La France insoumise : 1,27 million de lignes issues d'outils de porte-à-porte diffusées par ChimeraZ, une intrusion que le mouvement conteste

Le samedi 24 octobre 2026, le pseudonyme ChimeraZ a diffusé gratuitement une archive de 544 Mo présentée comme issue des outils de campagne de La France insoumise, la révélation étant faite le jour même par Cyberattaque.org. Ce pirate a revendiqué le même week-end une base attribuée au Parti communiste français, que le parti avait reconnu comme fuite dès le 23 octobre, puis une base de Renaissance (voir les fiches Renaissance et Parti communiste français), et un même pseudonyme n’établit aucun lien technique entre ces trois incidents. D’après Cyberattaque.org, l’archive contient deux ensembles : un fichier principal d’environ 1,1 million de points d’adresse rattachés à 87 campagnes (86 municipales de 2026 et une présidentielle de 2027), et un second fichier de 11 430 événements de 2 345 groupes locaux, auxquels s’ajoute un fichier de 12 959 passages de porte-à-porte, dont les plus récents datent du 21 octobre 2026.

Le chiffre de 1 270 096 lignes, dont 1 165 256 présentées comme uniques, est celui du pirate, relevé par Cyberattaque.org (Next et LeMondeInformatique parlent seulement de « près de » ou « plus de » 1,2 million) sans vérification indépendante, et il compte des lignes, qui ne se confondent pas avec des personnes. Cyberattaque.org, seule source à avoir examiné les fichiers en détail, précise que le champ d’adresse suit le format de la Base Adresse Nationale, donnée publique : la présence d’une adresse indique seulement qu’elle a été intégrée à un outil de porte-à-porte, et ne renseigne pas sur l’opinion de ses habitants. Les fichiers ne contiennent pas non plus le nom des personnes rencontrées. Le nombre de personnes réellement identifiables est donc inconnu, et aucun chiffre de victimes n’est retenu.

Les données les plus exposées sont celles des militants : selon Cyberattaque.org, chaque passage peut porter le nom ou le pseudonyme de la personne qui l’a saisi, ce qui, lorsqu’il est rattachable à un individu, révèle sa participation à une campagne, ses dates d’action et ses secteurs d’intervention, des informations relevant de l’engagement politique, qui seraient alors des données sensibles au sens de l’article 9 du RGPD. Le fichier d’événements contient en outre environ 5 016 numéros de téléphone et 911 adresses électroniques distincts, dont une partie semble déjà accessible publiquement selon Cyberattaque.org. Selon Next, qui cite des constats de Fuites Infos et du Parisien que nous n’avons pas consultés directement (Leto rapporte aussi celui du Parisien), des numéros et des courriels de militants figurent dans les extraits, ce qui nuance l’affirmation de LFI selon laquelle seules des données publiques sont concernées. Les risques concrets sont le harcèlement ciblé, le doxxing de militants locaux et l’hameçonnage.

Manuel Bompard, coordinateur de LFI, a affirmé, après vérification interne (déclaration relayée par Next, LeMondeInformatique et Leto, qui ne la datent pas avec précision), qu’aucune donnée personnelle de membres n’avait été divulguée au-delà de ce qui est déjà accessible publiquement, comme les contacts d’événements, et le mouvement conteste donc toute nouvelle intrusion. Cette position n’est confirmée par aucune notification aux personnes, et aucune plainte ni saisine de la CNIL concernant cet épisode n’ont été trouvées, d’où le statut d’incident allégué. En mai 2026, un autre pirate avait revendiqué sur un forum, le 7 mai, une copie d’Action populaire (120 000 adresses électroniques uniques et 20 000 numéros de téléphone selon lui) : LFI avait alors informé des adhérents et sympathisants d’un vol de données, alerté la CNIL et l’ANSSI et annoncé une plainte (Next, 11 mai 2026), sans que rien ne relie cet épisode à celui d’octobre.

Les militants qui ont saisi des comptes rendus de porte-à-porte peuvent redoubler de prudence face aux appels, SMS et courriels leur parlant de la campagne ou de leurs comptes, et activer la double authentification sur leurs comptes d’organisation. Les courriels suspects se signalent à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas d’usurpation ou de harcèlement avéré.