3 millions de numéros de téléphone récupérés par un cybercriminel. C'est le bilan de la fuite qui a touché Bloctel, le service public d'opposition au démarchage téléphonique, juste avant sa fermeture définitive le 11 août 2026. Parmi eux, 600 000 numéros inscrits sur la liste d'opposition. La CNIL a été notifiée. Les personnes concernées ont reçu un mail.
Le point intéressant pour toi, patron ou responsable d'une PME dans la métropole lyonnaise, ce n'est pas le sensationnel. C'est le mode opératoire. Pas de faille génialissime. Un compte pro sans double authentification. Des numéros affichés en clair. C'est exactement ce qui traîne dans beaucoup de PME de la région. On décrypte.
Ce qui s'est passé, sans le vernis
Selon les chiffres officiels de la DGCCRF, un accès frauduleux à un compte professionnel a permis à un attaquant de télécharger des fichiers contenant 3 millions de numéros. Bonne nouvelle relative : aucune donnée personnelle complémentaire (nom, adresse) n'aurait été divulguée. Juste des numéros. Mais un numéro seul, ça suffit à alimenter du démarchage abusif, du smishing et de l'usurpation.
Le mécanisme est basique. Bloctel proposait un service de consultation aux entreprises, pour purger leurs fichiers de prospection. Un compte utilisateur de ce service a été compromis. L'absence de double authentification (MFA) a laissé la porte ouverte. Une fois dedans, l'attaquant a vu les numéros affichés en clair dans les résultats de recherche. Il les a récupérés. Point.
Les identifiants volés viennent peut-être d'une fuite antérieure, l'origine exacte n'est pas confirmée. Mais la leçon est déjà là : un mot de passe réutilisé ailleurs, qui fuite un jour sur un autre service, ouvre une porte chez toi. Et les données de Bloctel ont fini mises en ligne gratuitement sur un forum cybercriminel. C'est le circuit classique.
Pourquoi ton fichier clients est une cible de choix
Un fichier de contacts, ça se revend, ça se troque, ça se diffuse. C'est du carburant direct pour d'autres attaques. Un lot de numéros valides permet de lancer des campagnes de démarchage, du phishing par SMS, ou de crédibiliser une arnaque téléphonique. Plus le fichier est propre et à jour, plus il vaut cher côté cybercriminels.
Le problème, c'est que les PME sous-estiment trois choses.
- Le point d'entrée est banal. Pas besoin d'une attaque sophistiquée. Un compte pro sans MFA, un mot de passe faible ou réutilisé, et c'est plié. C'est le schéma le plus fréquent relevé par les analystes.
- L'affichage en clair est une erreur invisible. Sur Bloctel, les numéros apparaissaient en clair dans l'interface de recherche. Dans ton CRM, ton outil métier, ton back-office, combien de données sensibles sont visibles à l'écran sans aucun masquage ? Personne n'y pense, jusqu'au jour où un compte est piraté.
- La surface d'exposition grandit. Plus tu multiplies les outils connectés à ton fichier clients (CRM, mailing, prospection, IA), plus tu multiplies les portes.
La checklist que ta PME doit passer maintenant
Le contexte a changé. La CNIL ne vise plus que les grands groupes. En 2025, elle a prononcé 83 sanctions pour 487 millions d'euros d'amendes cumulées, et 32 % des entreprises contrôlées étaient des TPE ou PME. Plus d'un tiers des sanctions visait des petites structures. Le point commun de la plupart : elles n'avaient rien commis de spectaculaire. Elles avaient juste arrêté de s'occuper du RGPD après 2018.
Autre signal à connaître : la procédure simplifiée représente désormais 80 % des sanctions. Plafond de 20 000 euros, certes loin des 20 millions ou 4 % du chiffre d'affaires de la procédure ordinaire. Mais 20 000 euros pour un manquement courant, sur une TPE lyonnaise, ça fait mal. Et ça arrive plus vite qu'avant.
Voici ce que tu vérifies, dans l'ordre.
1. MFA sur tous les accès distants
C'est la première priorité affichée par la CNIL pour 2026, et c'est exactement ce qui manquait chez Bloctel. Messagerie, CRM, outils métier, VPN, admin de ton site : partout où un compte donne accès à des données, tu actives la double authentification. Début 2026, Free (42 M€) et France Travail (5 M€) ont été sanctionnés notamment pour absence de MFA et droits d'accès trop larges. Le même angle que Bloctel.
2. Audit des droits d'accès
Qui accède à quoi ? Un commercial parti il y a six mois a-t-il encore un compte actif ? Un prestataire a-t-il des droits qu'il ne devrait plus avoir ? Le principe : chacun n'accède qu'à ce dont il a besoin. Rien de plus.
3. Masquage des données affichées
Regarde tes interfaces métier. Est-ce que les numéros de téléphone, emails, coordonnées bancaires s'affichent en clair pour tout le monde ? Si oui, tu reproduis la faille Bloctel. Masque partiellement ce qui peut l'être.
4. Mots de passe uniques et gestionnaire
La fuite Bloctel serait partie d'identifiants récupérés ailleurs. Un mot de passe par service, jamais réutilisé, stocké dans un gestionnaire. C'est gratuit ou presque, et ça coupe le circuit le plus courant.
5. Une procédure de gestion des violations
En cas d'incident, le RGPD impose une notification à la CNIL sous 72 heures. Le délai part du moment où tu as connaissance suffisamment certaine de la violation et de son risque. Concrètement : tu enregistres la date et l'heure auxquelles toi, ton délégué à la protection des données ou ton prestataire a reçu l'alerte crédible. Prépare la procédure avant d'en avoir besoin, pas pendant la panique.
Le lien avec la conformité : Bloctel ferme, les règles durcissent
Ne te trompe pas d'histoire. Bloctel n'a pas disparu à cause du piratage. Le service a pris fin le 11 août 2026, conformément à la loi du 30 juin 2025 sur le démarchage téléphonique. La France est passée à un régime d'opt-in : le consentement préalable devient obligatoire pour démarcher un particulier par téléphone.
Traduction pour ta PME si tu fais de la prospection : tout appel commercial doit désormais être précédé d'un consentement explicite, préalable et traçable. Et c'est à toi d'en apporter la preuve. Bien plus exigeant que la simple purge Bloctel d'avant. Tu ne peux plus te contenter de nettoyer ton fichier contre une liste d'opposition. Tu dois pouvoir démontrer que chaque personne appelée a dit oui.
Point juridique à ne pas rater : la question n'est pas seulement de savoir si un numéro a fuité. Un numéro de téléphone reste une donnée à caractère personnel, même copié dans une base, transmis par un partenaire ou récupéré après une fuite. Donc pour chaque fichier, demande-toi : ai-je le droit de conserver ces contacts, de les croiser, de les appeler ? Si tu ne peux pas justifier la base légale, tu es exposé. On détaille ces règles dans notre article RGPD et IA en entreprise : ce que vous pouvez faire, ce que vous ne pouvez pas.
Les outils d'IA qui touchent à tes données clients
C'est là que ça se corse pour beaucoup de PME de la région. Aujourd'hui, tu utilises sans doute des outils d'IA qui manipulent ton fichier clients : qualification de leads, rédaction de messages, enrichissement de contacts, chatbot support. Chaque outil qui traite ces données est un maillon supplémentaire à sécuriser.
La CNIL l'a d'ailleurs acté : elle place l'intelligence artificielle et la cybersécurité au cœur de ses priorités 2026, avec le projet PANAME d'audit des modèles d'IA. Autrement dit, brancher une IA sur tes données clients sans réflexion, c'est ajouter une exposition que le régulateur regardera de près.
Trois réflexes de base.
- Sais-tu où partent tes données ? Quand tu colles un fichier de contacts dans un outil d'IA, il va où, il est conservé combien de temps, sert-il à entraîner un modèle ? À vérifier dans le contrat. On traite le sujet dans Contrat avec un fournisseur d'IA : les clauses à lire deux fois.
- Anonymise ce qui peut l'être. Avant d'envoyer des données personnelles à un modèle, retire ou masque ce qui n'est pas indispensable au traitement. Méthode détaillée dans Anonymiser ses données avant de les envoyer à un modèle.
- Fixe une durée de conservation. Garder des contacts indéfiniment, dans ton CRM comme dans tes outils IA, c'est un risque pur. Pour cadrer ça, voir Écrire une politique de conservation des données pour ses outils IA.
La fuite Bloctel, comme le piratage des impôts qu'on a analysé dans Piratage des impôts : ce que les 680 000 fuites disent aux entreprises, raconte toujours la même histoire. Ce ne sont pas les attaques les plus complexes qui font le plus de dégâts. Ce sont les basiques négligés.
Par où commencer cette semaine
Tu n'as pas besoin d'un chantier de six mois. Trois actions à lancer tout de suite :
- Active le MFA sur tes accès les plus sensibles (messagerie, CRM, admin). C'est l'action qui aurait empêché la fuite Bloctel.
- Liste tes fichiers clients et pour chacun, réponds : où sont les données, qui y accède, ai-je le droit de les utiliser, quels outils IA y touchent.
- Prépare ta procédure de notification pour tenir le délai de 72 heures le jour où un incident arrive.
La CNIL contrôle désormais les PME. Les attaquants visent les fichiers de contacts. Et le cadre du démarchage s'est durci. Les trois pointent vers le même endroit : la façon dont tu gères tes données clients. Autant s'y mettre avant que quelqu'un d'autre décide pour toi.
Laisser un commentaire