Hacker révèle ses vols de données chez Afflelou, Ameli, ANTS
Publié le 26/09/2026
Il dit s'appeler "Yeah". Entre 15 et 20 ans, actif depuis trois ans dans le milieu du hacking, il a accepté de raconter à franceinfo comment il opère : comment il choisit ses cibles, comment il revend les données volées, et comment il alimente un site regroupant des millions de données personnelles dérobées. Son témoignage, aussi troublant que précis, éclaire un phénomène qui touche désormais des organismes aussi variés qu'Afflelou, Ameli ou l'ANTS (Agence Nationale des Titres Sécurisés).
Un profil de hacker ordinaire, des cibles extraordinaires
"Yeah" ne ressemble pas au stéréotype hollywoodien du génie solitaire. C'est un adolescent ou un jeune adulte, actif depuis 2023, qui a progressivement développé ses compétences en ciblant des organisations françaises de grande envergure. Ses victimes ne sont pas anodines : des enseignes commerciales comme Afflelou, des organismes publics comme Ameli (la plateforme de l'Assurance maladie) et l'ANTS, qui gère notamment les permis de conduire et les cartes grises en France.
Ce qui frappe, c'est la méthode. Le hacker explique qu'il ne choisit pas ses cibles au hasard. Il recherche des failles dans des systèmes exposés, souvent sous-protégés malgré le volume colossal de données qu'ils hébergent. Des millions de Français ont potentiellement vu leurs informations personnelles compromises sans même le savoir. Noms, adresses, numéros de sécurité sociale, données de santé : l'inventaire est inquiétant.
Pour comprendre l'ampleur du problème, voici les types de données les plus fréquemment ciblés lors de ces intrusions :
- Données d'identité (nom, prénom, date de naissance)
- Coordonnées personnelles (adresse postale, e-mail, téléphone)
- Informations de santé (numéro de sécurité sociale, historique médical)
- Documents administratifs (numéro de permis, immatriculation)
- Données bancaires ou de paiement
"Yeah" reconnaît revendre ces données sur des forums spécialisés, souvent situés sur le dark web. Le prix varie selon la nature des informations et leur fraîcheur. Des données de santé récentes se négocient bien plus cher que de simples adresses e-mail périmées.
Comment les données volées circulent et se monétisent
La revente est organisée, presque industrielle. Une fois les données extraites, elles alimentent un site ou une base accessible à d'autres cybercriminels, qui les utilisent pour du phishing, de l'usurpation d'identité ou des escroqueries ciblées. Le circuit est rodé, et "Yeah" en décrit les rouages avec une désinvolture qui donne froid dans le dos.
| Organisme ciblé | Type de données concernées | Nombre estimé d'utilisateurs exposés |
|---|---|---|
| Afflelou | Données clients (identité, commandes) | Non divulgué officiellement |
| Ameli (Assurance maladie) | Données de santé, numéros de sécurité sociale | Plusieurs centaines de milliers |
| ANTS | Données administratives (permis, immatriculations) | Non divulgué officiellement |
La CNIL (Commission Nationale de l'Informatique et des Libertés) reçoit chaque année des milliers de notifications de violations de données. En 2023, elle en avait enregistré plus de 4 000, soit une hausse de 20 % par rapport à l'année précédente. Ces chiffres illustrent une tendance que le témoignage de "Yeah" vient confirmer de manière crue.
Chaque fuite génère une chaîne de risques pour les particuliers. Une adresse e-mail compromise peut devenir le point de départ d'une campagne de phishing. Un numéro de sécurité sociale peut servir à ouvrir des comptes frauduleux ou à usurper une identité auprès d'administrations. La valeur des données personnelles ne se mesure pas seulement à leur prix de revente, mais surtout au préjudice qu'elles peuvent causer.
Ce que ce témoignage révèle sur la vulnérabilité des systèmes français
Le cas "Yeah" soulève des questions fondamentales sur la sécurité informatique des organisations françaises, qu'elles soient publiques ou privées. Comment un individu aussi jeune parvient-il à s'infiltrer dans des systèmes qui hébergent des données aussi sensibles ? La réponse tient souvent à des failles connues mais non corrigées, à des mots de passe réutilisés ou à des configurations mal sécurisées.
L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) publie régulièrement des recommandations pour renforcer la cybersécurité des organisations. Pourtant, leur application reste inégale, notamment dans des structures qui ne perçoivent pas encore la protection des données comme une priorité budgétaire. Un déficit de culture numérique persiste, y compris dans des administrations gérant des millions de dossiers sensibles.
Que faire si vos données ont été compromises ? Quelques réflexes simples peuvent limiter les dégâts :
- Vérifier régulièrement vos comptes bancaires pour détecter toute opération suspecte.
- Changer vos mots de passe sur les services concernés, en privilégiant des combinaisons longues et uniques.
- Signaler toute usurpation d'identité à la CNIL et déposer plainte auprès des autorités compétentes.
- Activer la double authentification sur tous vos comptes sensibles.
Le témoignage de "Yeah" agit ici comme un révélateur utile : la menace n'est pas abstraite, elle a un visage, une méthode et un marché. Comprendre ces mécanismes reste la première étape pour mieux protéger ses données personnelles et exiger des organisations qu'elles haussent leur niveau de sécurité. La prochaine violation de données pourrait concerner n'importe quel Français, dès lors que ses informations transitent par un système insuffisamment protégé.