Une fuite de données attribuée à Litige.fr a été revendiquée sur un forum cybercriminel le 10 juillet 2026. L’auteur affirme avoir exploité une faille critique de contrôle d’accès pour consulter les informations de plus de 2 millions d’utilisateurs.
La plateforme, éditée par la société Demander Justice, accompagne particuliers et entreprises dans leurs démarches de résolution de litiges, notamment à travers des mises en demeure, des médiations et des procédures judiciaires.
À ce stade, cette revendication doit être considérée avec une grande prudence. Aucun élément officiel ne confirme l’incident et l’échantillon publié reste trop limité pour vérifier le volume annoncé.
Une faille IDOR revendiquée sur Litige.fr
Le cybercriminel affirme avoir découvert une vulnérabilité de type IDOR, pour Insecure Direct Object Reference. Ce défaut apparaît lorsqu’un site permet d’accéder à une ressource en modifiant un identifiant, sans vérifier correctement les droits de l’utilisateur.
Dans un tel scénario, un attaquant peut automatiser la consultation de milliers ou de millions de fiches en faisant varier un identifiant dans une requête ou une adresse web.
L’auteur affirme également pouvoir modifier les comptes utilisateurs. Cette capacité n’est toutefois étayée par aucune preuve technique publique suffisante.
Noms, téléphones et adresses potentiellement exposés
Selon la revendication, les données accessibles comprendraient notamment :
- nom et prénom ;
- nom complet ;
- adresse email ;
- numéro de téléphone ;
- adresse postale ;
- complément d’adresse ;
- code postal ;
- ville ;
- pays ;
- identifiant interne ;
- adresses web associées aux profils.
Aucun mot de passe, document judiciaire ou contenu de dossier n’est mentionné dans les éléments publiés. Le périmètre réel reste donc inconnu.
Le chiffre de 2 millions reste impossible à vérifier
Le volume annoncé de plus de 2 millions d’utilisateurs repose uniquement sur les déclarations du cybercriminel. L’échantillon diffusé est très restreint et ne permet pas de confirmer l’existence d’une base de cette ampleur.
La source présente également peu de garanties : le compte ayant publié la revendication est récent et ne dispose pas d’un historique permettant d’évaluer sa fiabilité.
Il reste donc possible que le volume soit exagéré, que les données proviennent d’un périmètre plus limité ou que la revendication mélange plusieurs ensembles.
Des risques de phishing liés aux démarches juridiques
Si les données sont authentiques, leur exploitation pourrait permettre de cibler les utilisateurs avec de faux messages liés à un litige, une mise en demeure, une médiation ou une procédure judiciaire.
Un fraudeur disposant du nom, du téléphone et de l’adresse d’une personne pourrait se faire passer pour Litige.fr, un avocat, un commissaire de justice ou une administration afin de réclamer un paiement ou des documents supplémentaires.
Une éventuelle modification de comptes plus préoccupante
La possibilité revendiquée de modifier des comptes augmenterait fortement la gravité de l’incident. Un accès en écriture pourrait permettre d’altérer des coordonnées, de modifier des informations de profil ou de perturber l’accès des utilisateurs.
Aucune preuve ne permet toutefois de confirmer que cette capacité existe réellement ni qu’elle a été utilisée.
Une revendication encore très fragile
À ce stade, aucune confirmation officielle de Litige.fr ou de Demander Justice n’a été communiquée. Le volume, l’origine de l’accès et la nature exacte des données doivent encore être vérifiés.
La revendication mérite donc d’être surveillée, mais ne permet pas encore d’affirmer que plus de 2 millions d’utilisateurs ont réellement été compromis.
Que doivent surveiller les utilisateurs ?
Les utilisateurs doivent rester vigilants face aux emails, SMS ou appels évoquant un dossier juridique, une procédure urgente, une mise en demeure ou un paiement à effectuer.
Toute demande inhabituelle doit être vérifiée directement depuis les canaux officiels de Litige.fr. Le fait qu’un message mentionne une véritable adresse ou des informations personnelles ne suffit pas à garantir son authenticité.