Le 23 octobre 2026, la Fédération française de tir (FFTir) a confirmé avoir subi une intrusion informatique revendiquée par l’acteur malveillant ChimeraZ. L’attaquant affirme détenir 64 000 photographies d’identité ainsi qu’un volume important de pièces justificatives, comprenant des certificats médicaux et des documents d’état civil rattachés aux plateformes fédérales EDEN, ITAC et Cibles Couleurs. Le 24 octobre 2026, le réseau de centres ophtalmologiques Point Vision a également été visé par une cyberattaque entraînant le vol de dossiers patients, avec une exposition potentielle des motifs de rendez-vous médicaux. Le même 24 octobre 2026, ChimeraZ a revendiqué la compromission de bases appartenant à 3 partis politiques français — Renaissance, La France insoumise et le Parti communiste français — incluant des fichiers issus d’applications de porte-à-porte électoral, un volume revendiqué par l’attaquant sans confirmation intégrale des organisations visées.
Ces incidents survenus en l’espace de 48 heures touchent le secteur associatif régalien, la santé privée et les organisations politiques. Leur dénominateur commun ne réside pas dans la sophistication de l’intrusion initiale, mais dans la nature irréversible du butin exfiltré. Un mot de passe compromis se réinitialise immédiatement et une carte bancaire s’oppose en 1 appel. En revanche, un certificat médical d’aptitude au tir sportif, une photographie biométrique, un motif de consultation ophtalmologique ou une note d’opinion politique saisie sur le terrain ne peuvent jamais être révoqués ni remplacés par la victime.
La dématérialisation des démarches administratives et commerciales a généralisé un réflexe d’accumulation documentaire dans les systèmes d’information des PME, des ETI et des organismes publics. Pour valider un droit, ouvrir un compte client, délivrer une licence ou autoriser l’accès à un site industriel, les portails web exigent le téléversement de pièces justificatives : carte nationale d’identité, passeport, justificatif de domicile, attestation d’assurance, extrait Kbis ou certificat médical. Une fois la vérification effectuée par le gestionnaire, le fichier numérique reste stocké dans le répertoire du serveur applicatif ou dans une base objet connectée en permanence au frontal web.
Cette conservation par défaut résulte d’une confusion fréquente entre l’obligation de prouver qu’un contrôle a bien eu lieu et la conservation matérielle du document contrôlé. Les directions métiers demandent aux équipes informatiques de garder les fichiers originaux pendant 5 ans ou 10 ans par crainte d’un audit ultérieur. Ce choix transforme chaque portail d’inscription en coffre-fort improvisé, dépourvu du cloisonnement cryptographique qu’une telle masse d’archives exigerait. Dans le cas confirmé par la FFTir le 23 octobre 2026, l’agrégation de 64 000 photos et de certificats médicaux associés à la détention d’armes confère à la base compromise une valeur critique pour l’ingénierie sociale ciblée, l’usurpation d’identité ou le repérage physique.
L’incident révélé le 24 octobre 2026 autour des centres Point Vision éclaire un autre mécanisme d’aggravation : la requalification juridique d’une base de gestion courante en traitement de données sensibles au sens de l’article 9 du RGPD. Tant qu’un logiciel de planification n’enregistre qu’un nom, un numéro de téléphone et un créneau horaire, sa compromission expose des coordonnées de contact. Dès lors que l’application stocke le motif médical de la consultation ou des commentaires saisis dans une zone de texte libre, l’intégralité de la table bascule dans la catégorie des données de santé.
Le même phénomène s’observe dans les fichiers de porte-à-porte revendiqués par ChimeraZ le 24 octobre 2026 auprès de 3 formations politiques, où le croisement d’une adresse postale avec une appréciation électorale matérialise une donnée d’opinion politique protégée par ce même article 9 du RGPD. Dans les entreprises privées et les collectivités, cette dérive survient quotidiennement dans des outils qui n’ont jamais été homologués pour héberger des données sensibles :
Le risque lié à cette surcollecte ne se limite plus à l’intrusion directe sur le serveur de base de données. Les pièces justificatives et les extractions de formulaires quittent rapidement l’application centrale pour être téléchargées sur les postes de travail des gestionnaires, échangées par messagerie ou soumises à des outils d’intelligence artificielle générative afin d’en résumer le contenu ou d’en extraire des tableaux.
Or, cette surface périphérique fait désormais l’objet d’un ciblage industriel. Le 23 octobre 2026, les chercheurs de Check Point Research ont documenté les capacités de l’infostealer Aokigahara, un code malveillant conçu pour voler les identifiants, les cookies de session et les jetons d’accès aux assistants ChatGPT, Claude et Copilot, ainsi que les clés d’accès cloud des développeurs. Le 24 octobre 2026, le département américain de la Sécurité intérieure (DHS) a d’ailleurs banni l’outil DeepSeek des agences fédérales civiles américaines en raison des risques d’exfiltration de données sensibles vers des infrastructures tierces. Lorsqu’un collaborateur soumet un fichier d’adhérents, un bordereau de rendez-vous médicaux ou un lot de justificatifs à un assistant externe non maîtrisé, la compromission du poste de travail par un infostealer suffit à livrer l’historique complet des documents traités.
Pour réduire l’impact d’une intrusion, l’architecture des portails métiers doit rompre avec l’archivage systématique des originaux. L’article 5 du RGPD impose les principes de minimisation et de limitation de la conservation : une donnée ne doit être gardée que le temps strictement nécessaire à la finalité poursuivie. Lorsque la finalité consiste à vérifier l’éligibilité d’un dossier, la conservation du fichier brut après validation constitue une vulnérabilité opérationnelle majeure.
En cas de violation avérée, l’article 33 du RGPD impose de notifier la CNIL dans un délai maximal de 72 heures et d’informer individuellement les personnes concernées lorsque le risque est élevé. Le coût financier et réputationnel d’une notification portant sur 64 000 dossiers complets avec photos et certificats médicaux est sans commune mesure avec celui d’une fuite limitée à des identifiants techniques. Le passage à une architecture sobre repose sur des mécanismes d’ingénierie applicative immédiatement déployables :
Les dirigeants et les RSSI ne peuvent pas empêcher chaque tentative d’intrusion sur des portails exposés en permanence au public, mais ils maîtrisent intégralement le volume et la nature des archives que l’attaquant trouvera derrière la couche d’authentification. Une base vidée de ses pièces justificatives historiques fait perdre à l’extorsion l’essentiel de son levier de pression.
La réduction de ce passif informationnel passe par des arbitrages de gouvernance rapides entre la direction juridique, les métiers et la DSI :
Le 22 octobre 2026, Moody’s avertit que la dette cyber et les risques liés à l’IA dégradent désormais les conditions d’emprunt des entreprises.
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
