Bloctel piraté : ce qu’il faut savoir sur les 3 millions de numéros volés juste avant sa fermeture

Les faits confirmés hier par la DGCCRF

C’est le genre de nouvelles qui fait grincer des dents au milieu du mois d’août. Dans un communiqué sorti le 12 août 2026, la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) a fini par officialiser ce que beaucoup craignaient dans le milieu de la tech. Un incident de sécurité d’ampleur a touché le service Bloctel. Quelqu’un a réussi à s’introduire de manière frauduleuse sur un compte professionnel pour y dérober des fichiers bien remplis. Résultat des courses ? Environ 3 millions de numéros de téléphone se retrouvent dehors.



Sur ce total impressionnant, 600 000 appartiennent à des particuliers qui s’étaient donné la peine de s’inscrire pour qu’on les laisse tranquilles. C’est peu par rapport au volume global, mais c’est déjà trop pour les personnes touchées. Pour autant, il faut garder la tête froide. Les investigations menées à la hâte ont permis d’assurer que seules ces coordonnées téléphoniques ont été exposées lors de l’attaque. Aucun nom, aucune adresse physique, pas le moindre mail ni le moindre RIB n’a été divulgué. La base centrale en elle-même n’a jamais été ouverte comme un livre. La CNIL a évidemment été prévenue dans la foulée, comme la loi l’impose.

Ceux dont les coordonnées figuraient dans les fichiers volés ont normalement reçu un message d’information des gestionnaires de la plateforme. Du côté des équipes techniques, la réaction immédiate a été d’isoler le compte compromis pour bloquer les accès et de passer au peigne fin tous les autres espaces pro pour éviter une récidive. Une mesure d’urgence indispensable, mais qui intervient alors que le mal était déjà fait depuis un bon moment sur le web.

Chronologie : les experts avant l’État

Car la vraie question que tout le monde se pose, c’est de savoir pourquoi la communication officielle a mis autant de temps à sortir du bois. L’histoire ne commence pas du tout avec la note de la DGCCRF le 12 août. Bien avant cela, dès le 6 août 2026, plusieurs spécialistes en sécurité informatique scrutaient déjà des échanges suspects. C’est notamment via le site FrenchBreaches et plusieurs canaux spécialisés que des cyberchercheurs ont vu passer des annonces indiquant qu’une base de 3 millions de lignes estampillée « Bloctel » était en vente ou en circulation.

Un court échantillon mis en avant pour prouver l’authenticité du vol montrait des séries de numéros associés à de simples identifiants internes. Rien d’autre. Selon les décorticages faits sur le moment par les experts, l’attaquant n’a pas eu besoin de casser les systèmes centraux du ministère. Il a simplement profité de la faille d’un compte professionnel appartenant à un acteur privé. Ces accès servent d’ordinaire aux entreprises de démarchage pour faire le tri dans leurs propres listes de prospection et retirer les gens inscrits sur la liste noire.

Et c’est là que le bât blesse vraiment. Selon plusieurs sources proches du dossier, ce compte entreprise ne disposait même pas d’une vérification à double facteur (2FA) pour sécuriser ses accès. Une négligence élémentaire en 2026. Résultat, les numéros s’affichaient en clair dans les fichiers d’échange. Pire encore, le 11 août, Bloctel tirait définitivement sa révérence dans l’indifférence presque générale. C’est seulement le lendemain, soit près d’une semaine après les alertes initiales sur les réseaux sociaux, que la puissance publique s’est décidée à prévenir le grand public. Ce décalage temporel laisse un goût amer et pose une vraie question de transparence.

Ce qui a vraiment fuité… et ce qui n’a pas fuité

Il faut dire que le chiffre de 3 millions fait très peur quand il s’affiche sur un écran. Mais quand on se penche sur ce qui a réellement été volé, la réalité est un peu plus nuancée. On parle ici de simples suites de chiffres, dépourvues de tout contexte nominatif. Pas de nom de famille, pas de prénom, pas de date de naissance ni d’adresse IP rattachée. On est donc très loin d’une fuite massive ouvrant la porte à des usurpations d’identité complètes ou à des piratages de comptes bancaires.

Mais cela ne veut pas dire que le préjudice est nul pour autant. Une liste de numéros valides, « nettoyés » et récents a une valeur commerciale énorme sur le marché noir. Et l’ironie de l’histoire est particulièrement savoureuse, ou révoltante, c’est selon. Les personnes qui se retrouvent aujourd’hui ciblées sont précisément celles qui avaient fait le choix conscient de sortir du circuit des appels commerciaux. Le système censé les protéger contre le harcèlement téléphonique finit par servir de vivier à des démarcheurs peu scrupuleux ou à des escrocs en quête de nouvelles cibles.

Les fichiers volés n’étaient en fait que des résidus d’échanges techniques entre un prestataire privé et l’infrastructure de gestion. Mais pour l’abonné ordinaire, le résultat est le même. Les gens qui pensaient avoir trouvé un peu de tranquillité risquent de voir leur téléphone vibrer à nouveau pour des SMS douteux ou des appels automatisés. Une situation d’autant plus étrange que le cadre légal vient tout juste de basculer vers un autre modèle.

Le contexte de la fermeture de Bloctel

Pour comprendre pourquoi l’affaire fait tant de bruit, il faut la replacer dans son calendrier légal. L’incident survient au moment précis où le service tirait sa référence. En application de la loi du 30 juin 2025 relative à la lutte contre les fraudes aux aides publiques, la France a radicalement changé son approche du démarchage téléphonique. Le 11 août 2026 a marqué l’arrêt complet du système d’opposition pour laisser place à un régime d’autorisation préalable, ce qu’on appelle l’opt-in dans le jargon tech (voir : Pourquoi la fin de Bloctel le 11 août va changer radicalement vos appels téléphoniques).

Désormais, une entreprise n’a plus le droit de vous appeler pour vous vendre un contrat ou une prestation si vous n’avez pas donné un accord explicite, clair et traçable au préalable. La charge de la preuve repose entièrement sur les épaules des sociétés de prospection, qui doivent être capables de prouver que le client a bien coché une case ou donné son feu vert. Finie donc la logique où le consommateur devait faire l’effort de s’inscrire sur une liste noire pour espérer ne pas être dérangé au moment du dîner.

Le service Bloctel, qui était sous la tutelle de la DGCCRF mais géré au quotidien par la société Consoprotec, n’avait plus de raison d’être dans ce nouveau paysage juridique. Il a donc fermé ses serveurs le 11 août au soir. C’est tout le paradoxe de l’affaire : au moment même où l’État enterre un outil devenu obsolète pour imposer des règles plus strictes aux entreprises, une porte est restée entrouverte dans la réserve, laissant filer les coordonnées de milliers de Français.

Les bons réflexes à adopter

Même si la fuite ne comporte pas de données ultra-sensibles, la prudence reste de mise pour les semaines à venir. La DGCCRF et les experts en cybersécurité rappellent quelques règles de bon sens qu’il vaut mieux garder en tête :

• Ne répondez jamais aux appels émanant de numéros inconnus si vous n’attendez personne, et ne cliquez sous aucun prétexte sur les liens contenus dans des SMS suspects vous annonçant un prétendu colis bloqué ou une amende à payer.
• Ne donnez jamais d’informations confidentielles par téléphone. Un opérateur, une banque ou un service public ne vous demandera jamais vos identifiants ou un code reçu par SMS de vive voix.
• Pensez à vérifier la sécurité de vos comptes. Si votre numéro de portable vous sert d’identifiant principal pour valider des connexions ou réinitialiser des accès, profitez-en pour modifier vos mots de passe et renforcer les paramètres de sécurité.
• Restez attentif aux demandes bizarres émanant de votre opérateur mobile, comme des confirmations de changement de carte SIM que vous n’auriez jamais demandées.
• En cas de démarche commerciale abusive ou d’appel insistant, ne perdez pas votre temps à vous énerver. Notez l’heure, le numéro qui s’affiche et le nom de la société, puis faites un signalement directement sur la plateforme SignalConso.

Si vous faites partie des gens qui ont reçu le mail officiel vous informant que votre numéro faisait partie du lot, ces conseils s’appliquent en priorité. Pour les autres, rassurez-vous, le risque n’est pas soudainement plus élevé qu’hier. Dans les faits, nos numéros de portable circulent déjà dans des dizaines de bases de données commerciales vendues et revendues depuis des années.