Les Curistes : une fuite revendiquée de messages sensibles
Un acteur se présentant sous le nom de ChimeraZ revendique la diffusion de données attribuées à Les Curistes, plateforme française consacrée aux cures et stations thermales. FrenchBreaches indique avoir examiné un échantillon contenant des coordonnées, une adresse IP et le texte d’une demande de cure. L’entreprise n’a pas confirmé publiquement l’incident au moment de notre vérification, les chiffres doivent donc rester présentés comme revendiqués.
Une revendication diffusée le 5 septembre
Le 5 septembre 2026, un utilisateur utilisant le pseudonyme ChimeraZ a publié sur un forum cybercriminel des données qu’il attribue à Les Curistes. La plateforme présente des informations sur les cures et stations thermales en France, ainsi que des services liés à la préparation d’un séjour.
Selon FrenchBreaches, l’auteur affirme détenir 328 649 enregistrements, pour 86 073 personnes et environ 95 Mo de données. Ces volumes viennent de la publication du pirate. Ils ne sont pas confirmés par Les Curistes et ne permettent pas, seuls, de dater une éventuelle intrusion.
L’échantillon associe coordonnées et contenu de messages
Le point le plus préoccupant ne tient pas seulement au nombre avancé. FrenchBreaches rapporte avoir vu, dans l’échantillon, des noms, adresses e-mail, numéros de téléphone, adresses IP, dates d’échange, identifiants internes et le texte envoyé par un utilisateur. L’échantillon contient notamment une demande de renseignements sur l’organisation d’une cure thermale.
Cette combinaison compte davantage qu’une simple liste d’adresses e-mail. Elle pourrait permettre d’associer une personne à une démarche réelle, puis de fabriquer un message ou un appel qui paraît suivre une demande de réservation, de logement ou de renseignements.
Une cure ne suffit pas à prouver la présence de données de santé
Une cure thermale peut être prescrite dans un cadre médical. Cela ne permet pas de qualifier automatiquement chaque message de donnée de santé. FrenchBreaches indique qu’aucun diagnostic, aucune pathologie ni dossier médical n’apparaît explicitement dans l’échantillon étudié.
Il serait donc faux d’annoncer une fuite de dossiers médicaux. À l’inverse, l’échantillon ne permet pas de connaître le contenu de tous les messages revendiqués. Des utilisateurs ont pu communiquer librement des informations personnelles supplémentaires lorsqu’ils ont demandé des précisions sur leur séjour.
Le risque concret : l’arnaque qui connaît déjà votre demande
Un fraudeur qui connaît votre nom, votre numéro et le sujet d’une vraie demande n’a pas besoin de raconter une histoire vague. Il peut se faire passer pour Les Curistes, une station thermale, un hébergeur ou un service de réservation, évoquer une date ou un séjour, puis réclamer la confirmation d’un paiement ou l’envoi d’un document.
Un détail exact ne prouve pourtant pas l’identité de l’interlocuteur. Si vous recevez un courriel, un SMS ou un appel lié à une cure, ne suivez pas son lien et ne rappelez pas le numéro affiché. Retrouvez vous-même le site ou les coordonnées de l’établissement concerné, puis contactez-le par ce canal.
Ce que nous savons et ce qui manque encore
À ce stade, une revendication existe et FrenchBreaches dit avoir observé un échantillon cohérent avec des demandes liées à des cures. Cela rend l’alerte utile pour prévenir les tentatives de fraude ciblées. Ce n’est pas une confirmation officielle de l’ampleur de l’incident.
La prudence doit porter sur les contacts inattendus, pas sur une prétendue procédure de vérification. Aucun élément consulté ne permet d’affirmer qu’un mot de passe, une carte bancaire ou un dossier médical a été exposé. Changer un mot de passe sans savoir qu’il a fuité ne répondrait pas au risque décrit ici.
Ce que nous ne pouvons pas vérifier
Nous ne pouvons pas vérifier publiquement la méthode d’accès aux données, le système éventuellement concerné, la date à laquelle elles auraient été obtenues, ni le nombre réel de personnes touchées. Les 86 073 personnes, les 328 649 enregistrements et les 95 Mo sont des chiffres revendiqués par ChimeraZ.
Nous n’avons trouvé aucune confirmation publique de Les Curistes au moment de la rédaction. Nous ne pouvons pas non plus déterminer si des données de santé figurent parmi l’ensemble des messages : l’échantillon décrit ne montre ni diagnostic, ni pathologie, ni dossier médical.
Le déroulé
- 5 septembre 2026 · ChimeraZ publie sur un forum une revendication attribuant des données à Les Curistes.
- 6 septembre 2026 · FrenchBreaches décrit un échantillon contenant coordonnées, adresse IP et contenu de messages liés à des cures.
- 6 septembre 2026 · Aucune confirmation publique de Les Curistes n’a été trouvée lors de notre vérification.
Ce qu'il faut faire
- Ne cliquez pas dans un message sur votre cure. Ouvrez vous-même le site ou l’espace habituel de l’établissement avant toute démarche.
- Rappelez un numéro trouvé par vous-même. Un interlocuteur qui connaît votre demande peut exploiter des informations réelles pour paraître légitime.
- Ne transmettez aucun document ou paiement dans l’urgence. Vérifiez directement avec la station, l’hébergeur ou le service concerné par un canal indépendant.
Sources : LesCuristes.fr ↗
Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.