La fuite de données YggTorrent a précédé de quatre mois la chute judiciaire de la plateforme. Le 2 juillet 2026, la Gendarmerie nationale a annoncé le démantèlement de la structure qui pilotait ce site de téléchargement, créé en 2017 et fort de plus de 10 millions de membres selon les enquêteurs.
L’enquête pénale porte sur le téléchargement illicite. La fuite, elle, concerne directement les membres, et par ricochet les employeurs dont les salariés réutilisent leurs mots de passe.
Le démantèlement de YggTorrent annoncé par la gendarmerie
Depuis fin 2023, douze personnes ont été interpellées : administrateurs, modérateurs et contrôleurs. Les enquêteurs ont saisi des crypto-actifs et 45 000 euros de matériel informatique.
L’antenne de l’unité nationale cyber (UNCyber) de la section de recherches de Montpellier conduit l’enquête. Elle porte sur des faits de contrefaçon en bande organisée, de blanchiment aggravé et d’administration d’une plateforme en ligne facilitant des transactions illicites. Selon le communiqué, le site était « financé principalement par la vente de forfaits de données réglés par carte ou en cryptomonnaie ». La plateforme traitait donc des paiements par carte.
Fuite de données YggTorrent : le récit de l’intrusion de mars 2026
Dans la nuit du 3 au 4 mars 2026, un attaquant se présentant sous le pseudonyme « Gr0lum » a compromis l’infrastructure du site. D’après son propre récit, relayé par Next, il a d’abord trouvé un service de base de données (SphinxQL) accessible depuis Internet sans authentification, sur un serveur de pré-production. Il a ensuite récupéré un mot de passe administrateur stocké en clair dans un fichier de configuration.
L’équipe du site a confirmé la compromission d’un serveur secondaire de pré-production et une escalade de privilèges. L’attaquant affirme avoir exfiltré bases de données, code source, journaux et configurations. Il dit aussi avoir détruit les serveurs et les bases, sauvegardes comprises. Peu après, l’équipe a annoncé la fermeture définitive de la plateforme.
Ce que contient l’archive, et ce qui reste contesté
La plateforme revendiquait environ 6,6 millions de comptes. L’archive publiée par l’attaquant pèse 11 Go compressés, soit environ 30 Go une fois décompressée, selon Clubic. Distinguez ce qui est établi de ce qui relève de la seule parole de l’attaquant.
| Élément | Affirmation | Statut |
|---|---|---|
| Données retirées | Adresses électroniques, adresses IP et empreintes de mots de passe absentes de l’archive | Affirmé par l’auteur, non vérifié de manière indépendante |
| Données présentes | Profils associables par pseudonyme, avec âge déclaré, sexe et historique des téléchargements | Premières analyses relayées par la presse |
| Mots de passe | Moitié des empreintes encore en MD5, un algorithme obsolète | Affirmé par l’attaquant, contesté, non prouvé |
| Cartes bancaires | 54 776 cartes interceptées par un mécanisme caché dans le code | Affirmé par l’attaquant, contesté, non prouvé |
Les anciens administrateurs contestent les deux dernières allégations. Ils affirment que les mots de passe étaient hachés et salés, et qu’ils n’ont jamais collecté de données bancaires exploitables. Aucune de ces versions n’a été prouvée à ce jour.
Membres et employeurs : un risque qui déborde de la plateforme
Pour les membres, le risque reste concret même sans adresse électronique dans l’archive. Un pseudonyme réutilisé ailleurs suffit à relier un historique de téléchargement à une personne. Ensuite viennent l’hameçonnage ciblé, la réutilisation de mots de passe, l’usurpation d’identité et la fraude à la carte.
Le risque se déplace aussi vers les employeurs. Une part de ces comptes a pu être créée avec une adresse professionnelle, ou avec un mot de passe réutilisé au bureau. Le bourrage d’identifiants exploite précisément ce cas : des couples adresse et mot de passe issus d’une plateforme tierce sont rejoués automatiquement contre la messagerie, le VPN et les applications métiers d’une organisation.
Ce que le RGPD impose face à une violation de ce type
L’article 32 du règlement général sur la protection des données (RGPD) exige des mesures techniques et organisationnelles adaptées au risque : chiffrement des données sensibles, cloisonnement des environnements, gestion des secrets et des accès. Si les allégations se confirment, un service exposé sans authentification, un mot de passe administrateur en clair et des empreintes en MD5 en sont l’exact opposé. Notre fiche Article 32 RGPD : obligation de sécurité des données détaille le niveau attendu.
En cas de violation, l’article 33 impose de notifier la Commission nationale de l’informatique et des libertés (CNIL) dans les meilleurs délais, si possible sous 72 heures. Lorsque le risque est élevé, l’article 34 oblige à informer directement les personnes, pour qu’elles puissent réagir.
Une plateforme illicite reste un responsable de traitement au sens de l’article 4 du RGPD. Toutefois, une fois la structure démantelée, plus personne n’informe les membres exposés. Les victimes doivent donc se protéger seules, et les organismes doivent anticiper l’usage des identifiants volés.
Les mesures à prendre dès maintenant
Dans votre organisation, imposez l’authentification multifacteur sur toute interface exposée à Internet : messagerie, VPN, applications métiers. Surveillez aussi les fuites d’identifiants portant sur vos noms de domaine, avec les méthodes décrites dans RIFI : comment détecter une fuite de données sur Internet. Si vos propres fichiers apparaissent sur un site de fuite, suivez notre guide Sites de fuites de données : que faire si vos fichiers y circulent.
Côté technique, l’affaire rappelle des règles de base. N’exposez jamais un service de base de données sans authentification forte. Rangez les mots de passe administrateurs dans un coffre-fort de secrets, jamais dans un fichier de configuration. Cloisonnez la pré-production et la production, puisque l’intrusion est partie d’un serveur secondaire. Enfin, tenez un registre des violations et un modèle de notification à la CNIL prêts avant l’incident.
Sources
Le bilan de l’enquête et la citation sur le financement proviennent du communiqué de la gendarmerie, Démantèlement du site de téléchargement en ligne YGGTORRENT par les cybersenquêteurs de l’antenne UNCyber de Montpellier.
Next a résumé l’annonce dans La gendarmerie annonce le démantèlement de la structure YggTorrent.
Le récit de l’intrusion et la fermeture du site figurent dans l’article de Next Un empire bâti sur le racket : YggTorrent ferme, 30 Go de données dans la nature.
Le contenu de l’archive et les allégations contestées sont analysés par Clubic dans Fuite YggTorrent : ce que contient (et ne contient pas) l’archive de 11 Go publiée après la chute du site.
franceinfo a couvert la destruction du site dans Le site de téléchargement illégal YggTorrent détruit volontairement par un pirate.
Clubic et TorrentFreak ont rendu compte du démantèlement dans YggTorrent : quatre mois après le hack qui l’a fait tomber, la gendarmerie démantèle son réseau et French Police Dismantle Operation Behind the Already Defunct YggTorrent.
Les articles 4, 32, 33 et 34 du RGPD se lisent sur EUR-Lex, Règlement (UE) 2016/679.
