730 millions de données volées : Démantèlement du moteur « Reacher / Stryx » et impunité des entreprises!!

Salut à tous les amoureux de la cybersécurité,

L'Office anti-cybercriminalité (OFAC) a frappé un nouveau grand coup dans la lutte contre les plateformes de lookup — ces moteurs de recherche pirates qui permettent de retrouver l'historique complet, les adresses, les numéros de téléphone ou les IBAN de millions de personnes à partir d'une simple information.

Trois jeunes administrateurs présumés, âgés de 17 ans, ont été interpellés ce mardi 6 octobre 2026. Derrière cette affaire se dessine pourtant un paradoxe judiciaire saisissant : la sévérité de la réponse pénale envers des mineurs contraste cruellement avec l'impunité quasi-totale des entreprises dont les failles et le laxisme ont permis l'exfiltration initiale de ces flots de données.

Reacher (devenu Stryx) : Industrie du flicage de données

Lancé en mars 2026 et rebaptisé Stryx au début de l'été, le site s’imposait comme l’un des "Google" des fuites de données les plus redoutés en France.

• Un volume colossal : La plateforme revendiquait l'indexation de 730 millions de lignes de données et affichait plus de 3 millions de requêtes.

• Un accès ultra-simplifié : Il suffisait d'entrer un nom, un numéro de téléphone, une plaque d'immatriculation ou même un Relevé d'Identité Bancaire (RIB/IBAN) pour obtenir un profilage exhaustif de la victime.

• Un modèle lucratif : Accessible gratuitement ou via des abonnements et des packs de crédits payants, le site a prospéré sur la revente de données dérobées lors de cyberattaques successives.

L'enquête, amorcée le 15 mai dernier à la suite d'un signalement de l'association e-Enfance, s'est soldée par l'interpellation des trois adolescents dans le cadre d'une procédure pour recel, détention et transmission frauduleuse de données en bande organisée. Ils encourent jusqu'à dix ans de prison, avec un procès fixé à janvier 2027.

Deux Poids, Deux Mesures : Absence de sanctions pour les entreprises passoires

Si l'arrestation de ces administrateurs démontre l'efficacité croissante des autorités face aux plateformes de recel, elle met en lumière une faille systémique majeure dans la régulation de la cybersécurité en France et en Europe : la responsabilité des entreprises qui laissent fuiter les données.

Pendant que des mineurs risquent une lourde peine criminelle pour avoir exploité ou hébergé ces informations, les sociétés (e-commerçants, prestataires, services de santé, organismes publics) à l'origine des fuites initiales s'en tirent le plus souvent à bon compte.

• Des amendes cosmétiques ou des non-lieux : Malgré le règlement général sur la protection des données (RGPD), les sanctions pécuniaires prononcées contre les entreprises victimes de négligence ou de failles techniques évitables restent souvent dérisoires au regard de leur chiffre d'affaires, ou se soldent par de simples avertissements et obligations de mise en conformité.

• L'absence de responsabilité pénale des dirigeants : Contrairement aux cybercriminels, les décideurs d'entreprises dont la sécurité informatique est poreuse ne risquent pratiquement jamais de peines de prison fermes pour mise en danger de la vie privée de millions de citoyens.

• Le coût reporté sur les victimes : Ce sont les citoyens ordinaires, dont les RIB ou numéros de téléphone circulent sur Stryx, C3N Backup ou BrixHub, qui subissent les vagues de phishing, d'usurpation d'identité et d'arnaques, tandis que les structures négligentes continuent de collecter et traiter des données sans véritable contre-feu contraignant.

Vers une répression globale des « Lookups »

L'affaire Reacher/Stryx s'inscrit dans une série d'opérations menées tambour battant par l'État français pour nettoyer le web de ces moteurs de recherche malveillants. En mai, un jeune de 19 ans était placé en détention pour la création de C3N Backup. Plus récemment, c'est la plateforme BrixHub et ses 11 milliards de données qui ont fait l'objet d'un signalement direct de la ministre chargée du Numérique, Anne Le Hénanff, auprès de la justice.

Néanmoins, tant que le législateur ne contraindra pas fermement les entreprises à assumer la responsabilité pénale et financière pleine et entière des données qu’elles perdent par incompétence ou sous-investissement sécuritaire, alimenter ces plateformes restera une activité tristement florissante.