Imaginez. Quelqu’un tape votre numéro de portable dans une barre de recherche. Quelques secondes plus tard, il a votre nom, votre adresse, peut-être votre IBAN ou la plaque de votre voiture. Pas besoin d’être un génie de l’informatique : il suffisait d’un compte, parfois même gratuit. C’est exactement ce que proposait Stryx, anciennement Reacher, un site que l’Office anti-cybercriminalité (OFAC) a fait tomber le mardi 6 octobre. Derrière l’écran ? Trois lycéens de 17 ans.
L’affaire pourrait passer pour un fait divers de plus. Elle ne l’est pas. Parce qu’elle dit beaucoup de la façon dont vos informations circulent aujourd’hui, et de ce que vous pouvez (encore) faire pour vous protéger.
Un « Google » de vos fuites, accessible à n’importe qui
Le principe du lookup, expliqué simplement
Chaque fois qu’un opérateur, une mutuelle, un site d’e-commerce ou une fédération sportive se fait pirater, des fichiers entiers de clients se retrouvent dans la nature. Pendant longtemps, ces données dormaient sur des forums obscurs, réservées à quelques initiés. Les « lookups » ont changé la donne : ils compilent ces fichiers, les croisent, puis les rendent interrogeables comme un annuaire.
Stryx, lancé en mars 2026, affirmait avoir indexé 730 millions de lignes et enregistré plus de 3 millions de recherches. Son modèle économique ressemblait à celui d’une appli banale : une formule gratuite, un abonnement, et des crédits à acheter pour aller plus loin. Le « freemium » appliqué au vol d’identité. Glaçant, non ?
Trois mineurs, dix ans de prison encourus
Les trois administrateurs présumés, jusque-là inconnus des services judiciaires, sont poursuivis notamment pour recel de données extraites frauduleusement et transmission de données, en bande organisée. Sur le papier, la peine maximale atteint dix ans d’emprisonnement. Dans les faits, leur âge change la donne : ils relèveront de la justice des mineurs, où l’« excuse de minorité » permet de diviser par deux les peines encourues, sauf décision motivée du tribunal pour les plus de 16 ans. Rendez-vous est pris pour janvier 2027.
L’enquête, elle, avait démarré le 15 mai, sur un signalement de l’association e-Enfance. Un détail qui n’en est pas un : ce type de plateforme sert aussi au harcèlement, y compris entre adolescents, pour retrouver l’adresse ou le téléphone d’une cible.
Ce que ces données permettent vraiment contre vous
On entend souvent : « Mon numéro, mon adresse… tout le monde les a déjà. » Sauf que c’est le croisement qui fait mal. Une info isolée ne vaut pas grand-chose. Cinq infos réunies, c’est une arnaque crédible.
Le faux conseiller bancaire, arnaque reine
Avec votre nom, votre numéro et le nom de votre banque, un escroc peut vous appeler en se faisant passer pour le service anti-fraude. Il connaît votre adresse, votre date de naissance, parfois les derniers chiffres de votre compte. Vous baissez la garde. Et c’est là qu’il vous demande de « valider une opération » ou de déplacer votre argent vers un compte « sécurisé ». Cette fraude au faux conseiller a coûté des millions d’euros aux Français ces dernières années, et elle se nourrit précisément de ces bases de données.
L’IBAN, plus dangereux qu’on ne le croit
Un IBAN seul ne permet pas de vider un compte. En revanche, il peut servir à mettre en place un prélèvement SEPA frauduleux, par exemple pour payer un abonnement en ligne ou une facture au nom d’un autre. Bonne nouvelle : la loi vous protège. Un prélèvement que vous n’avez jamais autorisé peut être contesté auprès de votre banque pendant 13 mois. Encore faut-il le repérer à temps.
La plaque d’immatriculation, porte ouverte aux « doublettes »
Le fait que Stryx permette une recherche par plaque n’a rien d’anodin. Une plaque associée à un propriétaire et à un modèle de véhicule, c’est le kit parfait pour fabriquer une fausse plaque identique. Résultat : des PV pour excès de vitesse dans une ville où vous n’avez jamais mis les pieds.
Et si vous aviez utilisé le site ?
C’est peut-être le point le plus intéressant de l’affaire. Lors de l’opération, les enquêteurs ont récupéré les données des administrateurs, mais aussi celles des clients et des utilisateurs. Elles sont en cours d’analyse.
Autrement dit, ceux qui ont « juste regardé » ce que le site savait sur leur ex, leur voisin ou leur collègue pourraient recevoir une convocation. Le délit de recel, prévu par l’article 321-1 du Code pénal, vise le fait de détenir ou de bénéficier sciemment du produit d’une infraction. Il est puni de cinq ans de prison et de 375 000 euros d’amende. Consulter une base de données volées, en connaissance de cause, peut entrer dans ce cadre. Message clair : la curiosité n’est pas une excuse.
Un phénomène qui dépasse largement Stryx
Soyons honnêtes : la fermeture d’un site ne règle rien à elle seule. Les autorités le savent, et la pression monte depuis des mois. En mai, un jeune homme de 19 ans a été mis en examen et placé en détention provisoire pour avoir piloté « C3N Backup ». Plus récemment, la ministre chargée du Numérique, Anne Le Hénanff, a saisi la justice le 5 octobre contre BrixHub, un autre lookup qui revendique 11 milliards de données. En juin, sept jeunes pirates avaient déjà été arrêtés après plus de 1 500 cyberattaques sur le sol français.
Le profil des suspects interroge. Ados, jeunes adultes, souvent sans casier : la cybercriminalité est devenue un terrain de jeu accessible, presque banalisé, où l’on monte un « business » depuis sa chambre. Le problème de fond, lui, reste entier : tant que des entreprises laisseront fuiter des millions de fiches clients, il y aura de la matière première pour alimenter ces moteurs. Fermer un site, c’est couper une tête de l’hydre.
Les bons réflexes à adopter dès maintenant
Vous ne pouvez pas effacer vos données d’Internet. Mais vous pouvez rendre leur exploitation beaucoup plus difficile.
Vérifier si vous êtes concerné
Le site Have I Been Pwned permet de savoir si votre adresse e-mail apparaît dans des fuites connues. Ce n’est pas exhaustif, mais c’est un bon thermomètre. Si votre adresse remonte dans plusieurs piratages, considérez que votre numéro et votre adresse postale circulent aussi.
Verrouiller ce qui peut l’être
Changez les mots de passe réutilisés, activez la double authentification partout où c’est possible, à commencer par votre messagerie et votre banque. Côté bancaire, consultez vos relevés au moins une fois par semaine et, si votre banque le propose, activez les alertes sur les nouveaux mandats de prélèvement. Certaines banques permettent même de bloquer tous les prélèvements sauf ceux de créanciers que vous avez autorisés.
Ne jamais faire confiance à un appel entrant
Votre banque ne vous demandera jamais de valider une opération par téléphone ni de transférer votre argent. Au moindre doute, raccrochez et rappelez le numéro inscrit au dos de votre carte. Ça paraît évident. Pourtant, sous la pression, avec un interlocuteur qui connaît votre vie, c’est beaucoup moins simple.
Savoir où signaler et se faire aider
Si vous pensez être victime, la plateforme publique Cybermalveillance.gouv.fr propose un diagnostic gratuit, des fiches pratiques sur chaque type d’arnaque et une mise en relation avec des professionnels. Pour porter plainte en cas d’escroquerie en ligne, le service THESEE permet de le faire directement depuis chez vous. Et pour une fuite de données dont vous êtes la victime, la CNIL peut aussi être saisie.
L’affaire Stryx a au moins un mérite : rappeler que nos données ne sont pas une abstraction. Elles ont un prix, un marché, des vendeurs et des acheteurs. Mieux vaut le savoir avant qu’un inconnu ne vous appelle par votre prénom.
FAQ
C’est un moteur de recherche qui rassemble des fichiers issus de piratages et de fuites, puis permet de retrouver des informations sur une personne à partir d’un simple indice : nom, numéro de téléphone, IBAN, adresse e-mail ou plaque d’immatriculation.
Il n’existe pas d’outil officiel pour vérifier une base précise. En revanche, des services comme Have I Been Pwned indiquent si votre e-mail apparaît dans des fuites connues. Si c’est le cas, adoptez les réflexes de prudence décrits plus haut.
Non, pas directement. Un IBAN permet en revanche de mettre en place un prélèvement frauduleux. Vous disposez de 13 mois pour contester auprès de votre banque un prélèvement que vous n’avez jamais autorisé.
Oui. Consulter sciemment des données issues d’un piratage peut relever du recel, puni jusqu’à cinq ans de prison et 375 000 euros d’amende. Dans l’affaire Stryx, les données des utilisateurs ont été saisies et sont en cours d’analyse.
Raccrochez sans rien valider, puis rappelez votre banque via le numéro officiel figurant sur votre carte ou votre appli. Signalez ensuite la tentative sur Cybermalveillance.gouv.fr.
