Sites web, bots Telegram : la vente de données personnelles se démocratise... et se démultiplie
C'est l'explosion. Ces derniers mois, les outils de recherche (look up) alimentés par des données personnelles de Français se multiplient à vitesse grand V. Sur Telegram, Discord, le dark web ou même le clear web, ces services illégaux promettent à leurs utilisateurs de trouver un maximum d'informations personnelles sur une cible. A partir du nom, du numéro de téléphone ou de l'adresse e-mail d'une personne, un utilisateur peut accéder à des informations sensibles telles que ses données bancaires, sa plaque d'immatriculation, son numéro de sécurité sociale, son adresse postale, son employeur, sa date de naissance, sa profession, etc. En cette mi-juin, c'est notamment le moteur de recherche Searcher temporairement en accès libre, qui fait l'actu. Toutefois, cette plateforme est loin d'être unique et s'inscrit dans un écosystème bien plus vaste.
"Ces outils existent depuis des années en Russie mais, en France, c'est tout nouveau. J'ai commencé à les voir apparaître en 2025", indique David Sygula, directeur du pôle cyber threat intelligence d'Anozr Way. "C'est plus récent en France à cause de l'accélération des fuites de données sur le territoire. La quantité de données désormais disponibles rend plus pertinent qu'auparavant le développement de ces services spécialisés sur des données françaises", ajoute Nicolas Caproni, directeur du pôle recherche et détection des cybermenaces chez Sekoia. Pour séduire toujours plus d'utilisateurs, ces outils empruntent parfois l'apparence d'un site professionnel et légitime.
Des outils disponibles même sur le clear web
C'est souvent en naviguant sur des forum cybercriminels que l'on accède aux services de look up. "Les développeurs de ces outils se servent de ces forums pour en faire la publicité dans des messages qu'ils postent. Ces derniers temps, la promotion de ces outils est éparpillée dans beaucoup de forums : BreachForum, DarkForum, Dread, Leakbase, etc. Dedans, ils expliquent qu'ils ont développé un super outil de look up", observe David Sygula.
Parmi les services promus, il existe les bot Telegram ou Discord. Le coût de la requête sur un bot Telegram ou Discord est en moyenne de 50 centimes d'euros. A l'issue d'une période d'essai gratuite, l'utilisateur se voit proposer différentes formules d'abonnement, comme celui allant de 10 euros pour 15 recherches à 300 euros pour 1 000 recherches dans le cadre d'une offre "pack business". Le paiement est effectué en cryptomonnaies. "Les administrateurs de Telegram ou Discord stoppent ces services fréquemment. Mais ils réapparaissent ensuite sous un autre nom. C'est donc un processus infini", regrette Georgy Kucherin, chercheur chez Kaspersky.
Toutefois, les bots Telegram ou Discord sont souvent difficiles d'accès, et réservés aux connaisseurs de ces applications. Afin de rendre leur offre plus accessible, les développeurs la proposent de plus en plus fréquemment via des sites web, parfois directement sur le web public. "Quand on arrive sur ces sites web, ce qui saute aux yeux, est qu'ils font très professionnels. On a l'impression qu'il s'agit de sites complètement légaux et légitimes", observe David Sygula.
Ces sites web se présentent comme des plateformes d'Osint professionnel, alors même qu'ils mettent en avant leur capacité à trouver des informations personnelles sur des cibles. Quand Breach2Bz se présente comme "Le moteur de recherche pour les recherches OSINT et les professionnels", la plateforme BrixHub s'affirme comme "La plateforme OSINT pour les enquêteurs, les chercheurs sécurité, les équipes OSINT".
Le site web Breach2Bz indique même que son service est "destiné à un usage légitime", "éducatif et préventif uniquement". "J'ai déjà vu un site qui expliquait même qu'il était conforme au RGPD", raille David Sygula.
De jeunes développeurs
Ces sites s'appuient également sur Telegram et Discord pour fidéliser leur communauté. Ils proposent généralement un service client accessible via ces messageries, parfois complété par un bot offrant les mêmes fonctionnalités que la plateforme web. Des groupes de discussion permettent aussi aux utilisateurs d'échanger entre eux, de partager leurs expériences et de s'entraider. Certains demandent de l'aide à d'autres utilisateurs pour trouver des informations complémentaires sur une cible, parfois à des fins de harcèlement, intimidation, ou vengeance. Quand ils sont directement accessibles depuis le clear web, comme les plateformes Breach2Bz et BrixHub, ils ouvrent donc les portes du dark web de Telegram ou Discord à des utilisateurs non-initiés.
"Il y a quelques mois, sur un forum, un jeune qui avait monté une plateforme était tellement content de ce qu'il avait produit qu'il avait partagé ses statistiques d'utilisation. Et elles étaient bonnes : il avait déjà plusieurs centaines d'inscrits au bout d'un mois et plusieurs milliers de requêtes enregistrées". De leur côté, BrixHub revendique près de 140 000 utilisateurs et Breach2Bz presque 150 000. Ces plateformes proposent généralement des forfaits hebdomadaires ou mensuels de cinq à dix euros environ.
"En les suivant depuis un certain temps, j'ai l'impression que ceux qui créent ces plateformes et bots sont de jeunes passionnés d'informatique, au lycée par exemple, qui ont envie de lancer leur projet, grâce à toutes les nouvelles fuites de données. Il y a des guerres entre eux sur Discord, et ils font en sorte de faire sauter le bot ou la plateforme des concurrents. C'est à qui aura le plus de données agrégées" pour offrir le service considéré comme le plus complet et performant, ajoute David Sygula.
Les données utilisées par ces développeurs comprennent habituellement "les bases issues des données fuitées et piratées, des bases de mots de passe, des données WHOIS, etc." Breach2Bz affirme détenir 420 bases indexées. Parmi les bases de données mentionnées, certaines remontent aux années 2010. D'autres sont plus récentes, comme les fuites qui ont touché Boulanger en 2024, Bouygues Telecom en 2025, Cegedim en 2026, plusieurs lycées en 2026, ainsi que la Fédération française de judo la même année. De son côté, BrixHub affirme exploiter quelque 600 bases de données issues de fuites ayant notamment concerné Leroy Merlin, Bouygues Telecom, Decathlon, la Fédération française de basket-ball, Doctolib, Meetic, mais aussi l'Agence nationale des titres sécurisés.
"Pour leurs outils, les développeurs font parfois appel à des prestataires comme la plateforme d'Osint Intelligence X. C'est une référence dans le domaine de la récupération de données piratées par infostealer. Et j'en lis beaucoup se targuer d'y avoir des accès : ils opèrent donc comme proxy entre l'utilisateur final et cette fameuse plateforme payante". Comme quoi, entre certaines plateformes d'Osint et la cybercriminalité, il n'y a parfois qu'un pas…
Suite à la publication de cet article, Telegram nous a adressé cette précision : "La vente ou le partage de données personnelles sans consentement (doxing) constitue une violation explicite de nos conditions d'utilisation et est strictement interdite sur Telegram. Nos équipes de modération suppriment de manière proactive ce type de contenus ainsi que les bots et chaînes qui les diffusent, conformément à nos obligations au titre du DSA. Des statistiques quotidiennes et des informations complémentaires sur la modération sont disponibles ici : https://telegram.org/moderation"