Un cybercriminel qui signe ChimeraZ a mis en vente, samedi 24 octobre, un fichier qu’il présente comme 905 097 enregistrements associant des plaques françaises à des noms, des adresses et des téléphones. Aucune autorité n’a confirmé. Ce n’est pas le chiffre qui rend l’affaire sérieuse : c’est ce que le fichier relie.
- Ce que l’annonce dit, ce que personne ne confirme
- Un fichier de formulaires, pas un fichier de cartes grises
- 2 % du parc, et un risque propre à la plaque
- Quatre fichiers en trois jours, un responsable introuvable
- Ce que j’en pense
Ce que l’annonce dit, ce que personne ne confirme
L’annonce a été publiée sur un forum cybercriminel le 24 octobre 2026, puis relayée par le site FrenchBreaches, qui rappelle qu’elle « reste une revendication non confirmée officiellement ». Le vendeur donne ses compteurs : 905 097 lignes, 847 064 plaques distinctes, 506 003 courriels distincts, 474 906 téléphones distincts, 175 Mo au format JSONL. Les extraits montrent noms, prénoms, mobiles, adresses postales et dates d’enregistrement ; ni numéro de sécurité sociale, ni mot de passe, ni donnée bancaire. Il annonce 2 millions de plaques supplémentaires.
Le chiffre varie selon les titres (847 064, 850 000, 905 000) : c’est la même annonce lue à trois endroits, et aucun de ces nombres ne compte des personnes.
Un fichier de formulaires, pas un fichier de cartes grises
La structure en dit plus que le volume : 58 033 lignes de plus que de plaques, soit 6,9 % de doublons, et environ 193 octets par ligne pour 175 Mo. C’est la taille d’un formulaire de contact, pas d’un dossier administratif. Une carte grise n’a pas trois mobiles pour une seule voiture. Le pirate dit que la source est un site qu’il taira jusqu’à correction de la faille : c’est une déclaration, pas une preuve.
Un autre fichier, lui, est documenté. Le Système d’immatriculation des véhicules, que la CNIL décrit, est un fichier national sous la responsabilité du ministère de l’Intérieur, ouvert à des ayants droit : assureurs, professionnels de l’automobile, collectivités pour le stationnement. L’État n’a pas vendu ces plaques. Il a ouvert un accès encadré, et ce sont les intermédiaires, puis leurs prestataires, qui collectent à leur tour. C’est là que la chaîne se perd.
2 % du parc, et un risque propre à la plaque
847 064 plaques, c’est 2,1 % des 40,0 millions de voitures particulières en circulation au 1er janvier 2026, selon le service statistique du ministère de la Transition écologique. Les 2 millions annoncées porteraient l’ensemble à 7,1 % du parc.
La plaque a une propriété qu’aucun autre identifiant ne possède : elle est publique. On la lit dans la rue, sur un parking, sur une photo. Un nom, une adresse et une plaque réunis permettent deux choses. La doublette : un véhicule circule avec la plaque d’un autre, et les avis de contravention arrivent chez le titulaire réel, qui doit porter plainte puis contester. Le message crédible : avec la bonne plaque et le bon nom, un SMS sur un contrôle technique ou une fausse amende ne ressemble plus à une arnaque.
Quatre fichiers en trois jours, un responsable introuvable
Cette annonce ne tombe pas seule. Le 22 octobre, un vendeur proposait 450 000 fiches présentées comme celles de l’Ircantec, après une intrusion reconnue par la caisse. Le même jour, la Fédération française de tir annonçait un second piratage en un an, 587 000 dossiers revendiqués. Le 24, le fichier du PCF exposait 189 308 personnes et leur opinion politique. Avec les plaques : 2 131 405 fiches proposées en trois jours. Pas 2,1 millions de victimes, mais autant de fiches, aucune confirmée.
La différence tient au responsable. Trois organismes ont reconnu l’intrusion et savent ce qu’ils ont perdu. Pour les plaques, personne n’a déclaré être à l’origine du fichier. Or le RGPD ne s’applique qu’à un responsable de traitement, qui doit notifier la CNIL sous 72 heures (article 33) et informer les personnes en cas de risque élevé (article 34). Sans responsable identifié, ces obligations n’ont pas de destinataire. Un fichier orphelin n’est pas seulement dangereux : il est hors du droit.
Ce que j’en pense
Je ne crois pas que le sujet soit de savoir si ChimeraZ dit vrai. Il est de constater qu’un pays qui exige de chaque véhicule une plaque, un contrôle technique, une assurance et une carte grise a organisé la traçabilité de la voiture sans organiser la responsabilité de l’identité qui va avec. Rien n’établit que l’État soit à l’origine de ce fichier, et je ne l’écris pas. Mais l’État est à l’origine de l’obligation, et c’est de lui que viennent les autorisations d’accès. Quand un tel fichier circule, la question n’est pas « qui a piraté » mais « qui devait le garder ».
La collecte est obligatoire, centralisée, contrôlée. La diffusion est autorisée, sous-traitée, et devient invisible dès le deuxième intermédiaire. On sait combien de véhicules circulent en France ; on ne sait pas combien de fichiers privés contiennent votre plaque et votre adresse. Un dispositif collectif qui se termine par des conseils individuels n’est pas une protection : c’est un transfert de charge.
À observer : la méthode pour vérifier si une fuite vous concerne. Vidéo antérieure au 24 octobre, elle décrit la démarche générale, pas ce fichier.
905 097 lignes ne font pas 905 000 victimes, et aucune autorité n’a confirmé la fuite. Mais la plaque est le seul identifiant à la fois public et nominatif : elle transforme une base de formulaires en annuaire d’adresses. Le défaut n’est pas le piratage, c’est qu’aucun responsable ne soit identifiable.
Opinion de la maison, pas un fait.
- Annonce du 24 octobre, non confirmée : 905 097 lignes, 847 064 plaques.
- 2,1 % du parc automobile ; 7,1 % si les 2 millions annoncées existent.
- Sans responsable identifié, ni notification à la CNIL, ni information des personnes.
À prolonger : 99 fuites dans l’administration : ce que l’ANSSI ne peut pas empêcher.
