Scouts et Guides de France : fichier de 71 000 lignes revendiqué, avec des données d'adhérents, de bénévoles et de représentants légaux

Le 8 octobre 2026, Fuites Infos (à 12 h 40) puis Cyberattaque.org (à 12 h 55) ont signalé qu’un acteur proposait un fichier d’environ 71 000 lignes présenté comme issu de Scouts et Guides de France (SGDF), l’association de scoutisme dont le siège est à Arcueil. Fuites Infos précise que la revendication a été publiée sur un forum cybercriminel, ce que Cyberattaque.org n’indique pas aussi explicitement. FrenchBreaches a classé l’alerte le même jour sous l’intitulé « Association des Scouts de France », et Bonjour la fuite l’a référencée le lendemain, 9 octobre. Ces quatre publications décrivent la même revendication et ne se recoupent donc pas comme quatre vérifications indépendantes : aucune ne dit avoir authentifié le fichier, et Fuites Infos comme Cyberattaque.org précisent que SGDF n’a pas confirmé l’incident. Cyberattaque.org et FrenchBreaches attribuent le fichier à un même pseudonyme, que Fuites Infos ne reprend pas et que cette fiche ne reproduit pas, un pseudonyme ne prouvant ni l’authenticité d’un fichier ni un lien avec un autre incident. FrenchBreaches relève en outre que l’intitulé de la revendication, « Scouts de France », ne permet pas d’attribuer avec certitude le fichier à l’association actuelle, tandis que Fuites Infos rattache la revendication au site sgdf.fr.

Le chiffre de 71 000 désigne des lignes, et non des personnes : Fuites Infos écrit explicitement qu’il ne correspond pas à un nombre de personnes établi, et Cyberattaque.org comme FrenchBreaches relèvent qu’une même personne peut apparaître sur plusieurs enregistrements (inscriptions, formations, périodes d’adhésion). Le format décrit prévoit en outre jusqu’à trois représentants légaux par fiche, ce qui peut aussi bien faire dépasser le nombre de personnes exposées que, au contraire, le laisser en deçà si les lignes recoupent les mêmes individus. Pour situer l’ordre de grandeur, le dossier de presse 2026-2027 de l’association annonce plus de 100 000 adhérents, dont plus de 36 000 bénévoles et plus de 64 000 jeunes, de sorte que le fichier ne couvrirait pas nécessairement toute la base. La part de mineurs dans le fichier reste inconnue : Fuites Infos souligne que la seule ligne visible dans l’extrait concerne un adulte, tandis que Cyberattaque.org et FrenchBreaches écrivent que des mineurs pourraient y figurer, sans l’établir. Les jeunes formant une nette majorité des adhérents selon l’association, la présence de nombreux mineurs serait probable si le fichier était authentique, mais aucune source ne l’atteste : en l’absence de tout nombre de personnes établi, aucun total n’est retenu dans cette fiche, et la gravité « élevée » qui lui est attribuée serait à relever au niveau « critique » si la présence massive de mineurs venait à être démontrée.

Les trois sites spécialisés qui détaillent le fichier convergent sur l’identité complète avec date et lieu de naissance, l’adresse, les téléphones et courriels, la profession, le numéro d’adhérent, la structure locale et la fonction, le suivi des formations (dont le numéro de stagiaire BAFA/BAFD), les coordonnées des représentants légaux, le numéro d’allocataire CAF ou MSA et des autorisations accordées. Plusieurs éléments ne reposent en revanche que sur Cyberattaque.org : les courriels professionnels, les dates d’adhésion avec le tarif associé, le détail des formations et des indicateurs de régime (général, MSA ou étranger). Cyberattaque.org et FrenchBreaches signalent aussi des champs relatifs à une autorisation d’intervention chirurgicale et à l’assurance de responsabilité civile, mais ces deux sites relaient la même revendication, et l’existence d’un champ dans un export ne dit rien de son contenu : aucune donnée de santé n’est établie. Les risques sont concrets : un fraudeur disposant du nom d’un enfant, de son groupe local et de ses parents peut se faire passer pour un chef ou une cheftaine, ou pour un organisme de formation BAFA, pour obtenir un paiement ou des informations ; le numéro d’allocataire permet de bâtir des messages crédibles sur un prétendu dossier CAF ; l’association du nom, de l’adresse et de la date de naissance facilite l’usurpation d’identité des adultes ; et l’appartenance à un mouvement dont le projet éducatif comporte, selon son propre dossier de presse, une dimension spirituelle peut révéler indirectement des convictions de la famille. Aucun mot de passe ne figure dans les champs décrits.

Côté association, aucune communication vérifiable n’a été trouvée au 15 octobre 2026. Dans une mise à jour du 9 octobre à 15 h 00, FrenchBreaches écrit que SGDF confirme une cyberattaque ayant entraîné une fuite de données personnelles, constatée le 8 octobre, mais cette mise à jour ne cite ni message aux adhérents, ni communiqué, ni dépôt auprès de la CNIL, ne dit pas ce que l’association aurait reconnu, et son propre texte indique que l’authenticité du fichier, l’origine des données et le volume réel restent à vérifier. Son bandeau « Confirmée » et la mention « 71 K victimes » vont donc plus loin que son contenu, comme la pastille verte de Bonjour la fuite, dont la seule source est une capture d’écran de la revendication. Aucune autre source consultée ne corrobore cette confirmation : Fuites Infos, dont la page ne porte aucune mise à jour, maintient le statut « Revendiquée », Cyberattaque.org indique que l’association n’a pas confirmé, et ni la page d’accueil de sgdf.fr, ni sa rubrique presse, ni la première page de ses actualités ne mentionnent d’incident. La fiche reste donc « alléguée », dans l’attente d’un message de l’association, d’un communiqué ou d’une déclaration à la presse. Si la violation était avérée et susceptible d’engendrer un risque pour les personnes, les articles 33 et 34 du RGPD imposeraient une notification à la CNIL dans un délai de 72 heures après en avoir pris connaissance, puis une information des personnes concernées en cas de risque élevé. La page « Vie privée » du site indique l’adresse dpo@sgdf.fr pour contacter le DPO de l’association.

Dans l’attente d’une confirmation, les adhérents, les bénévoles, les stagiaires et les parents ont intérêt à se montrer prudents face à tout message, courriel, SMS ou appel qui cite le nom d’un enfant, son groupe, une formation ou un numéro d’adhérent, à ne jamais communiquer d’identifiants CAF ou MSA en réponse à un message (en saisissant soi-même l’adresse du site de la CAF pour consulter son compte), et à vérifier par un canal connu toute demande de paiement présentée comme venant du groupe ou d’un organisme de formation. Les courriels suspects peuvent être signalés à Signal Spam, les SMS et les appels au 33700, et cybermalveillance.gouv.fr propose une assistance gratuite aux victimes. Il est également utile de rappeler aux enfants et aux adolescents concernés de ne pas répondre à un message inattendu se réclamant d’un animateur ou d’un chef de groupe, et d’en parler à un adulte de confiance.