En octobre 2026, un pirate informatique a affirmé avoir divulgué 469 169 enregistrements provenant de CJIS Online, une plateforme de formation utilisée par le FBI pour la formation des forces de l’ordre. Une publication pirate connue sous le nom de zataz a annoncé la mise en ligne de données prétendument issues de CJIS Online, un service proposant des formations sur la politique de sécurité du CJIS pour le FBI. Le jeu de données revendiqué inclurait des utilisateurs associés à 23 076 organisations et prestataires de services, avec leurs noms, coordonnées et statuts de compte. Cette potentielle exposition de données pourrait avoir des répercussions majeures sur l’écosystème judiciaire et policier américain. Toutefois, les informations fournies ne permettent pas de confirmer l’authenticité de l’ensemble des données, leur date d’extraction ou la méthode d’acquisition. Cette annonce fait suite à une prétention d’accès publiée en août 2025, mais aucun lien clair n’a été établi entre les deux événements. Les coordonnées professionnelles et les affiliations exposées dans l’annonce d’octobre 2026, analysées par zataz, décrivent CJIS Online comme une plateforme utilisée par la police américaine pour se former à la conformité avec la politique de sécurité du CJIS. Il convient de la distinguer des systèmes contenant des informations judiciaires ou des données d’enquête opérationnelle. Une fuite d’informations relatives aux comptes de formation ne signifie pas, en soi, une intrusion dans les bases de données criminelles du FBI. Selon la publication, le fichier contiendrait 469 169 enregistrements d’utilisateurs, répartis entre 23 076 organisations et prestataires de services. Le périmètre annoncé inclut des bureaux du FBI, des services de shérifs, des départements de police, des tribunaux, des parquets et des entreprises fournissant des technologies au secteur judiciaire. L’auteur revendique 248 825 adresses e-mail uniques, dont 35 256 en .gov (administrations publiques) et 861 en .mil (militaires), ainsi que 208 918 numéros de téléphone. Ces chiffres restent déclaratifs, et le message ne précise pas si les décomptes par extension concernent des adresses uniques ou des occurrences (doublons, etc.) dans les lignes du fichier. La répartition annoncée distingue 257 081 comptes actifs et 212 088 comptes inactifs. Les colonnes présentées couvrent l’identifiant de l’utilisateur, divers éléments du nom, l’adresse e-mail, le numéro de téléphone, l’organisation, le type de profil et le statut d’activation. Aucun champ de mot de passe n’apparaît dans la structure fournie. L’annonce décrit donc une exposition d’informations sur les utilisateurs, sans démontrer la possession de leurs moyens d’authentification. Il serait imprudent de supposer qu’il n’existe pas d’authentification à deux facteurs, physique et numérique, pour accéder à ces informations… espérons-le ! L’extrait fourni associe des profils à une unité de l’US Air Force, un service du Bureau des affaires indiennes, un département de police municipale, un bureau du FBI à New York et un service de shérif. Les catégories visibles incluent des profils informatiques et des prestataires de services. Ces affiliations correspondent à celles affichées dans l’échantillon ; leur exactitude et leur actualité restent à vérifier. Les enjeux dépassent largement un simple annuaire. Des noms liés à des fonctions, des organisations et des coordonnées professionnelles pourraient faciliter des tentatives de phishing ciblé ou d’usurpation d’identité de partenaires. Il s’agit d’un risque déduit de la nature des champs annoncés, et non d’une exploitation observée par zataz. Entre 2021 et 2025, plusieurs incidents distincts se sont produits. En novembre 2021, un incident avait déjà révélé une faille dans un service lié à l’environnement du CJIS. Le pirate Pompompurin (fondateur du forum Raid et actuellement incarcéré) avait affirmé avoir utilisé le portail LEEP pour envoyer de fausses alertes depuis une infrastructure du FBI. Les messages présentaient le chercheur Vinny Troia, fondateur de Shadowbyte, comme responsable d’attaques imaginaires. Selon les éléments historiques transmis, Spamhaus avait identifié deux vagues d’envoi, avec une portée estimée à au moins 100 000 boîtes mail. Les destinataires auraient été sélectionnés à partir de données ARIN. L’utilisation d’une infrastructure légitime avait donné aux messages un aspect institutionnel particulièrement trompeur. Selon les explications de Pompompurin à l’époque, des paramètres contrôlables depuis le navigateur permettaient de modifier l’objet et le contenu des e-mails de confirmation, puis d’automatiser leur envoi. Le FBI avait reconnu une mauvaise configuration logicielle, précisant que le serveur concerné était dédié aux notifications LEEP et isolé de sa messagerie professionnelle. En 2023, les pirates de BlackHat ont accédé aux machines du système judiciaire américain. En 2024, le pirate CarBanak a publié des centaines de documents, dont certains issus de LockBitSupp. En août 2025, sur DarkForums, le pirate l33tfg a annoncé avoir accès au CJIS. Aucun élément transmis à l’époque ne permettait cependant de confirmer qu’il ciblait CJIS Online, que l’accès était authentique ou qu’il avait conduit à l’extraction des 469 169 enregistrements que l33tfg affichait dans son annonce. En mars 2026, le FBI a confirmé le piratage du système de messagerie de son directeur.