Loi Chat Control : comment la surveillance de vos messages a provoqué la fuite massive des données de 111 000 agents de l'État

Dans les jours qui ont suivi le feu vert donné au dispositif européen de détection automatique de contenus pédocriminels, une riposte inattendue est apparue sur des espaces fréquentés par des pirates informatiques. Un cybercriminel affirme avoir rendu publiques les informations personnelles de 24 eurodéputés français, tandis qu’un autre fichier lié au ministère de l’Intérieur a été mis en ligne sur un forum dédié aux échanges de données volées. Ces deux publications sont présentées comme une réponse directe à Chat Control, le cadre qui autorise l’analyse de certaines communications privées. Pour les institutions visées, l’épisode met en lumière la fragilité de leur exposition numérique.

Le 23 juillet, le Conseil de l’Union européenne a approuvé le rétablissement, jusqu’au 3 avril 2028, d’un régime temporaire permettant aux plateformes d’analyser les messages de leurs utilisateurs afin de détecter, signaler, supprimer et censurer certains contenus pédocriminels, surnommé « Chat Control 1.0 ». En parallèle, un cadre permanent plus large, souvent appelé « Chat Control 2.0 », reste en discussion au niveau européen. Deux jours après cette décision, une première opération de doxing ciblant des élus français est apparue, puis une base de données massive concernant des agents de l’État a suivi dès le lendemain. Un enchaînement qui laisse en suspens de nombreuses questions sur la sécurisation des systèmes publics.

Doxing d’eurodéputés et fuite de 111 528 agents

Selon les premiers éléments décrits, un dossier regroupant les données personnelles de 24 eurodéputés français considérés comme favorables à Chat Control ou responsables de son maintien a été mis en ligne par un acteur se présentant comme cybercriminel. Pour chaque responsable visé, le fichier rassemblerait des adresses privées, des numéros de téléphone, des adresses e-mail et des photographies. Il ne s’agirait pas d’un piratage direct du Parlement européen, mais d’un travail de recomposition : des informations issues d’anciennes fuites auraient été agrégées personne par personne. Plusieurs élus concernés auraient effectué un signalement sur PHAROS, la plateforme officielle utilisée en France pour déclarer des contenus illicites.

Un second fichier présenté comme contenant les informations de 111 528 agents du ministère de l’Intérieur a ensuite été mis en ligne gratuitement sur un forum spécialisé dans les échanges de données volées, en visant principalement des membres de la Gendarmerie nationale. D’après sa description, cette base listerait leurs noms, leurs identifiants internes et leurs adresses e-mail professionnelles, parfois aussi leurs adresses personnelles. Ces éléments restent décrits à ce stade comme une fuite et non comme une compromission technique en temps réel des systèmes de l’administration. Pour les personnes concernées, l’exposition combinée de leur nom, de leur fonction et de leurs coordonnées renforce pourtant les risques de harcèlement ciblé et de sollicitations malveillantes.

Un ultimatum contre Chat Control et le paradoxe des données

Le message accompagnant la base de données revendiquée laisse peu de doute sur la dimension politique de l’opération. Ses auteurs y somment les institutions de renoncer au dispositif en déclarant : « Abandonnez immédiatement et définitivement le projet Chat Control […] Sachez que nous avons déjà identifié les vulnérabilités de vos systèmes », a-t-on pu lire dans ce texte cité par Cryptoast. Dans la foulée, le groupe de pirates LunarisSec a adressé un ultimatum distinct à l’Union européenne, dans lequel il réclame l’abandon de Chat Control, la protection du chiffrement de bout en bout et plus de transparence sur le partage des données. LunarisSec affirme aussi avoir repéré des failles dans plusieurs systèmes européens, sans toutefois fournir d’éléments techniques détaillés pour les documenter.

Ces actions illustrent un décalage récurrent entre l’ambition des cadres de surveillance et la réalité technique d’Internet. L’État peut imposer par la loi l’identification, la collecte de données personnelles et leur analyse à grande échelle, mais ce pouvoir ne protège ni ses élus ni ses agents dès lors que les mêmes bases deviennent accessibles à des acteurs malveillants. Plus les fichiers se multiplient pour transformer le réseau en infrastructure d’identification et de contrôle, plus ils peuvent être retournés contre les institutions elles-mêmes, notament lorsque ces données touchent des personnels qui n’ont pas participé directement à l’adoption des textes européens. Pour les décideurs, la séquence autour de Chat Control replace concrètement au premier plan la question de la vie privée comme composante de la sécurité, y compris pour ceux qui défendent ces nouveaux dispositifs.