Parti communiste français : fuite du fichier des adhérents et sympathisants reconnue par le PCF, près de 190 000 personnes revendiquées par un pirate

Le vendredi 23 octobre 2026, le Parti communiste français a publié un communiqué par lequel il reconnaît une fuite de données touchant son fichier d’adhérents et de sympathisants. Le parti y indique avoir été alerté le jour même par l’ANSSI, avoir « immédiatement engagé la sécurisation de ses systèmes, de ses outils informatiques et de ses bases de données » (citation rapportée par Next, LeMondeInformatique et Leto), mener des investigations avec l’agence et les autorités compétentes, avoir notifié la CNIL (précision rapportée par Cyberattaque.org et LeMondeInformatique, et par Leto d’après Le Parisien) et vouloir déposer plainte. Le lendemain matin, samedi 24 octobre à 8 h 41 selon Cyberattaque.org, le pseudonyme ChimeraZ a publié l’annonce de vente d’une base qu’il attribue à pcf.fr. L’expression « nouvelle dimension » employée par Cyberattaque.org désigne le passage de la confirmation du parti à cette mise en vente, car aucune des sources consultées ne mentionne d’épisode antérieur propre au PCF ; la date d’extraction des données et la durée de l’accès restent inconnues. Le communiqué lui-même, publié sur le site du parti, n’a pas pu être consulté directement : ses termes sont connus par ces relais de presse.

Les chiffres viennent uniquement du vendeur, que le PCF ne reprend pas : un fichier JSONL de 40 Mo comptant 194 641 lignes, qui correspondraient selon lui à 183 363 personnes, avec 113 971 numéros de téléphone et 77 076 adresses électroniques, accompagné d’un échantillon de 1 000 fiches. Les médias titrent sur « près de 190 000 personnes », un arrondi de ces volumes (LeMondeInformatique attribue ce chiffre à une estimation de FrenchBreaches, dont l’analyse n’a pas été consultée, tandis que Next le présente comme la revendication du pirate, et le PCF n’a communiqué aucun nombre). Il s’agit donc d’un nombre de lignes et d’un décompte de personnes établi par le vendeur, dont rien ne garantit qu’il soit dédoublonné, et Cyberattaque.org précise que son examen de l’échantillon valide la structure des fiches mais ne permet ni d’authentifier toute la base ni de vérifier les volumes. Le fichier concerne des adhérents et des sympathisants, et le formulaire d’adhésion du parti mentionne plus de 65 000 adhérents (information rapportée par Cyberattaque.org seul, sans source officielle consultée) : l’écart signale que la base réunit d’autres catégories de contacts, dont la répartition n’est pas connue, de sorte que ni la présence dans le fichier ni le volume annoncé ne mesurent le nombre de militants.

Selon l’échantillon examiné par Cyberattaque.org, les fiches comportent civilité, nom, prénom, adresse postale complète, téléphone fixe ou mobile et adresse électronique, ces coordonnées étant renseignées de façon inégale d’une fiche à l’autre. Le PCF affirme qu’aucune donnée bancaire n’est concernée, ce qui n’a pas pu être vérifié de façon indépendante. La sensibilité tient à la nature du fichier : l’appartenance, la proximité ou le soutien à un parti relèvent des opinions politiques, catégorie particulière de données protégée par l’article 9 du RGPD, et la simple présence dans la base peut être interprétée comme un engagement, y compris pour une personne qui n’a jamais rendu public son rapport à la politique. Les risques décrits par la presse spécialisée sont l’hameçonnage par courriel ou SMS usurpant le PCF ou une fédération, ainsi que le harcèlement ciblé et l’intimidation ; aucun usage malveillant de ce fichier n’a été établi à ce stade. La gravité est retenue à « critique » en raison de la nature des données et du volume revendiqué, et serait à reconsidérer si le périmètre réel s’avérait nettement plus restreint.

Du côté de la réaction, le PCF présente ses excuses aux personnes concernées, annonce un renforcement durable de ses dispositifs de sécurité et prévoit, selon Cyberattaque.org, d’informer individuellement par courriel les personnes dont les données ont été compromises, tout en les appelant à la vigilance face aux courriels, appels et SMS suspects. Il n’a communiqué ni nombre de personnes, ni origine technique, ni confirmation que la base mise en vente correspond au fichier compromis, et le dépôt de plainte, simplement annoncé, n’a pas été confirmé par les sources consultées. Le même week-end, ChimeraZ a revendiqué des fichiers attribués à Renaissance (voir la fiche Renaissance) et à La France insoumise (voir la fiche La France insoumise), deux partis qui contestent toute intrusion, alors que le PCF est le seul à avoir reconnu un incident : l’emploi d’un même pseudonyme ne suffit pas à établir un lien technique entre ces affaires, et aucune source consultée n’en établit.

Les personnes ayant donné leurs coordonnées au PCF, comme adhérents ou comme sympathisants, peuvent s’attendre à des messages frauduleux se réclamant du parti : mieux vaut ne cliquer sur aucun lien et ne transmettre aucune information ni aucun paiement à la suite d’un courriel ou d’un SMS inattendu, et vérifier toute sollicitation en contactant directement sa fédération par un canal connu. Les courriels suspects peuvent être signalés à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée. Les personnes qui craignent une exposition de leur engagement peuvent exercer auprès du parti leurs droits d’accès et d’opposition prévus par le RGPD, et saisir la CNIL si elles estiment ne pas obtenir de réponse satisfaisante.