Fuite de données Bloctel : 3.0 millions de personnes exposées

Le dispositif Bloctel, la liste d'opposition au démarchage téléphonique opérée pour le compte de l'État, a été visé par une violation de données majeure révélée le 6 août 2026. Un fichier contenant environ trois millions de numéros de téléphone a été diffusé gratuitement sur un forum cybercriminel, avant que les autorités ne confirment l'incident le 11 août et ne le signalent à la CNIL. L'accès aurait été obtenu par l'usurpation d'un compte professionnel habilité à interroger le service. Aucun mot de passe ni adresse e-mail ne figure dans les données diffusées : l'exposition porte exclusivement sur des numéros de téléphone. Cette apparente sobriété ne doit pourtant pas rassurer. La particularité de ce fichier tient à sa qualification : il recense des personnes qui s'étaient volontairement inscrites pour ne plus être démarchées, autrement dit des numéros actifs, vérifiés et rattachés à des particuliers identifiables. Pour les personnes concernées, le risque immédiat porte sur le démarchage abusif, les campagnes de smishing et les tentatives de détournement de comptes reposant sur le numéro comme facteur d'authentification. Pour les organisations, l'affaire illustre une faiblesse structurelle rarement traitée : la sécurité des accès délégués à des tiers.

Que s'est-il passé : Bloctel victime d'une violation de données

La chronologie publique est courte mais instructive. Le 6 août 2026, une revendication apparaît sur un forum cybercriminel, accompagnée de la mise à disposition gratuite d'une base présentée comme extraite de Bloctel. La gratuité de la diffusion est un facteur aggravant : contrairement à une vente restreinte à quelques acheteurs, elle garantit une réplication immédiate et irréversible du fichier sur de nombreux canaux. Le 11 août, l'État confirme le piratage et arrête le périmètre : environ trois millions de numéros de téléphone sont concernés, et la violation est signalée à la CNIL.

Le vecteur d'attaque décrit ne relève pas de l'exploitation d'une faille technique du système, mais de l'usurpation d'un compte professionnel légitime. Bloctel fonctionne en effet sur un principe d'interrogation : les professionnels autorisés à démarcher soumettent leurs fichiers de prospection pour en retirer les numéros inscrits sur la liste d'opposition. Un accès valide permet donc, par construction, de manipuler des volumes importants de numéros. Compromettre l'identifiant d'un tel compte revient à obtenir une porte d'entrée conforme, difficile à distinguer d'un usage normal sans supervision comportementale.

La donnée exposée est unique dans sa nature — un numéro de téléphone — mais reste une donnée à caractère personnel au sens de l'article 4 du RGPD, puisqu'elle permet d'identifier indirectement une personne physique et de la contacter directement. Sa sensibilité réelle vient de son contexte : appartenir à ce fichier signale un profil précis, celui d'un particulier réfractaire au démarchage, information exploitable en soi par des acteurs peu scrupuleux.

Obligations légales RGPD pour Bloctel

Toute violation de données déclenche une mécanique réglementaire stricte. L'article 33 du RGPD impose au responsable de traitement de notifier l'autorité de contrôle dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Le signalement à la CNIL évoqué publiquement s'inscrit dans ce cadre. La notification doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises pour y remédier.

L'article 34 va plus loin lorsque la violation est susceptible d'engendrer un risque élevé : les personnes concernées doivent alors être informées individuellement, dans des termes clairs et simples. Avec trois millions de numéros diffusés publiquement et gratuitement, la question du risque élevé se pose sérieusement, même en l'absence de mots de passe. À défaut d'information individuelle réalisable, une communication publique équivalente est admise. L'article 33 §5 impose par ailleurs de documenter toute violation dans un registre interne, y compris celles qui ne sont pas notifiées — un document que la CNIL réclame systématiquement lors de ses contrôles.

Sur le volet répressif, l'article 83 prévoit deux plafonds : 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les manquements aux obligations de sécurité et de notification, 20 millions d'euros ou 4 % pour les violations des principes fondamentaux. Ces montants constituent un cadre général et ne préjugent pas de l'issue de ce dossier. Deux nuances comptent ici : le régime applicable aux organismes publics est encadré spécifiquement par la loi Informatique et Libertés, et l'imputation des responsabilités devra distinguer le responsable de traitement de son opérateur technique, au regard des articles 28 et 32 relatifs aux obligations du sous-traitant et à la sécurité du traitement.

Risques pour les personnes touchées et que faire

Le premier risque est le plus prévisible : une explosion du démarchage sur des numéros précisément inscrits pour y échapper. Vient ensuite le smishing, ces SMS frauduleux imitant un transporteur, une administration ou une banque, et le vishing, appels frauduleux souvent accompagnés d'usurpation du numéro appelant pour crédibiliser l'interlocuteur.

Le risque le plus sous-estimé concerne l'authentification. Un numéro de téléphone est aujourd'hui une clé de récupération de compte sur de nombreux services. Deux scénarios en découlent : le SIM swapping, où l'attaquant obtient auprès de l'opérateur le transfert de la ligne sur une carte SIM qu'il contrôle, et l'interception des codes à usage unique reçus par SMS. C'est pourquoi la recommandation pertinente n'est pas de changer ses mots de passe — aucun n'a fuité — mais de migrer l'authentification à deux facteurs du SMS vers une application TOTP ou une clé de sécurité physique.

Concrètement : refusez toute demande d'information ou de code reçue par appel ou SMS non sollicité, rappelez systématiquement l'organisme via son numéro officiel, activez le verrouillage de portabilité auprès de votre opérateur si celui-ci le propose, et signalez les SMS frauduleux au 33700. Vous pouvez consulter le suivi des fuites de données en France et, en cas de préjudice, adresser une plainte à la CNIL. Pour vos autres expositions, notamment celles liées à vos adresses e-mail, Have I Been Pwned reste une référence utile.

Enseignements pour les entreprises similaires

Cet incident déplace le curseur : la menace n'était pas une intrusion périmétrique mais un accès légitime détourné. Quatre mesures en découlent directement. D'abord, imposer une authentification multifacteur non contournable sur tout compte partenaire ou professionnel, sans exception ni dérogation commerciale. Ensuite, appliquer une limitation de débit et des quotas d'extraction par compte : un usage normal n'exige jamais le téléchargement de millions d'enregistrements, et un tel volume doit déclencher une alerte automatique avant achèvement.

Ajoutez la journalisation et la détection d'anomalies comportementales — horaires inhabituels, adresses IP nouvelles, volumétrie atypique — ainsi que le chiffrement des données au repos, la segmentation réseau isolant les interfaces exposées aux tiers, et des tests d'intrusion réguliers couvrant explicitement les parcours d'accès délégués. Enfin, la directive NIS 2 impose désormais à un large périmètre d'entités la maîtrise du risque lié à la chaîne d'approvisionnement numérique et la notification rapide des incidents significatifs : traiter la sécurité des accès partenaires n'est plus une bonne pratique, c'est une obligation.

Questions fréquentes

Que faire si vous êtes client de Bloctel ?

Bloctel est un service gratuit : les personnes concernées en sont des inscrits, non des clients au sens commercial. Si vous êtes inscrit sur la liste d'opposition, considérez que votre numéro peut figurer dans le fichier diffusé. Ne cliquez sur aucun lien reçu par SMS non sollicité, ne communiquez jamais un code de validation par téléphone, et remplacez la réception de vos codes 2FA par SMS par une application d'authentification lorsque le service le permet. Une hausse temporaire des appels et messages indésirables est à anticiper.

Bloctel doit-elle notifier la CNIL ?

Oui. L'article 33 du RGPD impose la notification à l'autorité de contrôle dans les 72 heures dès lors que la violation présente un risque pour les droits et libertés des personnes, ce qui est le cas d'une diffusion publique de trois millions de numéros. Ce signalement a été effectué. Reste à trancher l'information individuelle des personnes concernées prévue à l'article 34, et la répartition des responsabilités entre le responsable de traitement et son opérateur technique.

Comment vérifier si vos données ont été exposées ?

Il n'existe pas, à ce stade, d'outil public permettant de vérifier la présence d'un numéro dans ce fichier précis — et il faut se méfier des sites qui prétendraient le contraire, souvent conçus pour collecter davantage de données. La voie fiable est l'exercice du droit d'accès prévu à l'article 15 du RGPD auprès de l'organisme, ou une demande d'information via la CNIL. En pratique, tout inscrit à Bloctel avant août 2026 doit raisonnablement se considérer comme potentiellement concerné.