Brixhub : le moteur de recherche de données volées. Que faire si vous y figurez ?

Votre nom, votre adresse, votre numéro de téléphone, votre IBAN et votre numéro de sécurité sociale, réunis sur une seule fiche et consultables par n’importe qui en quelques clics. C’est ce que propose Brixhub, un site qui fait parler de lui depuis que le gouvernement a décidé de saisir la justice, le 5 octobre 2026.

Je vous explique ce qu’est ce site, d’où viennent ses données, pourquoi il ne faut surtout pas payer pour vous en faire retirer et ce que je ferais à votre place dès aujourd’hui pour limiter la casse.

Brixhub, c’est quoi exactement ?

Brixhub est ce qu’on appelle un lookup (un annuaire de recherche, en français). Le principe : compiler dans une même base toutes les fuites de données qui circulent, puis permettre de les interroger comme on interroge un moteur de recherche classique. On tape un nom, un e-mail, un numéro de téléphone, et le site recrache tout ce qu’il a trouvé sur la personne.

Le site revendique plus de 11 milliards d’enregistrements, français et internationaux. Ce chiffre n’a été vérifié par personne et il ne correspond pas à 11 milliards de personnes : une même identité apparaît souvent dans des dizaines de fuites différentes. Il donne quand même une idée de l’ampleur du gisement. Et le compteur affiché en page d’accueil grimpe vite : il dépassait les 14,5 milliards d’enregistrements au moment où j’écris ces lignes.

Ce qui change avec Brixhub, c’est la facilité d’accès. Jusqu’ici, ces bases se monnayaient sur des forums spécialisés ou des canaux Telegram, loin des regards. Là, on parle d’un site au design soigné, accessible depuis Google, qui se présente presque comme un service ordinaire, avec son abonnement Pro, son API et même une rubrique « arbre familial » pour approfondir les recherches. Soyons clairs : c’est illégal, et il n’y a aucune raison d’aller y taper votre nom.

Pourquoi le gouvernement a saisi la justice

Le lundi 5 octobre 2026, la ministre déléguée chargée du Numérique, Anne Le Hénanff, a annoncé un signalement au procureur de la République de Paris au titre de l’article 40 du Code de procédure pénale. C’est la procédure qui oblige un agent public à transmettre à la justice tout délit dont il a connaissance.

Les faits visés : accès frauduleux à un système de traitement automatisé de données, et extraction et détention frauduleuses de données informatiques, issues de probables piratages d’entreprises. « Aucune plateforme n’est au-dessus des lois. (…) Ceux qui font commerce de nos données devront répondre de leurs actes », a déclaré la ministre, avec un message adressé directement aux personnes concernées : « ne payez jamais pour faire retirer vos données ».

Sachez qu’un signalement n’est pas une condamnation, et qu’un site de ce genre est difficile à faire tomber. Le site a d’ailleurs tout prévu : dès l’accueil, il invite ses utilisateurs à suivre un bot Telegram qui leur enverra sa nouvelle adresse s’il change de domaine ou se fait bloquer. Et selon ses propres mentions légales, le site serait exploité par une société basée en Russie. Bref, ne comptez pas sur une fermeture rapide pour régler le problème.

D’où viennent ces 11 milliards de données ?

Brixhub n’a probablement rien piraté lui-même. Il agrège ce qui a déjà fuité. Et en France, la matière première ne manque pas : opérateurs télécoms, mutuelles, administrations, clubs sportifs, prestataires de paiement. Depuis deux ans, les annonces de piratage s’enchaînent à un rythme qui donne le tournis, et une bonne partie vient de sous-traitants que vous ne connaissez même pas.

Chaque fuite, prise isolément, livre un morceau de votre identité : un e-mail ici, une adresse là, un IBAN ailleurs. Le danger d’un lookup, c’est le recoupement. Une fois les morceaux assemblés, l’escroc dispose d’une fiche complète, assez précise pour se faire passer pour votre banque, votre mutuelle ou pour vous-même.

Payer pour faire retirer vos données : le piège à éviter

C’est le volet le plus vicieux du site : il propose aux personnes concernées de faire supprimer leurs informations contre paiement. Concrètement, ça ressemble à du racket, et la ministre ne dit pas autre chose. Le bouton porte même le nom de « Suppression RGPD », histoire de donner un vernis légal à l’opération. Sachez que le RGPD vous permet de demander l’effacement de vos données gratuitement : un site qui vous fait payer pour l’exercer se moque de vous.

Je vois trois raisons de ne jamais sortir la carte bancaire :

1. Rien ne garantit la suppression. Vous payez des gens qui vendent des données volées. Leur parole vaut ce qu’elle vaut.
2. Vos données restent dans la nature. Même retirées de Brixhub, elles existent toujours dans les fichiers d’origine, copiés et revendus ailleurs.
3. Vous vous désignez comme cible. Payer, c’est confirmer que la fiche est la vôtre, que vous êtes inquiet et que vous êtes prêt à sortir de l’argent. Et au passage, vous leur confiez une carte bancaire de plus.

Méfiance aussi avec les messages qui vont fleurir dans les jours qui viennent. Après chaque fuite médiatisée, des escrocs envoient de faux e-mails au nom de la CNIL qui promettent d’effacer vos données moyennant des frais. Aucun organisme public ne vous demandera jamais de payer pour ça.

Comment savoir si vos données ont fuité (sans passer par Brixhub)

Pas la peine d’aller vérifier sur Brixhub. Au moment où j’écris, la recherche y est même ouverte à tous sans compte, au prétexte d’une « maintenance ». Mais taper votre nom, votre e-mail ou votre numéro sur ce site, c’est lui indiquer quelles fiches intéressent qui, et lui livrer au passage votre adresse IP. Il existe des outils sérieux et gratuits :

• Have I Been Pwned : tapez votre adresse e-mail, le site liste les fuites connues dans lesquelles elle apparaît. C’est la référence depuis plus de dix ans.
• Le gestionnaire de mots de passe de votre navigateur : Chrome et Firefox signalent les mots de passe enregistrés qui figurent dans une base compromise.
• Les courriers des entreprises piratées : depuis le RGPD, une société victime d’une fuite doit prévenir les personnes concernées quand le risque est élevé. Ne jetez pas ces e-mails sans les lire, mais vérifiez qu’ils viennent bien de l’entreprise.

En vrai, si vous avez un compte chez un opérateur, une mutuelle ou un grand site marchand français, partez du principe que certaines de vos informations circulent déjà. La question n’est plus vraiment de savoir si, mais de limiter ce qu’on peut en faire.

Ce qu’un escroc peut faire avec votre fiche

Avec votre nom, votre téléphone et le nom de votre banque, l’escroc a de quoi monter un faux appel de conseiller crédible. C’est le terrain de jeu du vishing, le phishing par téléphone : il connaît votre adresse et vos derniers chiffres de carte, donc vous le croyez.

Avec votre IBAN, il peut tenter de mettre en place des prélèvements frauduleux. La bonne nouvelle, c’est qu’un prélèvement SEPA non autorisé se conteste auprès de votre banque, à condition de surveiller vos relevés.

Avec votre numéro de sécurité sociale et votre adresse, on entre dans le domaine de l’usurpation d’identité : ouverture de comptes, souscription de crédits ou de forfaits à votre nom. Et le pire, c’est qu’on s’en rend souvent compte des semaines plus tard, quand un courrier de relance arrive.

Les réflexes à adopter dès maintenant

Voilà ce que je ferais à votre place, dans cet ordre :

1. Changez vos mots de passe, à commencer par la messagerie et la banque. Un mot de passe unique par site, et un gestionnaire de mots de passe pour ne pas devenir fou.
2. Activez la double authentification partout où c’est proposé, de préférence avec une application plutôt que par SMS.
3. Surveillez vos relevés bancaires chaque semaine pendant quelques mois, et contestez tout prélèvement inconnu.
4. Raccrochez face à tout appel qui vous demande un code, une validation dans l’application ou un virement. Rappelez vous-même le numéro officiel.
5. Signalez les tentatives d’arnaque sur Cybermalveillance.gouv.fr, et portez plainte si quelqu’un utilise votre identité.

Si vos papiers d’identité font partie des fuites, la marche à suivre est un peu différente. Je l’ai détaillée dans mon article sur les pièces d’identité françaises vendues sur le dark web.

Mon avis : Brixhub n’est que la partie visible

Brixhub choque parce qu’il rend visible ce qui existait déjà dans l’ombre. Fermer un site ne fera pas disparaître les données, qui ressortiront sous une autre adresse. Ce qui vous protège vraiment, ce sont vos réflexes.

Retenez trois choses : ne payez jamais pour faire retirer vos données, verrouillez vos comptes avec des mots de passe uniques et la double authentification, et traitez tout appel « de votre banque » comme suspect jusqu’à preuve du contraire. Si je ne devais garder qu’un conseil, ce serait celui-là : c’est vous qui rappelez, jamais l’inverse.