Un pirate publie des données d'un mouvement politique

Un pirate connu sous le nom de ChimeraZ a publié plus d'un million de lignes de données extraites des archives numériques des visites de porte-à-porte de La France insoumise sur le forum PwnForums. Les fichiers, censément une base de données partielle du site du mouvement lafranceinsoumise.fr, représentent 544 Mo et contiennent 1 270 096 lignes.

Les données comprennent des adresses et des détails de campagne

Les données incluent des adresses publiques associées à des coordonnées GPS et à des campagnes spécifiques, comme « Élections municipales 2026 » à Bonneuil-sur-Marne, dans le Val-de-Marne. Ces adresses sont identifiées par la clé d'interopérabilité de la Base adresse nationale, que l'État publie en open data.

La majorité des données provient d'un seul fichier

Environ 1,1 million de lignes, soit la majeure partie de l'archive, sont regroupées dans un seul fichier. Selon Cyberattaque.org, qui a eu accès aux fichiers de porte-à-porte, les données ne concernent pas 1,2 million d'adhérents ou de sympathisants, mais les militants qui ont effectué les visites.

Les fichiers détaillent les activités des militants

Les militants figurent dans le second fichier, avec leur nom ou leur pseudonyme. Environ 200 d'entre eux ont enregistré 12 959 visites, avec des détails tels que la date, l'accessibilité de l'immeuble, 158 040 portes frappées et 54 838 portes ouvertes. Les visites les plus récentes datent de cette semaine, et 2 462 concernent la campagne présidentielle de 2027.

Les outils utilisés pour le porte-à-porte révélés

La France insoumise organise ses militants sur Action populaire, et Cyberattaque.org a retrouvé dans les fichiers la structure des deux outils de porte-à-porte de la plateforme, TokTok et Canvass. Le mouvement a ajouté en 2024 à Action populaire un outil de ciblage, conçu pour « cibler les actions militantes à partir de l'analyse électorale d'un territoire géographique », selon son rapport d'activité.

Des informations personnelles de militants exposées

ChimeraZ a inclus 11 430 événements de groupes locaux, programmés entre 2017 et 2027, avec les coordonnées de leurs organisateurs. Après dédoublonnage, Cyberattaque.org a recensé environ 5 000 numéros de téléphone et 911 adresses électroniques, bien qu'une partie de ces informations soit visible par tous sur les pages d'événements d'Action populaire.

Des données sensibles au regard du RGPD

Au total, environ 5 900 personnes sont identifiables par un nom, une adresse électronique ou un numéro de téléphone,估 selon Fuites Infos. Les militants nommés dans ces fichiers peuvent être rattachés à La France insoumise, et donc à une opinion politique. Pour la CNIL, ces informations sont sensibles au titre de l'article 9 du RGPD, car elles concernent des opinions politiques « réelles ou supposées ».

Les habitants des adresses visitées non nommés dans les fichiers

Les habitants des adresses visitées sont épargnés, car aucune personne rencontrée derrière les portes n'est nommée dans les fichiers. Si vous avez organisé un événement sur Action populaire ou fait du porte-à-porte pour le mouvement, méfiez-vous des messages envoyés au nom d'un groupe voisin ou de la direction, même lorsque l'expéditeur cite une véritable réunion ou votre secteur de porte-à-porte.

Conseils de sécurité pour les utilisateurs

Ouvrez Action populaire depuis l'application ou le site, jamais à partir d'un lien reçu par SMS ou par courriel, et signalez toute tentative suspecte à la plateforme publique d'aide aux victimes. En mai, un autre pirate avait publié une base de données d'Action populaire contenant 120 000 adresses électroniques, et le mouvement avait alors déposé plainte auprès de la CNIL et de l'ANSSI.

Incertitude sur la fuite de données

Tant que La France insoumise n'aura pas expliqué comment ChimeraZ a obtenu ces données il y a quelques jours, ses militants ne peuvent pas savoir si les visites qu'ils enregistreront lors de leur prochaine sortie seront sécurisées.