Protection Civile : un fichier de bénévoles vieux de plusieurs années dans la nature
La Fédération nationale de Protection Civile a annoncé le 21 août avoir été victime d'une cyberattaque… survenue en mars. Cinq mois plus tôt. Le logiciel touché gère les bénévoles, et le fichier récupéré contient plus de dix fois l'effectif actuel de l'association.
Le logiciel qui gère les bénévoles
L'attaque n'a pas visé un site vitrine mais eProtec, l'outil interne dans lequel la fédération gère ses bénévoles : leurs coordonnées, leurs affectations, leurs plannings et leurs formations. C'est le cœur administratif de l'organisation, celui qui sait qui fait quoi et où.
La fédération confirme un accès non autorisé à des données personnelles, et précise avoir pris connaissance de l'attaque le lundi 17 août, quatre jours avant de l'annoncer publiquement. Aucun groupe de pirates n'a publiquement revendiqué l'opération, ce qui est plutôt inhabituel et laisse penser à une exfiltration discrète plutôt qu'à une attaque destinée à faire du bruit.
Un fichier qui remonte bien plus loin que l'effectif actuel
C'est le détail le plus parlant de cette affaire. Les recensements spécialisés évoquent plus de 525 000 profils, accompagnés d'environ 15 000 photographies. Or la Protection Civile compte aujourd'hui de l'ordre de 32 000 bénévoles actifs.
L'écart est énorme, et il ne s'explique que d'une façon : le fichier ne contient pas les bénévoles d'aujourd'hui, il contient tous ceux qui sont passés par l'association depuis des années. Les anciens, ceux qui ont fait une formation puis sont partis, ceux qui n'ont jamais été actifs.
La fédération, de son côté, conteste ces chiffres et souligne qu'ils ne figurent pas dans la notification qu'elle a adressée. Elle évoque de nombreux doublons dans le fichier qui a circulé. Les deux affirmations peuvent d'ailleurs être vraies en même temps : un fichier historique mal purgé accumule aussi les doublons.
Ce que ça révèle, et qui vous concerne aussi
Voilà la leçon qui dépasse largement cette association : les organisations gardent vos données bien après que vous les avez quittées. Le club de sport où vous étiez inscrit il y a huit ans, l'association où vous avez fait une formation, l'ancien employeur : leurs fichiers vous contiennent probablement encore.
La réglementation européenne impose pourtant de ne conserver les données que le temps nécessaire, puis de les effacer. Dans les faits, très peu d'organisations purgent réellement leurs bases, parce que personne ne le réclame et que supprimer demande un travail que garder n'exige pas.
Conséquence directe : le jour où l'une d'elles se fait pirater, ce ne sont pas seulement ses membres actuels qui sont exposés, mais tous ceux qui y sont passés. Vous pouvez apparaître dans une fuite concernant une structure que vous aviez oubliée.
Des données qui ne se changent pas
Le lot exposé comprend les noms et prénoms, les dates de naissance, les numéros de téléphone, les professions, les identifiants utilisateur, les sections d'affectation, ainsi que des photographies de profil. Une porte-parole de la fédération a précisé à l'AFP que des données de personnes mineures figurent également dans le lot. En revanche, aucune donnée ne concerne les personnes secourues par l'association.
Un mot de passe se change en trois minutes. Une date de naissance, non. Un numéro de téléphone, difficilement. Une photo, jamais. Ce type de fuite ne se « répare » pas : elle alimente durablement les bases que les escrocs recoupent pour rendre leurs approches crédibles.
Concrètement, si vous avez été bénévole à la Protection Civile, même il y a longtemps, considérez qu'un inconnu peut aujourd'hui vous appeler en connaissant votre nom, votre âge, votre métier et votre passé associatif. C'est précisément le genre de détails qui désarment la méfiance.
La fédération ajoute une réserve qu'il faut prendre au sérieux : à ce stade, les investigations ne permettent pas de déterminer si l'ensemble de ces données a effectivement été consulté ou extrait, ni si elles ont été vendues, utilisées ou rendues publiques. L'association a porté plainte auprès de la section de lutte contre la cybercriminalité du parquet de Paris. Elle indique enfin que l'attaque s'inscrit dans une série visant des structures comparables sur la même période, notamment plusieurs fédérations sportives.
Le déroulé
- Mars 2026 · cyberattaque sur eProtec, le logiciel de gestion des bénévoles
- 17 août 2026 · la fédération prend connaissance de l'attaque, selon sa porte-parole à l'AFP
- 21 août 2026 · la fédération annonce publiquement la violation de données. Les recensements spécialisés évoquent 525 000 profils, chiffre contesté par la fédération, qui invoque des doublons
Ce qu'il faut faire
- Méfiez-vous des appels trop informés. Un inconnu qui connaît votre ancienne activité associative n’est pas forcément légitime.
- Demandez l’effacement de vos anciennes données. Club, association ou ancien employeur : ce qui n’est plus stocké ne peut plus fuiter.
- Ne communiquez jamais un code reçu par SMS. Aucune organisation légitime n’a besoin de ce code pour vous aider.
Sources : Franceinfo ↗ · CNews ↗
Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.