Les Métaux Précieux : la base clients d'un négociant en or revendiquée, avec 18 794 photos de pièces d'identité et 16 822 RIB selon l'auteur

Le 8 octobre 2026, Fuites Infos, Cyberattaque.org et FrenchBreaches ont rapporté qu’un auteur, présenté par Fuites Infos comme un « collectif », affirmait avoir extrait la base clients de Les Métaux Précieux (LMP), négociant parisien en or et argent d’investissement qui vend lingots et pièces en ligne et dans huit agences (sept en Île-de-France et une au Havre, d’après son site), et la proposait à la vente sur un forum, avec un échantillon de fiches à l’appui (une douzaine selon Fuites Infos). Les sources divergent sur le pseudonyme : FrenchBreaches cite « 0xDzz », tandis que Cyberattaque.org attribue la revendication à « TimeSape », rattaché à un collectif nommé « LunarisSec », et aucune ne vérifie cette attribution. Cyberattaque.org, dont l’article a été mis à jour le 11 octobre, est aussi la seule source à rapporter une seconde revendication du samedi 10 octobre, qui annoncerait cette fois la diffusion gratuite d’un fichier, ainsi qu’une date d’extraction remontant à février 2026 dans les données ; ce média précise lui-même que cette chronologie reste à confirmer et que la seconde revendication ne démontre pas une nouvelle intrusion. Aucune autre couverture, de presse généraliste ou spécialisée, n’a été trouvée au 14 octobre 2026, et Bonjour la fuite ne recensait pas l’incident à la date de consultation (dernière entrée du 10 octobre).

Le chiffre qui structure les titres, environ 134 000 commandes, désigne des lignes de commandes et non des personnes : Cyberattaque.org écrit qu’il ne permet pas d’établir l’existence de 134 000 personnes distinctes, et Fuites Infos indique que le nombre de clients distincts n’est pas connu. Les autres volumes revendiqués, à savoir 18 794 photos de pièces d’identité, 9 588 clients dont la pièce est photographiée en recto et verso, 16 822 RIB et environ 1 722 factures, figurent dans les trois sources, mais elles relaient la même revendication, aucune ne les a vérifiés (FrenchBreaches écrit n’avoir pu le faire de façon indépendante) et ils ne doivent pas être additionnés, puisqu’une même personne peut figurer dans plusieurs catégories. Les chiffres de règlement portent sur des fichiers différents : selon FrenchBreaches et Cyberattaque.org, les factures se répartiraient entre 558 règlements par chèque et 1 162 associés à des virements, tandis que Fuites Infos et FrenchBreaches mentionnent un fichier de virements de 4 258 lignes pour 9,48 millions d’euros cumulés, que FrenchBreaches décrit comme des transactions enregistrées et non comme une somme dérobée. Un second fichier JSON de 28 367 lignes, décrit par Cyberattaque.org seul, contiendrait 8 024 utilisateurs, 1 351 adresses électroniques et autant de numéros de téléphone, et ce média ajoute que le champ des photos d’identité pourrait n’y être qu’une référence et non les images elles-mêmes. Enfin, le site de LMP affiche « + 50 000 clients nous font confiance », ce qui ne fournit pas non plus un décompte des victimes. Les trois articles relayant la revendication de l’attaquant sans vérification indépendante, le statut reste « alléguée » (l’étiquette « Confirmée » que FrenchBreaches affiche sur sa page contredit son propre texte et ne vaut pas reconnaissance par LMP), et aucun nombre de personnes n’est retenu.

L’extrait publié, d’une douzaine de fiches selon Fuites Infos seul, associerait pour chaque client le nom, l’adresse postale, le numéro de la pièce d’identité, les photos recto et verso de cette pièce, l’agence d’achat et le total des achats, tandis que les trois sources décrivent pour l’ensemble revendiqué l’adresse électronique, le téléphone, les factures et des relevés d’identité bancaire avec IBAN. Cette combinaison est bien plus sensible que celle du négociant Achat Or et Argent, dont les données, limitées à l’identification, au contact et aux commandes, ont fait l’objet d’une notification aux clients en juin 2026, ou que l’incident de paiement par carte de Cookson-CLAL, et aucun lien n’est établi entre ces trois dossiers. Si ces données sont authentiques, le croisement d’une identité, d’un domicile et d’un montant total d’achats peut désigner une personne susceptible de conserver des métaux précieux chez elle (Cyberattaque.org rappelle qu’un historique de transactions ne prouve pas qu’elle les détient encore), ce qui ouvrirait la voie à un repérage physique et à du démarchage ciblé. Le RIB associé à l’identité permet des prélèvements frauduleux et la fabrication de faux mandats, tandis que la pièce d’identité en recto et verso, jointe à l’adresse et au RIB, constitue un dossier presque complet d’usurpation d’identité (ouverture de comptes, demandes de crédit, contrats de téléphonie). Une diffusion gratuite, que seul Cyberattaque.org rapporte, rendrait ces données accessibles à un nombre beaucoup plus large de fraudeurs, et une pièce d’identité ne se change pas comme un mot de passe.

À la date du 14 octobre 2026, aucune déclaration de LMP n’a été trouvée : Fuites Infos écrit que l’entreprise n’a pas confirmé l’incident à ce stade, ni Cyberattaque.org ni FrenchBreaches ne rapportent de réaction de sa part, et la page d’accueil de son site, consultée dans une lecture partielle, ne montre aucun avis d’incident. Aucune source ne mentionne de notification aux personnes concernées, de déclaration à la CNIL ou de plainte. Si l’intrusion est avérée, la présence de pièces d’identité et de RIB constituerait un risque élevé pour les personnes, que le RGPD (articles 33 et 34) oblige à notifier à la CNIL sous 72 heures et, en principe, à porter à la connaissance des intéressés ; rien de public ne permet cependant de savoir si cela a été fait.

Les personnes ayant acheté auprès de LMP, en ligne comme en agence puisque les fiches mentionnent l’agence d’achat, ont intérêt à surveiller leurs relevés bancaires et à contester auprès de leur banque tout prélèvement non autorisé (le délai est de 13 mois pour une opération non autorisée), voire à l’informer de l’exposition possible de leur RIB. Il convient aussi de se méfier de tout appel, SMS ou courriel se réclamant de LMP, de la banque ou d’un prétendu conseiller en placement qui citerait des achats exacts pour obtenir un virement, un code ou une validation : ces détails ne prouvent pas l’authenticité de l’interlocuteur, et le mieux est de raccrocher puis de rappeler au numéro officiel. Les messages suspects peuvent être signalés à Signal Spam pour les courriels et au 33700 pour les SMS et les appels, cybermalveillance.gouv.fr propose une assistance aux victimes, et un usage frauduleux d’une pièce d’identité justifie de déposer plainte et d’alerter les organismes concernés. Les détenteurs d’or ont enfin intérêt à rester discrets sur leurs avoirs et à signaler à la police tout repérage ou toute visite inhabituelle près de leur domicile, tandis qu’il est préférable de ne pas chercher à consulter les données diffusées.