilite l’analyse de volumes importants de documents, l’identification de correspondances et la personnalisation de messages frauduleux. Il devient plus facile de construire une escroquerie crédible à partir de fragments d’informations authentiques.
Ce qui m’inquiète n’est donc pas seulement le phishing en lui-même, mais ce qu’il peut permettre ensuite. Un faux message peut servir à confirmer une adresse, obtenir une information complémentaire ou gagner la confiance d’une victime. Dans certains scénarios, la fraude numérique peut participer à une chaîne criminelle dont l’objectif final n’est plus un simple virement bancaire.
Nous devons cesser de croire qu’une donnée volée ne présente un risque que lorsqu’elle permet d’accéder à un compte informatique.
Arrêtons de compter les gigaoctets, regardons les victimes
Je trouve notre manière de commenter les cyberattaques profondément révélatrice. Nous annonçons des millions de comptes compromis, des centaines de gigaoctets dérobés et des montants considérables de pertes financières. Ces chiffres impressionnent, mais ils ne disent pas toujours l’essentiel.
Une base contenant mille identités associées à des biens sensibles peut présenter des conséquences autrement plus graves qu’un fichier comprenant un million d’adresses électroniques. La gravité d’une fuite ne dépend pas uniquement de son volume, mais de ce qu’elle permet de découvrir sur les personnes concernées.
Le RGPD impose déjà une approche fondée sur les risques pour les droits et libertés. Pourtant, je considère que les entreprises devraient intégrer beaucoup plus explicitement les conséquences physiques potentielles d’une compromission dans leurs analyses de risques.
Cela suppose de réduire les données collectées au strict nécessaire, de limiter leur conservation lorsque la loi le permet, de protéger les documents sensibles et de contrôler rigoureusement les accès. Mais cela implique surtout un changement de mentalité : une entreprise qui conserve des informations sur les biens ou le patrimoine de ses clients ne protège pas seulement des fichiers. Elle protège aussi des personnes.
Et il serait trop facile de renvoyer cette responsabilité aux citoyens en leur demandant simplement d’être plus prudents. Une personne qui achète légalement un équipement, pratique un sport ou détient des actifs numériques ne devrait pas être exposée à un risque supplémentaire parce qu’une organisation a insuffisamment protégé ses informations.
La cybersécurité doit désormais protéger les personnes
Les faux policiers qui se présentent au domicile de tireurs sportifs, les agressions visant les détenteurs de cryptomonnaies et les revendications de vente de fichiers clients particulièrement sensibles nous confrontent à une même évolution : les frontières entre cybercriminalité et criminalité traditionnelle deviennent de plus en plus poreuses.
Il serait excessif de prétendre que chaque fuite de données prépare un home-jacking. Mais il serait tout aussi irresponsable d’attendre que les conséquences physiques se multiplient avant de reconnaître ce risque.
Je défends une conviction simple : la cybersécurité ne doit plus être évaluée uniquement à travers la protection des systèmes, la continuité des services ou les pertes financières. Elle doit également être jugée sur sa capacité à protéger les personnes contre les conséquences concrètes de l’exploitation de leurs données.
Nous avons passé des années à apprendre aux citoyens à ne pas ouvrir un lien suspect. Il est désormais temps de nous demander ce qui se passe lorsqu’un criminel, grâce aux informations qui circulent sur nous, décide de venir frapper à notre porte.
Axel Legay — Expert en cybersécurité et intelligence artificielle