Des numéros de téléphone échangés avec Bloctel, le service d'opposition au démarchage téléphonique, circulent dans un fichier diffusé en ligne. Environ 2,3 millions de comptes y figurent ; selon les autorités, l'ensemble dérobé compte environ 600 000 numéros inscrits sur la liste d'opposition, et la fuite a été confirmée le 12 août 2026 par la DGCCRF, pour le compte de laquelle le service est opéré par la société Consoprotec.
Ce que contient le fichier attribué à Bloctel
Le fichier a été mis en ligne le 6 août 2026 sur un forum cybercriminel, présenté comme un extrait de la base des inscrits et annoncé sous le volume de 3 millions. Son contenu est sobre : un peu plus de 2,4 millions de numéros de téléphone distincts, chacun rattaché à un identifiant de compte interne. Aucun nom, aucune adresse postale et aucune adresse électronique n'y figurent. L'ancienneté des données n'est pas documentée.
L'origine exacte du fichier n'est pas établie. La mécanique décrite par l'autorité fait transiter par un compte professionnel deux fichiers : celui que ce professionnel soumet depuis son propre référentiel commercial, et celui que le service lui restitue après confrontation à la liste. La composition observée s'accorde avec l'un comme avec l'autre.
Comment la DGCCRF explique le piratage de Bloctel
L'administration attribue la fuite à un accès frauduleux sur le compte d'un professionnel utilisateur du service, qui n'était pas protégé par une authentification multifacteur. Cet accès a permis de télécharger des fichiers sans autorisation. La DGCCRF fait état de 3 millions de numéros récupérés, dont 600 000 inscrits sur la liste, et indique que les personnes inscrites concernées ont été informées par le service. Le dispositif Bloctel a par ailleurs disparu le 11 août 2026, remplacé par un régime de consentement préalable au démarchage.
Ce qu'ajoute le point de situation de l'ANSSI
Le 30 septembre 2026, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié un point de situation sur les violations de données touchant les services de l'État. Il décrit la mécanique de la fuite de Bloctel.
Depuis le compte professionnel d'une entreprise, l'attaquant a obtenu une archive contenant deux listes : les numéros soumis par ce professionnel, et les numéros après traitement par Bloctel. C'est la différence entre les deux qui permet d'identifier environ 600 000 numéros inscrits sur la liste d'opposition. Le rapport ne qualifie pas le reste des 3 millions de numéros et ne précise pas laquelle des deux listes a été diffusée.
L'agence date la violation du 7 août 2026 et confirme que le service a été définitivement fermé le 11 août 2026.
Un usage détourné de la liste d'opposition
L'auteur de la diffusion présente le fichier comme un moyen, pour des entreprises, d'éviter d'appeler les personnes inscrites. C'est précisément ce que la réglementation interdit : la vente comme la location de fichiers de personnes opposées au démarchage sont sanctionnées. Pour les inscrits concernés, un numéro seul ne révèle ni identité ni adresse, mais il suffit à recevoir des appels et des SMS indésirables ou frauduleux, alors même que leur inscription visait à y échapper.
Détails techniques :
- Fichier diffusé le 6 août 2026, annoncé sous le volume de 3 millions
- Environ 2,3 millions de comptes et un peu plus de 2,4 millions de numéros distincts
- Chaque numéro associé à un identifiant de compte interne
- Fichier proposé sur quatre hébergeurs
- Fuite confirmée le 12 août 2026 par la DGCCRF : 3 millions de numéros récupérés, dont 600 000 inscrits sur la liste
- Accès obtenu via un compte professionnel sans authentification multifacteur
- Selon l'ANSSI : archive contenant la liste soumise par le professionnel et la liste traitée par le service, environ 600 000 inscrits identifiés par différence
- Service définitivement fermé le 11 août 2026
- Ancienneté des données non documentée
Données concernées :
- Numéro de téléphone
- Identifiant interne (identifiant de compte associé à chaque numéro)
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise