Piratage de la Protection Civile : qui est concerné et ce que les pirates peuvent faire de vos données

Si vous avez été bénévole à la Protection Civile, même il y a dix ans, vos coordonnées sont probablement dans la nature. La Fédération nationale de Protection Civile a confirmé le 21 août 2026 avoir subi un vol de données sur eProtec, la plateforme qui gère ses bénévoles.

Vous avez sans doute lu le chiffre de 525 000 victimes dans la presse. Il est contesté, y compris par la fédération elle-même, et je vais vous expliquer pourquoi. Mais le plus intéressant n’est pas là. Ce qui compte, c’est le type de données parties, parce qu’il détermine exactement la forme d’arnaque qui va vous tomber dessus dans les semaines qui viennent. Et ce n’est pas celle à laquelle vous pensez.

Ce qui s’est passé, et le trou de cinq mois

L’intrusion remonte à mars 2026. La fédération n’en a découvert l’ampleur que le 17 août, et l’a confirmée publiquement le 21.

Faites le calcul : cinq mois pendant lesquels quelqu’un a eu accès au fichier des bénévoles sans que personne ne s’en aperçoive. C’est ça, l’information importante, et c’est celle dont on parle le moins. Dans le jargon de la sécurité, on appelle ça le dwell time, le temps de présence de l’attaquant avant détection. Cinq mois, c’est très long, mais ce n’est malheureusement pas exceptionnel pour une structure associative qui n’a ni équipe de sécurité ni surveillance permanente.

Conséquence pratique pour vous : ces données circulent depuis le printemps. Si vous avez reçu un appel ou un message bizarre ces derniers mois en vous demandant d’où ils sortaient votre numéro, vous avez peut-être la réponse.

La fédération a porté plainte auprès de la section cybercriminalité du parquet de Paris. Aucun groupe d’attaquants n’a été identifié publiquement à ce jour.

525 000 victimes ? Le chiffre est contesté par la Protection Civile

Soyons précis, parce que la nuance a disparu de la plupart des reprises. Le chiffre de 525 000 profils vient des pirates eux-mêmes, pas d’un décompte officiel. Ils revendiquent également 15 000 photographies.

La fédération, elle, conteste ce volume. Son argument : le fichier contiendrait de nombreux doublons, et elle cherche encore à établir le nombre réel de personnes concernées. Elle n’a pas non plus confirmé le vol des 15 000 photos.

Petite mise au point qui n’engage que moi : un attaquant qui négocie une rançon ou vend un fichier a tout intérêt à gonfler ses chiffres, et une organisation qui vient d’être piratée a tout intérêt à les minimiser. La vérité est presque toujours entre les deux. Ne partez donc ni du principe que vous êtes forcément dedans, ni du principe que vous êtes tranquille : partez du principe que c’est possible, et appliquez les réflexes ci-dessous.

Qui est concerné exactement

C’est la question que tout le monde se pose, alors répondons-y franchement. Les données volées concernent les bénévoles, les anciens bénévoles et des personnes externes ayant un compte sur la plateforme.

Et surtout, le point qui rassure une grande partie des lecteurs : les personnes secourues ne sont pas concernées. Si la Protection Civile vous a pris en charge lors d’un malaise dans une manifestation ou d’un accident, votre dossier de secours n’était pas dans ce fichier. La fédération est explicite là-dessus, et c’est cohérent avec la nature de la plateforme touchée, qui sert à gérer les bénévoles et pas les interventions.

Le mot « ancien » mérite qu’on s’y arrête. Si vous avez été bénévole entre 2015 et 2018 et que vous n’y avez plus remis les pieds depuis, votre fiche est restée dans la base. C’est le problème de fond de ce type de fuite : vous êtes exposé par une organisation que vous aviez oubliée.

Les données parties, et ce qu’elles permettent vraiment

Voilà l’inventaire tel qu’il ressort des éléments publiés : nom, prénom, date de naissance, profession, numéro de téléphone, identifiants et statuts au sein de l’association, plus des photographies et, point qui mérite l’attention, des données concernant des mineurs.

Regardez bien ce qui n’est pas dans cette liste : pas de mot de passe, pas de coordonnées bancaires, pas de numéro de sécurité sociale. C’est une bonne nouvelle, et c’est aussi pour ça que le conseil réflexe « changez vos mots de passe » n’est pas le bon ici. Il ne vous protégera de rien, parce que ce n’est pas ce qui a été volé.

Ce qui a été volé, c’est autre chose, et c’est presque pire : de quoi fabriquer un appel téléphonique parfaitement crédible. Un escroc qui connaît votre nom, votre date de naissance, votre profession et votre statut de bénévole vous appelle sur votre portable et vous dit qu’il travaille pour la Protection Civile. Il sait des choses que seul quelqu’un de l’intérieur pourrait savoir. C’est précisément comme ça que tombe la barrière de méfiance, et ce sont des techniques que j’ai déjà détaillées à propos des arnaques à la voix clonée par intelligence artificielle.

La partie photographies et données de mineurs est celle qui me gêne le plus. Une photo d’identité associée à un nom, une date de naissance et un statut associatif, c’est une base solide pour fabriquer un faux profil ou un faux document. C’est exactement le matériau qui alimente les marchés de pièces d’identité volées du dark web. Et quand la personne concernée a quinze ans, elle n’a aucun moyen de s’en rendre compte.

Ce qu’il faut faire, dans l’ordre

Premier réflexe : traitez tout appel entrant qui invoque la Protection Civile comme suspect. Pas grossier, pas agressif, juste méthodique. Vous raccrochez, vous cherchez le numéro officiel de votre antenne locale par vous-même, et vous rappelez. Un interlocuteur légitime ne sera jamais gêné par ça. Un escroc, si.

Deuxième chose : ne validez jamais une demande d’argent ou de document. Les scénarios classiques après ce genre de fuite sont l’appel aux dons pour l’association, la régularisation d’une cotisation et la mise à jour de votre dossier bénévole. Ajoutez-y les faux emails au nom de la CNIL qui promettent d’effacer vos données après une fuite, un classique qui tourne déjà. Aucun de ces motifs ne justifie de transmettre un RIB, une pièce d’identité ou un code reçu par SMS.

Et le point que presque personne ne fait : parlez-en aux mineurs concernés. Si votre enfant est ou a été bénévole junior, expliquez-lui que quelqu’un pourrait l’appeler ou lui écrire en connaissant son prénom, son âge et son affectation. Un ado prévenu ne se fait pas avoir. Un ado à qui personne n’a rien dit se demande simplement comment la personne au bout du fil peut en savoir autant.

Sachez enfin que vous pouvez signaler toute tentative sur la plateforme cybermalveillance.gouv.fr, et déposer plainte si vous constatez un préjudice. La fuite en elle-même n’ouvre pas de recours automatique, mais un usage frauduleux de vos données, si.

Ce que la fédération vous doit, et comment savoir si vous êtes dedans

Reste une question que personne ne pose : allez-vous être prévenu ? Le RGPD est clair là-dessus. Une violation de données personnelles doit être notifiée à la CNIL dans les 72 heures suivant sa découverte, et les personnes concernées doivent être informées individuellement dès que le risque pour elles est élevé. Photographies, dates de naissance, données de mineurs : on est typiquement dans ce cas de figure.

Concrètement, attendez-vous à un courriel ou un courrier de la fédération si votre fiche est dans le lot. Et méfiez-vous du revers : cette notification officielle est le prétexte rêvé pour un faux message qui imite la Protection Civile. Sachez qu’un vrai courrier d’information ne vous demandera jamais de cliquer pour « vérifier » ou « confirmer » votre dossier.

En attendant, il n’existe aucun outil public pour savoir si votre profil eProtec fait partie de la fuite. Les moteurs de vérification travaillent sur des fichiers diffusés en clair, ce qui n’est pas le cas ici. Ce que vous pouvez faire tout de suite, en revanche, c’est exercer votre droit d’accès auprès de la fédération pour savoir ce qu’elle détient sur vous, puis demander l’effacement si vous n’êtes plus bénévole depuis des années. Le même réflexe vaut pour tous vos vieux comptes oubliés ailleurs, et j’ai détaillé la méthode dans mon guide pour protéger vos données personnelles face aux fuites. C’est long, mais c’est le seul levier qui règle vraiment le problème des fiches dormantes.

Encore une, et c’est le vrai sujet

La Protection Civile s’ajoute à une liste qui s’allonge de semaine en semaine. Cet été seulement, j’ai couvert ici même le piratage des impôts, celui de l’Éducation nationale, celui de la CAF et celui de Bloctel.

Prises une par une, ces fuites paraissent gérables. Le problème, c’est qu’elles se recoupent. Votre numéro de téléphone vient d’ici, votre situation familiale de là, votre adresse d’ailleurs. Bout à bout, quelqu’un se constitue un dossier sur vous bien plus complet que ce que chaque organisme a perdu séparément. C’est ce croisement qui rend les arnaques de 2026 aussi difficiles à repérer, et aucune de ces organisations n’en est individuellement responsable.

Ce qu’il faut retenir

Ne changez pas vos mots de passe en panique, aucun n’a été volé ici. Consacrez cette énergie à la vigilance téléphonique, c’est là qu’est le risque.

Adoptez la règle du rappel : vous raccrochez, vous cherchez le numéro officiel vous-même, vous rappelez. Elle marche pour la Protection Civile comme pour votre banque.

Prévenez les mineurs de votre entourage qui sont ou ont été bénévoles. C’est l’angle mort de cette fuite.

Ma reco si je ne devais en garder qu’une : arrêtez d’attendre qu’un organisme vous prévienne que vous êtes concerné. Entre l’intrusion de mars et la confirmation d’août, il s’est écoulé cinq mois. La bonne posture n’est pas de réagir fuite par fuite, c’est de considérer par défaut que votre nom, votre date de naissance et votre numéro de téléphone sont déjà connus de gens malintentionnés. À partir de là, vous ne vous demandez plus si un appel est légitime : vous vérifiez, systématiquement, et ça vous coûte trente secondes.

Cela pourrait aussi vous intéresser

Piratage de la CAF : vos données sont-elles concernées et que faire ? Fuite ANTS : 19 millions de Français exposés, suis-je concerné et que faire ? Protection des données en ligne : l’urgence d’un service cloud sécurisé Piratage de l’Éducation nationale : ce que le ministère confirme derrière les 346 millions de données volées