Données volées : l'OFAC démantèle le « lookup » Reacher/Stryxx, qui revendiquait 730 millions de lignes

Le 6 octobre 2026, l'Office anti-cybercriminalité (OFAC) a interpellé les trois administrateurs de Reacher, rebaptisé Stryxx, un « lookup » qui revendiquait 730 millions de lignes de données personnelles issues de fuites. Selon ZDNet, il s'agit de trois adolescents de 17 ans, qui seront jugés le 14 janvier par le tribunal pour enfants de Paris. Pour un DPO, l'affaire rappelle qu'une fuite ne s'arrête pas à son incident : ses données sont ensuite indexées, croisées et revendues.

Ce qui s'est passé

D'après le chef de l'OFAC, Nicolas Guidoux, qui a annoncé l'opération le 8 octobre, l'office avait été saisi le 15 mai 2026 par la section J3 du parquet de Paris. Les trois administrateurs ont été interpellés le 6 octobre et la plateforme a été mise hors ligne. L'OFAC présente ce démantèlement comme le premier en France pour une plate-forme spécialisée dans la compilation et la revente de données volées.

Créé en mars 2026, Reacher/Stryxx revendiquait 730 millions de lignes indexées et plus de 3 millions de requêtes. Le service se vendait par abonnement ou par achat de crédits, avec trois modes de recherche et une fonction multi-critères. Selon ZDNet, les données accessibles allaient de l'IBAN au numéro de téléphone, en passant par l'immatriculation de véhicule.

Toujours selon ZDNet, les trois mineurs sont poursuivis pour recel d'extraction frauduleuse de données d'un système de traitement automatisé, détention et transmission frauduleuse de données, en bande organisée, et encourent dix ans d'emprisonnement. L'enquête serait partie d'un signalement de l'association e-Enfance, et une dizaine d'enquêtes viseraient des portails similaires.

Pourquoi c'est important

Ce démantèlement intervient au terme d'une séquence chargée. En juin, la ministre déléguée au numérique et un député avaient déjà saisi la justice contre ces moteurs de recherche de données volées (notre article de juin). Le 5 octobre, Anne Le Hénanff a annoncé avoir de nouveau saisi la procureure de Paris, au titre de l'article 40 du code de procédure pénale, au sujet d'un moteur de ce type, selon Next.

Pour les responsables de traitement, le sujet n'est pas pénal mais opérationnel. Un lookup transforme des fuites dispersées en un profil consolidé : un IBAN issu d'une fuite, une adresse issue d'une autre, un numéro de téléphone d'une troisième. C'est précisément ce que l'évaluation du risque pour les personnes doit intégrer. L'article 34 du RGPD impose de communiquer la violation aux personnes concernées lorsqu'elle est susceptible d'engendrer un risque élevé pour leurs droits et libertés. La possibilité de croiser les données exposées avec d'autres bases déjà en circulation pèse dans ce jugement.

La CNIL, rapporte ZDNet, signale systématiquement ces services au parquet, tout en reconnaissant qu'ils répondent à « un véritable besoin » : savoir si ses données ont été exposées. Elle indique réfléchir aux conditions dans lesquelles un tel moteur pourrait être « légalement mis en œuvre ».

Ce que ça change pour les organisations

• Revoir la grille d'évaluation des violations : intégrer le risque d'agrégation avec d'autres fuites, surtout pour les identifiants bancaires, les coordonnées et les données d'identité.
• Tenir à jour le registre des violations prévu à l'article 33, paragraphe 5, y compris pour les incidents non notifiés : c'est lui qui permet de savoir, plus tard, quelles données de vos fichiers peuvent circuler.
• Dans les communications aux personnes, donner des consignes concrètes : vigilance sur les appels et courriels qui citent leurs données, et ne jamais payer pour faire retirer ses données, comme l'a rappelé la ministre.
• Prévenir les équipes support : les victimes de fuites sont ciblées par de faux organismes de protection des données, comme la CNIL l'avait signalé (notre article).
• Relire la procédure de gestion des violations avec l'équipe sécurité, à l'aide de notre guide sur les fuites de données.

Ce que Leto en pense

La répression des lookups est une bonne nouvelle, mais elle traite l'aval. En amont, chaque organisation qui laisse fuir des données alimente ces bases, et leur effet se mesure des mois après l'incident. La meilleure réponse côté DPO reste une gestion des violations documentée et rapide, avec une évaluation du risque qui tient compte de ce que deviennent les données une fois sorties. C'est ce que Leto outille au quotidien : demandez une démo.

Sources

• ZDNet, « L'étau judiciaire se resserre contre les services douteux de look-up », 12 octobre 2026
• Nicolas Guidoux, chef de l'OFAC, publication LinkedIn sur le démantèlement de Reacher/Stryxx, 8 octobre 2026
• Next, « Lookups : la ministre du Numérique signale un nouveau site de données volées au parquet », 6 octobre 2026