Fuite de données Chat Coco : un nombre non communiqué de personnes exposées

La plateforme de discussion en ligne Chat Coco a été touchée le 3 août 2026 par une violation de données dont l'ampleur exacte n'a pas été communiquée. Les éléments rendus publics font état de l'exposition d'exports SQL, c'est-à-dire de copies brutes des bases de données du service, accompagnées d'identifiants et de pseudonymes, de mots de passe hachés, d'adresses IP de connexion, de contenus de messagerie privée et d'un accès webmail. Ce périmètre place l'incident dans la catégorie des violations de confidentialité au sens du Règlement général sur la protection des données. Les conséquences pour les personnes concernées sont directes : réutilisation d'identifiants sur d'autres services, hameçonnage ciblé, et surtout divulgation d'échanges privés susceptibles de révéler des informations intimes. Pour l'éditeur, l'incident déclenche mécaniquement une série d'obligations réglementaires encadrées par des délais courts.

Que s'est-il passé : Chat Coco victime d'une violation de données

L'incident a été rendu public le 3 août 2026. À la différence des fuites limitées à un simple fichier client, la compromission porte sur des exports SQL, c'est-à-dire des extractions directes des bases applicatives. Ce type d'artefact contient généralement l'ensemble des tables : comptes, messages, journaux de connexion. Un attaquant disposant d'un dump n'a pas à reconstituer les correspondances entre fichiers, le schéma relationnel les lui fournit déjà.

Le vecteur d'intrusion n'a pas été confirmé. Les compromissions de ce profil résultent le plus souvent d'une injection SQL sur un formulaire mal filtré, d'une interface d'administration de base exposée sur Internet, d'une sauvegarde déposée sur un espace de stockage mal configuré, ou de la réutilisation d'identifiants d'administration issus d'une fuite antérieure. La présence d'un accès webmail dans le périmètre exposé oriente plutôt vers une compromission de comptes à privilèges que vers une faille applicative isolée, sans qu'il soit possible de trancher faute de communication technique de l'éditeur.

La sensibilité des données en jeu mérite d'être soulignée. Les contenus de messagerie privée ne sont pas des données ordinaires : ils peuvent révéler, par lecture directe ou par déduction, des éléments relevant des catégories particulières de l'article 9 du RGPD — orientation sexuelle, état de santé, convictions ou opinions. Les adresses IP horodatées permettent de localiser approximativement une personne et de reconstituer ses habitudes de connexion. Quant aux mots de passe hachés, ils ne constituent pas une protection automatique : la CNIL considère qu'un hachage obsolète, non salé ou fondé sur un algorithme rapide doit être traité comme compromis.

Obligations légales RGPD pour Chat Coco

En tant que responsable de traitement, Chat Coco doit notifier la violation à la CNIL dans les 72 heures suivant sa prise de connaissance, conformément à l'article 33 du RGPD. Ce délai court dès l'acquisition d'un degré raisonnable de certitude qu'un incident affectant des données personnelles s'est produit, et non à l'issue de l'investigation technique. Lorsque tous les éléments ne sont pas réunis, la notification doit être déposée de façon échelonnée puis complétée. Seule l'absence de risque pour les droits et libertés dispense de cette formalité, hypothèse difficile à soutenir ici.

L'article 34 impose une obligation distincte : lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées doivent être informées individuellement, dans les meilleurs délais et en des termes clairs. La combinaison d'échanges privés, d'identifiants et d'adresses IP correspond typiquement à ce seuil.

S'y ajoute une obligation permanente souvent négligée : l'article 33 §5 impose de documenter toute violation dans un registre interne, y compris celles qui ne sont pas notifiées. Ce registre consigne les faits, les effets et les mesures correctrices ; c'est le premier document réclamé lors d'un contrôle. Les sanctions de l'article 83 atteignent 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements à la sécurité et à la notification, et 20 millions d'euros ou 4 % pour les violations des principes fondamentaux.

Risques pour les personnes touchées et que faire

Le premier risque est le bourrage d'identifiants : les couples adresse e-mail et mot de passe issus d'un dump sont testés automatiquement sur des centaines de services tiers, et tout compte réutilisant le même mot de passe devient accessible. Le deuxième est le hameçonnage contextualisé : disposant de vos échanges, un attaquant rédige un message crédible reprenant des éléments que vous pensiez confidentiels. Le troisième est l'usurpation d'identité, voire des tentatives d'extorsion lorsque les conversations sont intimes.

Les mesures à prendre sont concrètes. Changez immédiatement votre mot de passe sur la plateforme, puis sur tout service où il était réutilisé, en privilégiant des mots de passe longs, uniques et conservés dans un gestionnaire. Activez l'authentification à deux facteurs partout où elle est proposée, en préférant une application dédiée à l'envoi par SMS. Vérifiez l'exposition de votre adresse sur Have I Been Pwned, surveillez vos comptes pendant plusieurs mois et ne cliquez sur aucun lien reçu à la suite de l'incident. En cas de préjudice ou de silence du responsable de traitement, adressez une plainte à la CNIL. D'autres incidents sont recensés dans notre panorama des fuites de données en France.

Enseignements pour les entreprises similaires

Toute plateforme hébergeant des échanges entre utilisateurs devrait tirer quatre conclusions opérationnelles de cet incident. D'abord le chiffrement au repos des bases et surtout des sauvegardes : un dump récupéré sur un espace de stockage oublié reste la porte d'entrée la plus rentable. Ensuite l'authentification multifacteur systématique sur les accès d'administration, les interfaces de gestion de base et les messageries professionnelles, qui neutralise la réutilisation d'identifiants volés.

Vient ensuite la segmentation réseau : aucune interface d'administration ni aucun port de base de données ne doit être joignable depuis Internet, et la compromission d'un serveur applicatif ne doit pas ouvrir l'accès aux sauvegardes. Enfin les tests d'intrusion réguliers, complétés d'une revue de code sur les points d'entrée utilisateur, restent le moyen le plus fiable de détecter une injection SQL avant un attaquant. Les entités relevant de la directive NIS 2 doivent en outre formaliser leur gestion des incidents selon une séquence échelonnée : alerte précoce sous 24 heures, notification circonstanciée sous 72 heures, rapport final sous un mois. Ce régime se cumule avec le RGPD sans s'y substituer. Un audit d'infrastructure périodique permet de vérifier ces points dans un cadre méthodique.

Questions fréquentes

Que faire si vous êtes client de Chat Coco ?

Si vous êtes utilisateur de la plateforme, considérez que votre mot de passe est compromis, même haché : changez-le sans attendre, ainsi que sur les services où vous l'aviez réutilisé, et activez l'authentification à deux facteurs. Partez également du principe que vos échanges privés ont pu être lus, et méfiez-vous de tout message évoquant leur contenu.

Chat Coco doit-elle notifier la CNIL ?

Oui. L'article 33 du RGPD impose la notification de toute violation de données personnelles à l'autorité de contrôle dans les 72 heures, sauf incident manifestement sans risque pour les personnes. Au vu des données concernées, cette exception ne s'applique pas. L'information individuelle des victimes, prévue à l'article 34, s'impose dès lors que le risque est qualifié d'élevé.

Comment vérifier si vos données ont été exposées ?

Saisissez votre adresse e-mail sur Have I Been Pwned, qui référence les jeux de données publiés. Une absence de résultat ne garantit rien : un dump peut circuler en privé sans être indexé. Vous pouvez aussi exercer votre droit d'accès auprès de l'éditeur, qui doit répondre sous un mois, et surveiller les connexions inhabituelles sur vos comptes.