Une importante fuite de données est revendiquée contre la CLCV, association nationale de consommateurs et usagers. Le 8 août 2026, un hacker utilisant le pseudonyme cyberjuif affirme avoir récupéré une base au format JSON contenant 80 031 dossiers, pour un volume d’environ 108 759 Ko.
Les données ne se limitent pas à de simples coordonnées : l’échantillon publié contient également des informations détaillées sur les demandes et litiges soumis à l’association, ce qui augmente fortement la sensibilité de la fuite.
80 031 dossiers liés aux consommateurs
La base revendiquée contient de nombreux champs permettant d’identifier les personnes et de comprendre la raison pour laquelle elles ont sollicité la CLCV. On y retrouve notamment :
- nom et prénom ;
- adresse e-mail et numéro de téléphone ;
- adresse, ville, code postal et pays ;
- statut d’adhérent à la CLCV et numéro de membre lorsqu’il existe ;
- objet et motif de la demande ;
- résumé détaillé du problème rencontré ;
- statut du dossier et intervention éventuelle de la CLCV ;
- informations sur la partie adverse ;
- montant d’une transaction ou d’une perte lorsqu’il est renseigné ;
- consentement éventuel à témoigner dans les médias.
Nous ne reproduisons évidemment aucune des coordonnées ou informations personnelles présentes dans l’échantillon.
Des litiges personnels décrits directement dans la base
Le point le plus préoccupant concerne les résumés des demandes adressées à la CLCV. L’exemple diffusé décrit précisément un problème de logement ainsi que les démarches déjà entreprises et les conseils donnés à la personne.
Selon les dossiers réellement présents, la base pourrait donc permettre de connaître non seulement l’identité d’un consommateur, mais également ses difficultés avec un logement, une entreprise, un contrat ou un service. Le champ « secteur » et les différentes classifications semblent justement servir à organiser ces réclamations.
Adhérents et personnes ayant simplement sollicité la CLCV
La présence d’un champ indiquant si la personne est membre de la CLCV montre que la base ne semble pas nécessairement limitée aux seuls adhérents. Elle pourrait également contenir des personnes ayant contacté l’association pour obtenir une information, un conseil ou une intervention.
Le chiffre de 80 031 lignes ne doit donc pas être présenté automatiquement comme 80 031 adhérents. Il correspond au nombre de dossiers annoncé par l’auteur de la fuite.
Des données idéales pour construire des arnaques très crédibles
Pour des fraudeurs, la combinaison entre identité, téléphone et connaissance exacte d’un litige en cours permet de créer des scénarios de phishing particulièrement convaincants.
Un attaquant pourrait par exemple se faire passer pour la CLCV, un bailleur, un professionnel concerné par le dossier ou un organisme chargé de résoudre le litige, en utilisant des informations que seule la victime pense connues des différents interlocuteurs.
- phishing et appels frauduleux personnalisés ;
- usurpation de la CLCV ou d’un professionnel impliqué dans un dossier ;
- fraudes financières exploitant un véritable litige ;
- harcèlement ou divulgation d’informations privées ;
- croisement avec d’autres bases de données compromises.
Comment la base a-t-elle été récupérée ?
L’auteur ne fournit aucun élément technique permettant de déterminer le point d’entrée utilisé. Une vulnérabilité applicative, la compromission d’un compte disposant de droits importants ou l’accès à une base de données ou à une sauvegarde pourraient permettre ce type d’extraction.
La présence de données très structurées au format JSON laisse penser à une extraction issue d’un outil de gestion des demandes ou d’un système interne, mais l’origine technique exacte reste inconnue.
Une fuite encore non confirmée par la CLCV
À ce stade, il s’agit d’une revendication non confirmée officiellement par la CLCV. Un échantillon structuré a été diffusé pour étayer l’affirmation, mais l’authenticité de l’ensemble des 80 031 dossiers et le périmètre exact de la compromission restent à confirmer.
Si la base complète correspond bien aux données de l’association, l’incident serait particulièrement sensible en raison de la présence simultanée de coordonnées personnelles et du contenu détaillé de milliers de litiges de consommateurs.