Introduction

Alors qu’il est officiellement obsolète depuis le 11 août dernier, le service Bloctel prend sa retraite dans un coup d’éclat : celui d’un piratage ayant potentiellement compromis jusqu’à 3 millions de numéros de téléphone de Françaises et Français. Révélé par le site spécialisé French Breaches, le piratage a été confirmé en début de semaine par l’État.

Un piratage « simple » mais aux conséquences majeures

L’intrusion ne provient pas d’une attaque complexe contre les serveurs de l’État, mais d’une vulnérabilité élémentaire : un compte professionnel utilisé par une entreprise n’était pas protégé par une authentification à deux facteurs (2FA). Cette faille a permis à un tiers non autorisé de s’introduire dans le système et de télécharger des fichiers contenant 3 millions d’enregistrements de numéros de téléphone.

Bien que le volume de lignes compromises soit massif, la DGCCRF précise que cela ne correspond pas forcément à 3 millions de victimes uniques, car un utilisateur peut enregistrer plusieurs numéros. Cependant, sur une base de 14,3 millions de numéros enregistrés au niveau national, cette fuite touche une partie significative de la population française.

Le contenu des données volées est limité : seuls les numéros de téléphone ont été exposés, sans aucun nom, adresse ou information personnelle supplémentaire. Néanmoins, pour des cybercriminels, ces listes sont une mine d’or pour organiser des campagnes de phishing (hameçonnage) ou des appels frauduleux de grande ampleur — surtout grâce au concours de l’intelligence artificielle.

Un changement de paradigme pour le démarchage en France

Ce piratage survient dans un contexte de transition législative majeur. Depuis le 11 août 2026, le système de « liste d’opposition » (où le consommateur se manifestait pour être laissé tranquille) est remplacé par un système de « consentement préalable ». Désormais, une entreprise doit obtenir l’accord explicite de l’utilisateur avant de pouvoir le contacter.

Cette mutation du cadre légal rend la liste Bloctel obsolète, puisque le principe de l’opposition est remplacé par celui de l’autorisation. Pour les utilisateurs dont les numéros ont été compromis, le risque est de voir ces données exploitées par des acteurs malveillants pour des sollicitations non désirées, malgré le changement de règles pour les entreprises légitimes.

L’incident souligne également une règle d’or en cybersécurité : la protection d’un compte professionnel est aussi cruciale que celle d’un compte personnel.