Bloctel : une fuite de 3 millions de numéros à cinq jours de l'extinction du service

Le 11 août 2026, Bloctel a cessé d’exister. Le service national d’opposition au démarchage téléphonique, créé en 2016 pour permettre aux consommateurs de s’inscrire sur une liste que les professionnels devaient consulter avant d’appeler, disparaît en même temps qu’entre en vigueur le régime qui le rend inutile : depuis cette date, le démarchage téléphonique est interdit par défaut, sauf consentement préalable et explicite de la personne appelée.

Cinq jours avant cette extinction programmée, le 6 août, une revendication publiée sur un forum cybercriminel a annoncé la mise en circulation d’un fichier issu du service. La DGCCRF a confirmé l’incident le 12 août : un accès frauduleux à un compte professionnel a permis de télécharger des fichiers contenant environ 3 millions de numéros de téléphone, dont 600 000 correspondant à des personnes inscrites sur Bloctel.

La coïncidence de calendrier a été largement commentée, souvent sur le mode ironique. Elle mérite un examen plus attentif, car cet incident dit quelque chose de précis sur trois sujets qui dépassent largement le cas Bloctel : la valeur réelle d’un fichier d’opposition pour un escroc, la fragilité des accès professionnels aux bases publiques, et ce que change concrètement, pour vous comme pour votre entreprise, le passage à un régime de consentement.

Dans cet article, vous découvrirez :

• La chronologie exacte de l’incident et ce que la DGCCRF a confirmé
• Pourquoi un fichier ne contenant que des numéros de téléphone reste dangereux
• Ce qui change réellement depuis le 11 août 2026 pour les particuliers
• Les nouvelles obligations qui pèsent sur les entreprises qui démarchent
• Les actions concrètes à mener des deux côtés

Ce qui s’est passé, et ce qui a été confirmé

La chronologie tient en une semaine.

• 6 août 2026 : une revendication apparaît sur un forum cybercriminel. Ses auteurs, actifs sous les pseudonymes « Cybernox » et « don’t call me », annoncent un fichier d’environ 2,3 millions de comptes et un peu plus de 2,4 millions de numéros de téléphone distincts, proposé au téléchargement sur plusieurs hébergeurs.
• 11 août 2026 : Bloctel ferme définitivement, comme prévu de longue date.
• 12 août 2026 : la DGCCRF publie un communiqué de mise en garde. Elle confirme qu’un accès frauduleux à un compte professionnel a permis de récupérer des fichiers contenant environ 3 millions de numéros, dont 600 000 inscrits sur Bloctel.

Le point technique le plus important de ce communiqué est aussi le plus discret : la base Bloctel elle-même n’a pas été compromise. Ce qui a fuité, ce sont les fichiers échangés avec un professionnel utilisateur du service de consultation. Le mécanisme mérite d’être rappelé, parce qu’il explique l’écart entre les 3 millions de numéros récupérés et les 600 000 inscrits réellement concernés.

Comment fonctionnait la consultation Bloctel

Une entreprise souhaitant démarcher par téléphone ne consultait pas Bloctel numéro par numéro. Elle déposait son propre fichier de prospection sur la plateforme, qui le lui renvoyait expurgé des numéros inscrits sur la liste d’opposition. Le fichier échangé contenait donc l’intégralité de la base de prospection du professionnel, dont seule une fraction correspondait à des inscrits.

C’est exactement ce que traduisent les chiffres : sur les 3 millions de numéros contenus dans les fichiers téléchargés par l’attaquant, 600 000 étaient des inscrits Bloctel. Les 2,4 millions restants sont des numéros de prospection appartenant à l’entreprise dont le compte a été usurpé, et qui se retrouvent exposés au passage.

Important : les personnes concernées par cette fuite ne sont donc pas seulement les inscrits à Bloctel. Toute personne figurant dans le fichier de prospection déposé par ce professionnel est potentiellement concernée, sans jamais avoir eu de relation avec le service.

Le vecteur : un compte professionnel usurpé

La DGCCRF évoque un accès frauduleux à un compte professionnel, immédiatement bloqué, l’ensemble des comptes ayant ensuite fait l’objet de vérifications. Les analyses techniques publiées pointent l’absence d’authentification à deux facteurs sur ces comptes d’accès entreprise.

Ce vecteur n’a rien d’exceptionnel, et c’est précisément ce qui devrait retenir l’attention. Sur les seules trois dernières semaines, il explique aussi l’intrusion visant le système d’information de formation du ministère de l’Éducation nationale, révélée le 31 juillet, et il est revendiqué dans l’affaire visant la DGFiP. Une administration peut sécuriser correctement sa propre base et voir malgré tout ses données sortir par un compte partenaire mal protégé, dont la sécurité dépend d’une entreprise tierce sur laquelle elle n’a qu’un contrôle contractuel.

Un fichier de numéros seuls : pourquoi c’est quand même sérieux

Le fichier ne contient, selon les éléments disponibles, que des numéros de téléphone associés à un identifiant de compte interne. Ni nom, ni adresse postale, ni adresse e-mail. Cette pauvreté apparente conduit souvent à minimiser l’incident, à tort, pour deux raisons.

Le contexte fait la donnée

Un numéro de téléphone isolé est une donnée banale. Un numéro dont on sait qu’il figure dans un fichier d’opposition au démarchage est une donnée qualifiée : elle signale une personne qui a fait la démarche volontaire de se protéger des appels commerciaux, donc une personne plutôt attentive, plutôt sensibilisée, et surtout parfaitement identifiable comme telle par celui qui exploite le fichier.

Pour un escroc, cette qualification est exploitable de deux manières opposées. Elle permet de cibler des personnes qui, se croyant protégées, s’étonneront moins d’un appel se présentant comme officiel. Elle permet aussi de construire un prétexte sur mesure : un faux agent annonçant une « régularisation de votre inscription » ou la « migration de votre dossier Bloctel vers le nouveau dispositif » exploite un contexte réel, vérifiable, et parfaitement crédible dans la période actuelle.

Le numéro est devenu un identifiant

Le second point tient à l’usage du numéro de mobile bien au-delà de la téléphonie. Il sert d’identifiant de connexion sur de nombreux services, de canal de réception des codes de validation, et de point de rattachement pour la récupération de compte. Cette centralité est ce qui rend possibles les attaques par SIM swapping, où l’attaquant obtient le transfert d’un numéro vers une carte SIM qu’il contrôle, puis intercepte les codes de vérification.

C’est la raison pour laquelle la DGCCRF recommande, parmi ses conseils, de modifier les mots de passe des services utilisant le numéro comme identifiant. La recommandation peut sembler disproportionnée au regard d’une fuite limitée à des numéros, mais elle se justifie précisément par cette fonction d’identifiant.

Ce qui change depuis le 11 août 2026

La disparition de Bloctel traduit un changement de logique plutôt qu’un renoncement. Le dispositif reposait sur une liste d’opposition : par défaut, on pouvait vous appeler, et il vous appartenait de faire la démarche de vous inscrire pour ne plus l’être. Ce modèle a montré ses limites, à commencer par le fait qu’il transférait la charge de la protection sur le consommateur.

Le nouveau régime, issu de la loi du 30 juin 2025 relative à la lutte contre toutes les fraudes aux aides publiques, inverse la charge : le démarchage téléphonique est interdit sauf consentement préalable de la personne appelée. Il n’y a plus rien à faire pour être protégé.

Les conditions du consentement

Le consentement n’est pas une case cochée au fond d’un formulaire. Le professionnel doit le recueillir au moyen d’une demande claire mentionnant son identité et la nature des services proposés. Deux limites temporelles l’encadrent :

• il est valable un an au maximum, et doit donc être renouvelé au-delà ;
• l’entreprise doit conserver la preuve de son recueil pendant trois ans.

Les exceptions à connaître

Le régime souffre une exception importante, qu’il vaut mieux connaître pour ne pas la confondre avec une infraction. Une entreprise avec laquelle vous avez un contrat en cours (téléphonie, internet, énergie, assurance) peut vous appeler pour une offre en rapport avec ce contrat. L’appel de votre opérateur vous proposant une évolution de forfait reste donc licite.

Les sollicitations relevant d’un autre régime, comme certains appels de professionnels du secteur du bâtiment ou de la rénovation énergétique, restent par ailleurs encadrées par leurs propres interdictions sectorielles, plus anciennes et plus strictes.

Le signalement passe désormais par SignalConso

Bloctel disparaissant, le canal de signalement change. Les sollicitations commerciales non consenties se signalent sur SignalConso, la plateforme de la DGCCRF. Ce point a une portée pratique directe : c’est ce flux de signalements qui alimente le ciblage des contrôles et, le cas échéant, des sanctions administratives.

Actions concrètes pour les particuliers

Les réflexes prioritaires :

• Ne pas répondre aux sollicitations suspectes, appels comme SMS, et ne rappeler aucun numéro communiqué dans un message non sollicité.
• Ne divulguer aucune information personnelle par téléphone, en particulier des coordonnées bancaires, un numéro de sécurité sociale ou un code reçu par SMS. Aucun organisme légitime ne demande un code de validation par téléphone.
• Se méfier des appels évoquant Bloctel : le service n’existe plus, aucune démarche de migration, de réinscription ou de régularisation n’est à effectuer, et tout appel en ce sens est frauduleux par construction.
• Modifier les mots de passe des services en ligne utilisant votre numéro comme identifiant, et privilégier une application d’authentification plutôt qu’un code par SMS lorsque le service le permet.
• Signaler sur SignalConso toute sollicitation commerciale non consentie reçue après le 11 août 2026.

Actions concrètes pour les entreprises

Le volet entreprise de ce dossier est celui dont on parle le moins, alors qu’il porte deux obligations distinctes.

Sur la conformité du démarchage :

• Auditer l’origine des fichiers de prospection téléphonique : dans le nouveau régime, un fichier acheté sans preuve de consentement rattachable à chaque numéro n’est plus exploitable par téléphone, quelle que soit la qualité du fournisseur.
• Mettre en place la traçabilité du consentement : date, canal, formulation exacte de la demande, identité du professionnel et nature des services proposés, avec une conservation de la preuve pendant trois ans et une gestion de l’expiration à un an.
• Cartographier les exceptions applicables, notamment la relation contractuelle en cours, et documenter le rattachement de chaque campagne à un fondement précis.

Sur la sécurité des accès :

• Généraliser l’authentification multifacteur sur tous les comptes donnant accès à des services externes contenant des données de tiers, et pas seulement sur les outils internes jugés sensibles.
• Traiter les fichiers déposés sur des plateformes tierces comme des données à protéger : un fichier de prospection déposé pour filtrage reste sous votre responsabilité de traitement, y compris lorsqu’il est exfiltré depuis le compte d’un partenaire.
• Surveiller les accès aux comptes de service : la détection tardive est la constante de ce type d’incident, l’accès frauduleux n’ayant été identifié qu’après la mise en circulation du fichier.

Vers un démarchage fondé sur la preuve du consentement

L’incident Bloctel n’est pas la fuite la plus massive de l’été 2026, ni la plus sensible : trois millions de numéros sans nom ni adresse pèsent peu face aux dossiers de crédit ou aux données fiscales exposés au cours du même mois. Son intérêt tient à ce qu’il met en évidence : un fichier de protection se retourne en fichier de ciblage, la sécurité d’une base publique s’arrête là où commence celle de ses partenaires, et un changement de régime réglementaire ne dispense jamais de sécuriser le dispositif qu’il remplace jusqu’à son dernier jour d’exploitation.

Pour les entreprises qui pratiquent la prospection téléphonique, la période appelle un double chantier, l’un sur la traçabilité du consentement, l’autre sur la protection des accès aux plateformes tierces. Les deux relèvent de la même logique de conformité, et le premier contrôle venu les examinera ensemble.

Sources et références 9 sources

Sources officielles

1. [1] DGCCRF : mise en garde des consommateurs à la suite d'une fuite de données sur Bloctel (12 août 2026)
2. [2] economie.gouv.fr : le démarchage téléphonique désormais interdit si vous n'y avez pas consenti
3. [3] Service-public.fr : démarchage téléphonique interdit, quelles sont les règles ?

Couverture de l'incident

1. [4] Fuites Infos : 2 345 496 comptes dans une fuite de données revendiquée chez Bloctel (6 août 2026)
2. [5] Cyberattaque.org : Bloctel, 3 millions de numéros en fuite à cinq jours de la fin du service
3. [6] Clubic : Bloctel piraté juste avant de fermer, 3 millions d'inscrits exposés

Sur ce blog

1. [7] Fiche de suivi : Bloctel, 3 millions de numéros exfiltrés via un compte professionnel
2. [8] Spoofing téléphonique : les règles ARCEP applicables en 2026
3. [9] Vishing : comprendre et déjouer l'escroquerie téléphonique