Le démantèlement de LeakBase a été annoncé le 4 mars 2026 par Europol, le FBI et le département de la Justice américain. Ce forum servait de place de marché aux bases de données volées. Selon Europol, il comptait en décembre 2025 plus de 142 000 utilisateurs inscrits.
Pour un responsable de traitement, l’affaire a une conséquence concrète. Les fichiers vendus sur le forum LeakBase sortaient d’organismes victimes de violations de données. La saisie de la base du forum permet désormais aux enquêteurs de remonter vers des acheteurs qui se croyaient anonymes.
Ce que l’on vendait sur le forum LeakBase
Actif depuis 2021, le forum totalisait environ 32 000 publications et plus de 215 000 messages privés. Il proposait surtout deux marchandises. D’abord, des bases de données volées lors de cyberattaques. Ensuite, des « stealer logs ». Ces archives regroupent des identifiants récoltés par des logiciels espions (infostealers) installés sur les ordinateurs des victimes.
Selon le département de la Justice américain, cité par The Record, ses archives contenaient des centaines de millions d’identifiants de comptes. Elles comprenaient aussi des numéros de cartes bancaires et des coordonnées de comptes bancaires.
Un acheteur y trouvait donc des listes avec noms, adresses électroniques, mots de passe, numéros de téléphone et adresses postales. Ces fichiers alimentent ensuite l’hameçonnage ciblé et la fraude. Un message frauduleux qui cite votre nom, votre adresse et votre fournisseur paraît crédible. Il l’est justement parce que ces informations ont fuité.
Operation Leak : une action dans 14 pays
L’opération s’est déroulée en deux temps. Le 3 mars 2026, les forces de l’ordre ont mené des arrestations, des perquisitions et des « visites de sensibilisation » dans 14 pays. Europol cite notamment les États-Unis, l’Australie, la Belgique, le Canada, l’Allemagne, l’Espagne, la Pologne, le Portugal, la Roumanie et le Royaume-Uni. Une centaine d’actions ont ainsi visé le forum LeakBase et ses 37 utilisateurs les plus actifs.
Le lendemain, les autorités ont saisi le nom de domaine et affiché un avis officiel de saisie. Elles ont aussi saisi la base de données du forum, avec les comptes et les échanges de ses membres.
Le 25 mars 2026, le ministère russe de l’Intérieur a ensuite annoncé l’arrestation d’un habitant de Taganrog, soupçonné d’avoir créé et administré LeakBase. Des chercheurs de KELA et de TriTrace Investigations avaient identifié l’administrateur. Connu sous les pseudonymes « Chucky », « beakdaz » et « Sqlrip », il correspond selon eux à un Russe de 33 ans résidant dans cette ville. Pour cela, ils ont recoupé des traces numériques remontant à plus de dix ans. Europol a toutefois précisé, selon TechCrunch, ne pas coopérer avec les autorités russes et ne pas avoir participé à cette arrestation.
Démantèlement de LeakBase : les obligations RGPD des organismes
Une base de données en vente sur un forum de ce type provient le plus souvent d’une violation de données au sens de l’article 4, point 12, du RGPD. Elle révèle parfois un manquement à l’obligation de sécurité de l’article 32. Chaque organisme concerné devait donc notifier la CNIL dans les 72 heures (article 33). Seule exception : une violation non susceptible d’engendrer un risque pour les personnes. En cas de risque élevé, il devait aussi informer les personnes concernées (article 34).
Le démantèlement de LeakBase n’efface pas ces fichiers. Des copies circulent ailleurs. Vos données apparaissent sur un site de fuite ? Suivez la démarche décrite dans notre article sur les sites de fuites de données. Pour rédiger l’information des personnes, appuyez-vous sur notre guide consacré à la communication d’une violation aux personnes notifiées.
La directive NIS 2 ajoute ses propres délais pour les entités essentielles et importantes : 24 heures pour l’alerte précoce, puis 72 heures pour la notification de l’incident. Le texte de la directive fixait au 17 octobre 2024 la date limite de transposition par les États membres. Vérifiez dès maintenant si votre organisme entre dans son champ.
Réduire le risque de retrouver vos fichiers en vente
Surveillez d’abord vos domaines dans les fuites connues, avec des services comme Have I Been Pwned ou des outils de veille sur les menaces. Activez ensuite l’authentification multifacteur sur tous les accès critiques. Un identifiant volé perd alors une grande partie de sa valeur.
Formez aussi vos équipes à repérer l’hameçonnage. Les données vendues sur le forum LeakBase servaient justement à crédibiliser ces messages. Focus RGPD, notre plateforme de sensibilisation, propose des vidéos sur ce sujet. Enfin, documentez vos mesures de sécurité au titre de l’article 32 et testez votre procédure de gestion des violations. Une procédure jamais testée échoue en général le jour où elle sert.
Notre tutoriel pour notifier une violation de données personnelles reprend le formulaire de la CNIL pas à pas.
Sources
Les chiffres du forum et le déroulé de l’opération viennent du communiqué d’Europol, Major data leak forum dismantled in global action against cybercrime forum.
Le rôle du FBI et du département de la Justice est décrit par The Record dans Sprawling FBI, European operation takes down Leakbase cybercriminal forum et par The Hacker News dans FBI and Europol Seize LeakBase Forum Used to Trade Stolen Credentials.
L’arrestation en Russie est rapportée par TechCrunch dans Russia arrests alleged owner of cybercrime forum LeakBase, report says, par The Record dans Russia detains alleged admin of LeakBase cybercrime forum weeks after global crackdown, par BleepingComputer dans Russia arrests suspected owner of LeakBase cybercrime forum et par The Hacker News dans LeakBase Admin Arrested in Russia Over Massive Stolen Credential Marketplace.
Les délais de notification de NIS 2 figurent dans la directive (UE) 2022/2555 du 14 décembre 2022 (EUR-Lex).
