Des milliards de données en fuite : comment BrixHub & co mettent les femmes en danger

Et si votre numéro de téléphone, votre adresse, voire vos coordonnées bancaires, étaient accessibles à tout le monde, gratuitement et en un seul clic ? C'est déjà probablement le cas sur des plateformes qui divulguent des données volées. C'est pourquoi le gouvernement français et de nombreuses associations alertent sur l'illégalité de ces moteurs de recherche, qui effacent toute frontière entre vie publique et vie privée, jetant en pâture des profils vulnérables à des utilisateurs potentiellement malveillants.

Dans le jargon de la cybersécurité, ce type de plateforme est appelé un "lookup" (qui signifie recherche, ou consultation, en français). Le plus connu d'entre eux est BrixHub, un site enregistré en Russie, spécialisé dans le référencement et l'agrégation de données personnelles volées.

En libre accès, il se targue d'indexer pas moins de 11 milliards de données personnelles, issues de fuites de données en provenance de sites divers, aussi bien privés (Boulanger, Colis privé, Facebook, Fitness Park, Canva), que publics (France Travail, France Connect). Une activité illégale qui a conduit, le 5 octobre dernier en France, la ministre déléguée chargée de l'Intelligence artificielle et du Numérique, Anne Le Hénanff, à saisir la justice.

Le 20 octobre, des militants se sont réunis à Bercy, près du ministère de l’Économie et des Finances, pour enjoindre l’État à mettre des moyens concrets afin de protéger les données de la population.

Car parmi tous les profils divulgués, certains sont particulièrement à risque. Si les personnalités publiques sont souvent citées, les associations de défense des droits des femmes dénoncent un risque majeur pour les militantes, et les femmes de manière générale.

"Nous, associations féministes, alertons sur les risques immédiats encourus par les femmes et demandons au gouvernement une réponse à la hauteur du danger", écrivent une quinzaine d'organisations dans une tribune publiée mardi 27 octobre sur Mediapart.

"Si ces fuites mettent tout le monde à risque, elles exposent particulièrement les femmes et les filles", écrivent les associations dans leur tribune. En quelques clics, leurs données deviennent une arme, capable de transformer la haine en ligne en violence bien réelle.

Mise en danger directe

"Pour les femmes victimes de violences conjugales qui fuient leur agresseur, la confidentialité du numéro de téléphone ou de l'adresse postale est une condition essentielle à leur sécurité. La loi le reconnaît", précisent pourtant les associations signataires de la tribune. "La fuite de ces informations constitue donc une mise en danger directe", alors que pour la deuxième année consécutive, le nombre de féminicides par conjoint ou ex-conjoint a augmenté en France (111 recensés en 2025, contre 107 en 2024, et 96 en 2023).

Dans le cadre de la protection des femmes fuyant des violences conjugales, des mesures ont en effet été mises en place par les pouvoirs publics afin de garantir le secret de leurs données personnelles sur leurs documents administratifs, notamment fiscaux. Des mesures que ces plateformes rendent inutiles en rendant publiques les informations.

Pour d'autres femmes, la question ne se limite pas à la confidentialité administrative : ces fuites de données deviennent un pont direct entre cyberviolences et agressions dans la vie réelle.

Un danger qui concerne particulièrement les femmes militantes, journalistes, élues ou engagées dans la défense des droits, ainsi exposées au doxxing (divulgation non consentie d'informations et de données personnelles dans une volonté de nuire), peut-on lire dans la tribune publiée sur Mediapart.

Du cyberharcèlement à l'agression physique

"Avant-même que leurs données n'aient fuité, [ces femmes] recevaient déjà des menaces de viol ou de mort émanant de centaines de personnes", décrit le texte. "Si hier, ces agresseurs devaient chercher longtemps pour localiser leur cible, aujourd'hui, une adresse peut être accessible en quelques clics".

"Souvent, des cyberviolences découlent des violences dans l'espace physique", explique Hannah*, membre de l'association Feminists* 4 Digital rights, elle-même victime de ces fuites de données.

"À titre personnel, j'ai déjà été victime de raids de cyberharcèlement, aussi bien de 'monsieurs-tout-le-monde' que de masculinistes. Et heureusement qu'il n'y avait aucune de mes données personnelles en ligne", raconte-t-elle, expliquant avoir déjà été reconnue et agressée dans la vie physique.

"C'était lors d'une rencontre par hasard. Mais que se passe-t-il le jour où mon adresse est diffusée en ligne ? C'est un danger qui s'amplifie".

"Tu coupes une tête, deux autres repoussent"

D'autant que sur le web, BrixHub est loin d'être le seul, et les moteurs de recherche illégaux se dupliquent sans arrêt.

"Trop de hype et des unes partout pour… une seule plateforme parmi des dizaines encore en ligne aujourd’hui", écrit sur X un membre de la communauté Osint. "Toutes les fuites de données françaises des dernières années ont fini par créer un monstre incontrôlable et un trafic de données juteux. Ce monstre est un hydre, tu coupes une tête, deux autres repoussent derrière".

"Ça fait très peur, et pour l'instant, on n'a pas de moyen technique d'empêcher la republication de ce type de sites", poursuit Alice Apostoly, co-rédactrice de la tribune, chargée de plaidoyer pour l'association Féministes contre le cyberharcèlement. "C'est la responsabilité de l'État de gérer ce genre de choses", poursuit-elle, évoquant notamment la protection des données stockées par des plateformes publiques.

"Comment cela a pu émaner de plateformes gouvernementales comme France Travail, Ameli, impots.gouv, ou encore France Connect ?", s'indigne Hannah.

"Pourquoi est ce qu'on court derrière l'innovation à l'heure de l'IA, alors que la cybersécurité de base n'est même pas assurée ?", demande-t-elle encore.

En janvier 2026, la Commission nationale de l'informatique et des libertés (Cnil) a sanctionné France Travail (anciennement Pôle Emploi) d’une amende de 5 millions d’euros pour ne pas avoir assuré la sécurité des données des personnes en recherche d’emploi, dont près de 36,8 millions de personnes ont été exposées par une fuite.

"Impossible de supprimer toutes ces données"

Plus que jamais, "c'est de la responsabilité de l'État d'engager plus de moyens", estime Alice Apostoly, également co-directrice de l'Institut du genre en géopolitique (IGG).

Les serveurs de BrixHub étant basés en Russie, les autorités françaises ne peuvent pas agir directement sur ce type de plateformes. "Mais des moyens doivent être prévus en conséquence : pour davantage protéger les femmes victimes de violences conjugales, pour dédommager les entreprises qui ont été attaquées, et répondre à un devoir d'information", énumère l'experte.

"C'est très compliqué, voire impossible, de supprimer toutes ces données sur le long terme", rappelle Alice Apostoly.

Ce genre de sites permet tout de même aux personnes concernées de faire supprimer ces informations... moyennant paiement, évidemment. À tous ceux qui seraient tentés, une seule consigne est donnée : ne payez sous aucun prétexte. La fuite d'origine continuera dans tous les cas de circuler, les bases piratées étant souvent copiées, revendues et indexées par plusieurs plateformes.

Mais si, pour les données déjà divulguées, cela semble être "trop tard", les associations signataires de la tribune exigent toutefois de l'État qu'il n'aggrave pas la situation. Dans leur viseur, notamment, le projet de loi visant à interdire l'accès aux réseaux sociaux pour les jeunes de moins de 15 ans, et imposant à toute personne souhaitant accéder à ces plateformes un contrôle de son identité via le partage de données biométriques.

Des données (ADN, contour de la main, empreintes digitales, reconnaissance faciale...) qui sont considérées en Europe comme particulièrement sensibles par le règlement général sur la protection des données (RGPD).

Appelant à cesser de générer davantage de données, et à renforcer les moyens de la Cnil et de la plateforme Pharos, Alice Apostoly estime enfin indispensable d'augmenter les capacités des associations féministes, "en première ligne dans l'accueil et l'accompagnement (notamment psychologique) des victimes".

En attendant, ces associations ont créé une adresse e-mail (soutien-brixhub@protonmail.com) dans le but de recenser les plaintes des victimes de ces fuites de données, et monter un dossier auprès de la section cyber du parquet de Paris. Pour que les informations partagées par les internautes ne fassent plus d'eux – et surtout d'elles – des cibles.