Le service public Bloctel, qui a cessé son activité le 11 août 2026 dernier, a confirmé le piratage d’une base de données contenant 3 millions de numéros de téléphone inscrits sur la liste d’opposition au démarchage. Les données ont été mises en ligne gratuitement sur un forum cybercriminel.

Bloctel devait tirer sa révérence discrètement, après plus d’une décennie passée à tenter de protéger les Français du démarchage téléphonique non désiré. Le service ferme finalement sur un incident de sécurité majeur, confirmé par l’État lui-même quelques jours seulement avant son extinction officielle. Ironie du sort : ce sont précisément les numéros de téléphone des personnes ayant demandé à ne plus être sollicitées qui se retrouvent aujourd’hui exposés, prêts à alimenter les campagnes de démarchage et d’arnaque qu’elles cherchaient justement à fuir.

Un compte professionnel compromis, sans double authentification

Selon les informations recueillies par le site French Breaches, référence sur les fuites de données en France, l’incident aurait pour origine la compromission d’un compte utilisateur donnant accès au service de consultation Bloctel réservé aux entreprises. Ce service permet normalement aux professionnels de confronter leurs fichiers de prospection à la liste d’opposition, afin d’éviter de démarcher les personnes inscrites. Le compte concerné n’aurait pas été protégé par une double authentification, un oubli qui aurait permis à l’attaquant d’effectuer des recherches et de récupérer les numéros affichés en clair dans les résultats.

L’’État a confirmé l’incident le 11 août, précisant qu’un compte professionnel avait été usurpé pour accéder et télécharger des fichiers contenant des numéros de téléphone. L’affaire a été signalée à la CNIL, l’autorité française chargée de la protection des données personnelles. Deux cybercriminels revendiquent l’attaque sous les pseudonymes « Cybernox » et « don’t call me », et ont mis à disposition la base complète en téléchargement gratuit, plutôt que de se limiter à un simple échantillon comme c’est parfois l’usage dans ce type de revendication.

Des risques concrets pour 3 millions de personnes

Les données exposées se limiteraient à des numéros de téléphone accompagnés d’identifiants techniques associés, sans autre catégorie de donnée personnelle identifiée à ce stade. Ce périmètre limité n’empêche toutefois pas des conséquences bien réelles pour les personnes concernées : campagnes de démarchage non sollicité, tentatives de smishing par SMS frauduleux, phishing ciblé, ou encore recoupement avec d’autres fuites de données déjà en circulation pour enrichir des bases de prospection illicites.

Plusieurs éléments restent à confirmer, notamment l’authenticité intégrale de la base diffusée, le nombre exact de numéros uniques qu’elle contient, ou encore la période durant laquelle les données ont été collectées. La proximité entre cette compromission et la fermeture programmée de Bloctel ne permet pas, en l’état, d’établir un lien de cause à effet entre les deux événements.

Reste une question qui dépasse le seul cas Bloctel : combien d’autres services publics français reposent encore sur des accès professionnels dépourvus du moindre verrou de sécurité élémentaire ?