Le 23 juillet 2026, le Conseil de l’Union européenne a approuvé le rétablissement, jusqu’au 3 avril 2028, d’un régime temporaire autorisant les plateformes à analyser les communications privées pour détecter et censurer certains contenus pédocriminels, dans le cadre de la réforme dite « Chat Control 1.0 ». Parallèlement, les négociations se poursuivent pour un cadre permanent plus large, surnommé « Chat Control 2.0 ». Selon Cryptoast, ces mesures ont été suivies, dès le 25 juillet, par des cyberattaques revendiquées par des hackers, exposant les données personnelles de responsables politiques et d’agents de l’État français.

Ce qu'il faut retenir

  • 24 eurodéputés français ciblés dans une opération de doxing, avec publication de leurs adresses privées, numéros de téléphone, adresses e-mail et photographies.
  • 111 528 agents du ministère de l’Intérieur exposés, principalement des membres de la Gendarmerie nationale, avec leurs noms, identifiants internes et adresses e-mail professionnelles ou personnelles.
  • Les données ont été diffusées sur des forums cybercriminels, sans preuve d’un piratage direct des systèmes institutionnels, mais via un recoupement d’anciennes fuites.
  • Le groupe LunarisSec a adressé un ultimatum à l’Union européenne exigeant l’abandon de Chat Control et davantage de transparence sur le partage des données.
  • Ces attaques illustrent les risques liés à la collecte massive de données par l’État, qui peut se retourner contre ses propres représentants.

Une réforme controversée au cœur de tensions cybernétiques

Adopté le 23 juillet 2026 par le Conseil de l’UE, le dispositif « Chat Control 1.0 » prolonge jusqu’en avril 2028 une mesure temporaire permettant aux plateformes de surveiller les communications privées pour lutter contre la pédocriminalité en ligne. Ce texte s’inscrit dans une logique de renforcement des outils de contrôle, alors que les négociations pour un cadre permanent, « Chat Control 2.0 », sont en cours. Selon Cryptoast, ces décisions ont immédiatement suscité des réactions hostiles au sein de la communauté cyber, avec des groupes hacktivistes décidant de riposter en ciblant les acteurs politiques et administratifs associés à ce projet.

Dès le 25 juillet, soit 48 heures après l’approbation du texte, un cybercriminel a revendiqué la publication d’un dossier contenant les données personnelles de 24 eurodéputés français, jugés favorables au dispositif ou responsables de son maintien. Les informations exposées incluent des adresses privées, des numéros de téléphone, des adresses e-mail et des photographies, compilées à partir de fuites antérieures et non issues d’un piratage direct des systèmes du Parlement européen.

111 000 agents du ministère de l’Intérieur touchés par une fuite massive

Le lendemain, 26 juillet 2026, un second fichier a été publié sur un forum cybercriminel. Celui-ci présentait les données de 111 528 agents du ministère de l’Intérieur, majoritairement issus de la Gendarmerie nationale. Les informations divulguées comprenaient les noms, identifiants internes et adresses e-mail, parfois personnelles, des agents concernés. Selon les informations rapportées par Cryptoast, cette fuite ne semble pas résulter d’un accès non autorisé aux systèmes de l’État, mais plutôt d’une compilation de données déjà exposées dans le passé.

Plusieurs des eurodéputés concernés auraient déjà effectué un signalement via PHAROS, la plateforme française de signalement des contenus illicites, afin de retirer leurs données des réseaux, mais sans succès. Ces opérations illustrent la difficulté croissante à protéger les informations personnelles dans un contexte où l’État lui-même multiplie les bases de données centralisées, devenant ainsi une cible privilégiée pour les cyberattaques.

L’ultimatum de LunarisSec : abandon de Chat Control et transparence renforcée

Le groupe LunarisSec, qui revendique ces attaques, a adressé un ultimatum distinct à l’Union européenne. Dans un communiqué, il exige l’abandon immédiat et définitif du projet Chat Control, la protection du chiffrement de bout en bout et une meilleure transparence sur le partage des données entre États membres. Le groupe affirme avoir identifié des vulnérabilités dans plusieurs systèmes européens, bien qu’aucune preuve technique n’ait été rendue publique à ce stade. Selon Cryptoast, ces revendications s’inscrivent dans une logique de résistance à ce que ses membres considèrent comme une dérive autoritaire, justifiée par la lutte contre la pédocriminalité mais perçue comme une atteinte aux libertés individuelles.

« Abandonnez immédiatement et définitivement le projet Chat Control [...] Sachez que nous avons déjà identifié les vulnérabilités de vos systèmes. »

— Message accompagnant la diffusion des données de 111 528 agents, selon Cryptoast

Quand la surveillance se retourne contre ses propres architectes

Ces cyberattaques soulignent un paradoxe majeur : l’État, en renforçant ses outils de surveillance et de collecte de données au nom de la sécurité, crée simultanément des failles exploitables par des tiers. Comme le rappelle Cryptoast, les élus et les agents de l’État, en dehors de leurs fonctions officielles, restent des individus utilisant les mêmes messageries et dépendant des mêmes infrastructures numériques que le reste de la population. Leurs données personnelles, une fois exposées, deviennent des armes contre ceux qui les ont collectées.

Le phénomène de doxing – la publication ciblée d’informations personnelles – ne devient pas légitime parce qu’il vise des responsables publics. Cependant, ces opérations imposent brutalement aux décideurs une réalité qu’ils sous-estiment souvent : l’impossibilité de légiférer contre les fuites de données. Plus l’État transforme Internet en une infrastructure d’identification et de contrôle, plus il alimente des fichiers susceptibles d’être retournés contre ses propres représentants. Comme le souligne Cryptoast, « Chat Control prétend renforcer la sécurité en réduisant la vie privée, alors que la vie privée constitue elle-même une protection et un prérequis au bon fonctionnement d’une démocratie ».

Et maintenant ?

Les prochaines étapes pourraient dépendre des réactions des institutions européennes et françaises face à ces cyberattaques. Si le groupe LunarisSec a fixé un ultimatum, aucun délai précis n’a encore été annoncé pour une réponse officielle. Par ailleurs, les enquêtes menées par les autorités cybernétiques devraient permettre de déterminer l’origine exacte des fuites et d’évaluer l’étendue des vulnérabilités exploitées. Enfin, le projet Chat Control 2.0, toujours en discussion, pourrait subir des modifications en réponse à ces événements, bien que son adoption semble déjà engagée. Les prochains mois seront décisifs pour évaluer l’impact de ces attaques sur la politique de surveillance numérique en Europe.

Ces événements rappellent, une fois encore, les risques inhérents à la centralisation des données par les États. Dans un contexte où les cybermenaces se multiplient, la protection des informations personnelles – y compris celles des responsables publics – reste un défi majeur pour les démocraties.

Ces attaques s’inscrivent dans une opposition frontale au projet Chat Control, perçu par ses détracteurs comme une mesure liberticide favorisant la surveillance de masse. Les hackers responsables ont clairement indiqué vouloir forcer l’abandon du dispositif en exposant les failles des systèmes qui le soutiennent, selon Cryptoast.

Le régime temporaire « Chat Control 1.0 » est valable jusqu’au 3 avril 2028. Parallèlement, les négociations pour un cadre permanent, « Chat Control 2.0 », sont en cours et pourraient aboutir d’ici la fin de l’année 2026 ou début 2027, selon le calendrier législatif de l’Union européenne.