15/10
Vos données personnelles ont fuité ? Surtout, ne payez pas ces sites pour les effacer
BrixHub, SnusBase, Reacher, LeakCheck ou encore DeHashed : de nouveaux moteurs de recherche permettent de retrouver des données personnelles issues de piratages informatiques. Que Choisir alerte sur les risques de ces plateformes, qui proposent parfois de supprimer les informations contre paiement, sans garantir leur effacement définitif.
Les fuites de données personnelles se multiplient et alimentent un nouveau type de service en ligne. Baptisées « lookups », des plateformes comme BrixHub ou SnusBase permettent de rechercher des informations dérobées lors de cyberattaques. Si elles promettent parfois de supprimer ces données moyennant quelques euros, Que Choisir recommande de ne pas les utiliser, en raison des risques pour la vie privée et des incertitudes entourant leurs pratiques.
Contrairement à Google ou DuckDuckGo, ces plateformes ne référencent pas des pages web classiques, mais des bases de données issues de piratages informatiques. Elles revendiquent des volumes considérables d’informations et permettent de retrouver, en quelques clics, des données concernant soi-même ou d’autres personnes. Selon les informations recensées par Que Choisir, les données accessibles peuvent comprendre des adresses postales, des dates de naissance, des numéros de téléphone, des adresses e-mail, mais aussi des informations beaucoup plus sensibles, comme des IBAN, des numéros de Sécurité sociale ou des revenus fiscaux de référence.
Certains de ces sites proposent ensuite de supprimer les fiches concernées contre paiement. BrixHub affiche, par exemple, des tarifs de 5 euros pour dix fiches, 8 euros pour vingt fiches et jusqu’à 200 euros pour mille fiches. Mais rien ne garantit que les informations seront définitivement effacées, notamment si elles sont conservées ailleurs ou réapparaissent sur d’autres plateformes.
La Cnil et les pouvoirs publics alertent
Le phénomène a également attiré l’attention des autorités françaises. En juin 2026, le député Renaissance Éric Bothorel avait saisi la justice concernant trois de ces plateformes. Plus récemment, la ministre déléguée à l’Intelligence artificielle et au Numérique, Anne Le Hénanff, a engagé une démarche similaire contre BrixHub. La Commission nationale de l’informatique et des libertés (Cnil) a également alerté sur les dangers de ces services. Elle explique rencontrer des difficultés pour obtenir la suppression des données, notamment parce que les responsables de certains sites ne sont pas identifiables et répondent rarement à ses sollicitations.
Ces plateformes peuvent ainsi continuer à diffuser des informations personnelles malgré les démarches entreprises pour les faire disparaître. Elles changent parfois de nom, ferment temporairement puis réapparaissent sous une autre forme, ce qui complique encore leur suivi. Au-delà de l’exploitation commerciale de données volées, ces moteurs de recherche présentent un risque direct pour les internautes. En regroupant des informations dispersées dans différentes fuites, ils permettent aux escrocs de constituer des profils plus complets de leurs victimes.
Ces données peuvent notamment servir à rendre des tentatives de phishing plus crédibles, à préparer des fraudes ou à faciliter des usurpations d’identité. Un fraudeur disposant du nom, du numéro de téléphone et de l’adresse d’une personne peut, par exemple, personnaliser ses messages pour mieux la tromper. Le problème prend de l’ampleur à mesure que les cyberattaques se multiplient. Durant l’été 2026, plusieurs organismes publics, dont l’Éducation nationale et la Direction générale des Finances publiques, ainsi que des entreprises privées, ont été touchés par des incidents de sécurité. Les données dérobées peuvent ensuite circuler sur le dark web et alimenter ces nouveaux moteurs de recherche.
Comment vérifier si ses données ont fuité ?
Que Choisir recommande avant tout de ne pas utiliser les plateformes de lookup et de ne pas payer pour faire supprimer ses informations. Outre l’absence de garantie sur l’effacement, rien ne permet d’exclure que les données saisies sur ces services soient elles-mêmes exploitées.
Pour vérifier si une adresse e-mail figure dans des fuites de données connues, il est préférable de passer par le service gratuit Have I Been Pwned, créé en 2013 par l’expert en cybersécurité Troy Hunt. Celui-ci permet de rechercher une adresse dans les bases de fuites répertoriées. Attention toutefois : son catalogue n’est pas exhaustif et certaines fuites peuvent ne pas encore y apparaître.
Les entreprises et administrations victimes d’une violation de données présentant un risque élevé sont par ailleurs tenues, au titre du RGPD, d’informer les personnes concernées. En cas d’alerte, il convient de rester vigilant face aux messages inattendus, de se méfier des liens reçus par SMS ou e-mail et de modifier les mots de passe concernés lorsqu’ils ont pu être compromis. Enfin, une indemnisation est théoriquement possible en cas de violation de données personnelles, conformément à l’article 82 du RGPD. Elle reste toutefois difficile à obtenir : la victime doit notamment démontrer un manquement à la réglementation, un préjudice et un lien entre les deux. Une procédure judiciaire peut donc être nécessaire.