250 000 pièces d’identité françaises sur le dark web : que faire si les vôtres ont fuité ?

250 000. C’est le nombre de passeports et de cartes d’identité françaises qu’un pirate propose à la vente sur le dark web depuis le 18 juin 2026. Au total, plus de 80 Go de documents, dont une majorité présentés comme valides jusqu’en 2031. Le vendeur, qui se fait appeler ChimeraZ, laisse même l’acheteur choisir entre pièces valides et périmées.

Une pièce d’identité qui fuite, ce n’est pas un mot de passe qu’on change en deux clics. Votre numéro de passeport, votre date de naissance, votre photo, ça ne se réinitialise pas. Voici ce qu’on sait vraiment de cette affaire, ce qu’on ignore encore, et surtout les réflexes concrets à prendre si vous craignez d’être dans le lot.

Ce qu’on sait, et ce qu’on ignore encore

Le pseudonyme ChimeraZ n’est pas un inconnu. Il est associé à plusieurs revendications récentes visant des organisations françaises, en particulier dans l’immobilier, l’assurance et les services à la personne. Son mode opératoire, une faille de type IDOR, rappelle celui de la fuite de l’ANTS d’avril 2026, sans qu’un lien officiel ait été établi entre les deux affaires. Sa nouvelle annonce porte sur un lot massif : plus de 250 000 documents d’identité, environ 80 Go, avec cette précision commerciale glaçante que la plupart sont exploitables jusqu’en 2031.

Maintenant, la partie honnête. L’authenticité de ces données n’a pas été confirmée publiquement, et à ce jour, aucune autorité française n’a communiqué sur cette mise en vente. Dans l’écosystème cybercriminel, il est souvent difficile de savoir si un vendeur est l’auteur des fuites ou un simple revendeur qui agrège des données récupérées ailleurs. Soyons clairs : on ne connaît ni l’origine exacte de ces documents, ni leur taux réel de validité. Méfiez-vous des titres qui transforment cette annonce en catastrophe nationale confirmée. Pour l’instant, c’est une menace sérieuse mais non vérifiée.

Ça ne veut pas dire qu’il faut hausser les épaules. Ça veut dire qu’il faut prendre les bons réflexes sans céder à la panique.

Pourquoi une pièce d’identité qui fuite fait plus mal qu’un mot de passe

Quand un mot de passe fuite, vous le changez et l’affaire est close. Avec une pièce d’identité, c’est une autre histoire. Les informations qu’elle contient sont permanentes : nom, prénoms, date et lieu de naissance, numéro du document, parfois votre signature et votre photo. Rien de tout ça ne se révoque.

Avec une copie de votre passeport entre les mains, un escroc peut tenter d’ouvrir un crédit à votre nom, de souscrire un abonnement, de louer un logement ou de créer des comptes en se faisant passer pour vous. Il peut aussi viser votre ligne mobile via un SIM swap (l’escroc convainc votre opérateur de transférer votre numéro sur sa propre carte SIM, détournement de numéro en clair), histoire d’intercepter vos codes de validation bancaires. Et comme ces documents sont annoncés valides jusqu’en 2031, le risque ne s’éteint pas dans six mois. Il peut traîner des années.

Peut-on vérifier si vos papiers sont dans le lot ?

C’est la première question que tout le monde se pose. Réponse franche : non, pas de façon fiable. Il n’existe pas d’équivalent de Have I Been Pwned pour les passeports. Personne ne va vous confirmer publiquement que votre document précis fait partie des 250 000.

Pire : des services payants vont surfer sur la peur en promettant de « scanner le dark web » pour vous. Dans la plupart des cas, c’est du vent. Pas la peine de sortir la carte bleue pour ça.

Ce que vous pouvez faire à la place, c’est raisonner par probabilité. Si vous avez transmis une copie de votre carte d’identité ou de votre passeport à un organisme récemment piraté, et particulièrement dans les secteurs cités (agence immobilière, assureur, service à la personne), le risque vous concerne plus directement. Dans le doute, partez du principe que la prudence ne coûte rien et passez aux réflexes ci-dessous.

Les bons réflexes à prendre maintenant

Voici la marche à suivre, dans l’ordre où je vous conseille de la dérouler.

1. Surveillez vos comptes et votre courrier. Épluchez vos relevés bancaires et guettez tout courrier suspect : une lettre de bienvenue pour un crédit ou un abonnement que vous n’avez jamais souscrit est le signal numéro un d’une usurpation. Vous pouvez aussi exercer votre droit d’accès aux fichiers d’incidents de la Banque de France (FICP, FCC) pour repérer un crédit ouvert à votre nom.
2. Blindez votre ligne mobile contre le SIM swap. Contactez votre opérateur pour ajouter un code confidentiel ou une sécurité sur votre compte. Et si votre téléphone perd brutalement tout réseau sans raison, ne traînez pas : c’est parfois le premier signe d’un transfert frauduleux de votre numéro.
3. Filigranez toutes vos futures copies de papiers d’identité. L’État propose un service officiel et gratuit, filigrane.beta.gouv.fr (l’outil FiligraneFacile, opéré par l’équipe DossierFacile au sein de beta.gouv.fr). Il ajoute sur votre document numérisé un texte du type « copie remise à telle banque le tel jour », qui rend la pièce inexploitable par un faussaire. À partir de maintenant, ne transmettez plus jamais une copie nue de votre carte d’identité. Filigranez systématiquement.
4. En cas d’usurpation avérée, agissez vite. Déposez plainte au commissariat ou à la gendarmerie, signalez les faits sur la plateforme officielle cybermalveillance.gouv.fr (qui propose une fiche réflexe dédiée à l’usurpation d’identité), et conservez toutes les preuves. Pour une fraude à la carte bancaire, le signalement passe par le service Perceval.
5. Ne payez pas pour « faire retirer » vos données. Aucun prestataire ne peut garantir l’effacement de documents déjà diffusés sur le dark web. Méfiez-vous d’ailleurs des faux emails de la CNIL qui promettent justement d’effacer vos données après une fuite. Gardez votre argent pour ce qui protège vraiment.

Ce que je ferais à votre place

Cette affaire n’est pas confirmée, mais elle rappelle une vérité simple : une copie de vos papiers qui circule, c’est un risque qui dure des années. Pour aller plus loin, lisez aussi nos conseils pour protéger vos données personnelles face aux fuites en ligne. Inutile de paniquer, mais deux réflexes valent la peine d’être pris aujourd’hui, même sans preuve que vous êtes concerné :

• Filigranez désormais chaque copie de pièce d’identité avant de l’envoyer, via filigrane.beta.gouv.fr. C’est gratuit et ça change tout. Je vous explique tout
• Mettez en place une surveillance de vos relevés bancaires et de votre courrier pendant les prochains mois, et apprenez à reconnaître les signaux d’une usurpation.

Si je ne devais retenir qu’une chose : le mal est peut-être déjà fait pour les documents passés, mais c’est sur les copies que vous enverrez demain que vous gardez la main. Prenez l’habitude du filigrane maintenant, pas après la mauvaise surprise. Et pour réduire votre exposition globale, un service comme Incogni, qui supprime vos données personnelles chez les courtiers en données, limite la quantité d’informations exploitables par les escrocs.

Cela pourrait aussi vous intéresser

Fuite ANTS : 19 millions de Français exposés, suis-je concerné et que faire ? Comment accéder au dark web en toute sécurité ? Arnaque CNIL : ces faux emails qui promettent d’effacer vos données après une fuite Sécurité sur le Web : les bons réflexes pour ne plus se faire pirater