Cinq services d'incendie et de secours visés en deux jours : les données de milliers de sapeurs-pompiers diffusées

Les 29 et 30 août 2026, les bases de cinq services départementaux d’incendie et de secours ont été mises en ligne sur un forum cybercriminel : les Bouches-du-Rhône, le Gard, la Moselle, le Bas-Rhin et les Vosges. Cyberattaque.org et la presse régionale qui le relaie attribuent ces publications à un acteur utilisant le pseudonyme « ChimeraZ », tandis que d’autres analyses ne mentionnent aucun pseudonyme, et le SDIS de la Moselle situe pour sa part son intrusion à la fin du mois de juillet, ce qui signifie que la date de mise en ligne n’est pas nécessairement celle de l’intrusion. Aucun outil métier ni prestataire mutualisé commun n’a été identifié, ce qui n’autorise pas à conclure à une fuite unique chez un fournisseur partagé, sans pour autant établir qu’il s’agit d’une campagne unique.

Trois des cinq services ont reconnu l’incident. Le 31 août, le directeur du SDIS du Gard a confirmé une fuite touchant l’ensemble de ses 3 168 agents, portant sur les nom, prénom, matricule, téléphone et adresse électronique, sans qu’aucune donnée bancaire ait été identifiée à ce stade ; une plainte a été déposée, certaines applications ont été arrêtées temporairement en lien avec la Direction générale de la sécurité civile, et la continuité des secours a été assurée. Le même jour, la direction du SDIS de la Moselle a confirmé une cyberattaque, déposé plainte et déclaré l’incident à la CNIL, en précisant que les données volées étaient les noms, prénoms, grades, adresses électroniques et dates approximatives d’arrivée de certains sapeurs-pompiers, et qu’une communication interne du 5 août avait déjà invité les agents à changer leur mot de passe, ce qui est cohérent avec une intrusion antérieure de plusieurs semaines à la mise en ligne. Le service d’incendie et de secours du Bas-Rhin a, selon une source de veille qui relaie France 3 Grand Est, confirmé par communiqué le 1er septembre le vol de données du 29 août et informé les agents concernés. Pour les Bouches-du-Rhône et les Vosges, aucune confirmation n’a été retrouvée au 8 octobre 2026, ce qui laisse ces deux volets au stade de la revendication : le statut « confirmée » ne vaut donc que pour les services qui ont reconnu les faits.

Le chiffre de dix-huit mille sapeurs-pompiers, largement repris, ne résiste pas à la vérification. L’observatoire qui l’avance annonce un total de 17 952 personnes qui ne correspond pas à la somme des sous-totaux qu’il publie par ailleurs pour chacun des cinq services. Faute de pouvoir trancher entre les deux, seul le sous-total confirmé du Gard est retenu comme solide, le reste devant être lu comme un ordre de grandeur.

Les données concernées sont professionnelles, ce qui pourrait laisser croire à un risque limité. Il l’est moins qu’il n’y paraît pour deux raisons. La première est le volume de sapeurs-pompiers volontaires, dont l’adresse électronique enregistrée est fréquemment personnelle, ce qui brouille la frontière entre annuaire de service et fichier de particuliers. La seconde tient à l’usage possible du croisement grade, affectation et centre de rattachement : il permet de construire une sollicitation crédible se réclamant de la hiérarchie ou d’un organisme de formation, auprès d’un public habitué à des communications administratives fréquentes.

Cette fiche ne couvre que la vague des 29 et 30 août. D’autres épisodes ont été signalés depuis, sous d’autres pseudonymes et sans lien technique établi avec elle. Le premier est une fuite d’annuaire revendiquée le 26 septembre contre le SDIS de la Somme, sous le pseudonyme « gqtia » selon Cyberattaque.org : elle porte sur environ 2 300 personnes distinctes pour 16 000 comptes annoncés, ne repose que sur deux analyses d’une même publication et n’a été confirmée ni par le service ni par une presse que nous ayons pu consulter, de sorte qu’elle reste un cas distinct, non rattaché à cette fiche. Le second est le vol de bilans de secourisme au SDIS des Pyrénées-Orientales, confirmé par le service et détaillé dans une fiche distincte. Une source de veille évoque par ailleurs une série plus large de quatorze services d’incendie et de secours touchés en 2026, dont une vague de fin juillet, qui n’a pas fait l’objet de la même vérification.