Bloctel piraté la veille de sa fermeture : 3 millions de numéros de téléphone volés

Le service censé protéger les Français du démarchage téléphonique s'est éteint le 11 août 2026 en exposant les numéros de téléphone de ceux qu'il était censé défendre. La DGCCRF a confirmé le 12 août qu'un accès frauduleux à un compte professionnel avait permis à un cybercriminel de récupérer 3 millions de numéros de téléphone, dont 600 000 appartenant à des inscrits Bloctel. Une violation de données textbook, survenue au pire moment possible pour la crédibilité du dispositif.

Ce qui s'est passé

Bloctel, la liste nationale d'opposition au démarchage téléphonique, était opérée pour le compte de la DGCCRF par la société Consoprotec. Selon le communiqué officiel du 12 août, un cybercriminel a usurpé un compte professionnel pour télécharger des fichiers contenant 3 millions de numéros de téléphone, dont 600 000 inscrits sur la liste Bloctel elle-même. Aucune autre donnée — nom, adresse postale, email — n'aurait été exposée : seuls les numéros et un identifiant de compte interne auraient fuité.

Une première alerte avait déjà circulé le 6 août sur un forum cybercriminel, avec une revendication portant sur environ 2,3 millions de comptes et 2,4 millions de numéros distincts, selon Fuites Infos. La DGCCRF précise que le compte compromis a été bloqué dès la détection de l'incident, que l'ensemble des comptes professionnels a été vérifié, et que la base de données Bloctel n'a pas été compromise directement. La CNIL a été notifiée et les personnes concernées informées par email — un respect a priori des obligations de notification à l'autorité de contrôle et de communication aux personnes concernées.

Le timing n'est pas anodin : cet incident survient la veille de la fermeture définitive de Bloctel, actée par la loi du 30 juin 2025 contre les fraudes aux aides publiques. Depuis le 11 août 2026, la France a basculé vers un régime de consentement préalable obligatoire (opt-in) pour tout démarchage téléphonique auprès des particuliers : c'est désormais à l'entreprise de prouver qu'elle dispose d'un accord clair du consommateur avant d'appeler, et non plus au consommateur de s'inscrire sur une liste d'opposition.

Pourquoi c'est important

Sur le papier, la fuite semble limitée : « seulement » des numéros de téléphone, sans nom ni adresse. Mais un numéro de téléphone est une donnée personnelle à part entière au sens de l'article 4 du RGPD, et son exposition en masse — couplée à un identifiant de compte — suffit à alimenter des campagnes de phishing par SMS (smishing) ou de vishing ciblé. Le contexte aggrave le risque : les personnes touchées sont, par définition, des consommateurs qui avaient explicitement cherché à se protéger du démarchage. Des fraudeurs pourraient exploiter cette confiance en se faisant passer pour Bloctel, la DGCCRF ou la CNIL elle-même — un scénario que la CNIL a déjà documenté après d'autres fuites, avec des courriels frauduleux usurpant son identité pour piéger les victimes.

L'incident illustre aussi que l'obligation de sécurité de l'article 32 du RGPD — contrôle des accès, authentification renforcée, surveillance des comptes à privilèges — s'applique à tout responsable de traitement ou sous-traitant, y compris lorsqu'il opère un service public. Un compte professionnel unique compromis a suffi à exposer 3 millions de numéros : la défaillance ne se situe pas dans la base de données elle-même, mais dans le contrôle d'accès qui y menait.

Ce que ça change pour les organisations

Pour les entreprises qui font du démarchage téléphonique, la bascule vers l'opt-in change la donne indépendamment de cet incident : il ne suffit plus de vérifier l'absence d'un numéro sur Bloctel, il faut désormais être en mesure de prouver un consentement préalable, explicite et traçable. Les DPO doivent revoir leurs scripts de collecte de consentement téléphonique et leurs preuves d'opt-in en conséquence.

Pour tout organisme gérant des comptes professionnels à privilèges — DPO, RSSI, prestataires publics ou privés — l'épisode Bloctel est un rappel opérationnel simple : l'authentification multifacteur et la limitation des droits d'export sur les comptes donnant accès à des bases de données massives ne sont pas optionnelles, surtout en période de transition ou de fin de vie d'un service, quand la vigilance a tendance à baisser.

Ce que Leto pense de cette décision

Il y a une ironie amère à voir un dispositif conçu pour protéger les Français du démarchage se faire pirater ses propres inscrits la veille de sa fermeture. Mais au-delà de l'ironie, cet incident rappelle une règle que beaucoup d'organisations continuent de sous-estimer : la sécurité d'un traitement ne se mesure pas à la robustesse de la base de données, mais à celle du maillon le plus faible qui y donne accès — ici, un compte professionnel. La DGCCRF a plutôt bien géré la communication post-incident (notification CNIL, information des personnes, transparence sur le périmètre), ce qui n'était pas garanti vu le contexte de fermeture précipitée du service. Reste que cet épisode aurait dû être anticipé : décommissionner un service ne dispense jamais de sécuriser ses accès jusqu'au dernier jour.

Sources : DGCCRF — Communiqué de presse du 12 août 2026, Fuites Infos, iGeneration