JeVeuxAider.gouv.fr piraté : 550 000 comptes de bénévoles exposés, ce que vous risquez vraiment

C’est un communiqué du ministère des Sports, daté du 16 juin 2026, qui a mis tout le monde en émoi. La plateforme JeVeuxAider.gouv.fr, qui met en relation des bénévoles avec des associations, a été victime d’une fuite de données personnelles concernant environ 550 000 comptes. Le pirate, qui se fait appeler “Misere” sur un forum du darkweb, a déjà publié des échantillons. Et selon le chercheur Clément Domingo, il s’agirait d’un jeune hacker français, lié au groupe Dumpsec dont sept membres viennent d’être interpellés.

Pas de mot de passe, pas de donnée bancaire, pas de pièce d’identité. Sur le papier, nous pourrions nous dire que c’est une fuite “anodine”. Sauf que les données qui ont fui (date de naissance, historique d’engagement associatif) sont parmi les plus sensibles pour profiler quelqu’un. Nous vous expliquons tout, et surtout ce qu’il faut faire si vous êtes concerné.

Que s’est-il passé, exactement ?

Le 15 juin 2026, la Direction interministérielle du numérique (DINUM) détecte un incident de sécurité sur la plateforme JeVeuxAider.gouv.fr. Très vite, les équipes techniques comprennent l’ampleur : un acteur malveillant a exploité une “vulnérabilité de sécurité” pour extraire les données d’environ 550 000 comptes utilisateurs.

Le lendemain, mardi 16 juin, le ministère des Sports confirme l’incident par communiqué officiel. La plateforme est temporairement suspendue, le temps de finaliser les investigations techniques. Selon les informations du chercheur Clément Domingo, reprises par 01net, le pirate se fait appeler “Misere” sur un forum darkweb, et la vulnérabilité exploitée serait de type IDOR (Insecure Direct Object Reference), une faille très répandue dans les systèmes d’information des administrations françaises.

Bonne nouvelle : la vulnérabilité a depuis été corrigée, et la plateforme a été remise en ligne dans la journée du 16 juin, “dans des conditions de sécurité renforcées”, selon le gouvernement. Les utilisateurs concernés seront informés individuellement.

Pourquoi c’est plus grave qu’une fuite “juste” de coordonnées

Sur le papier, nous pourrions nous dire : pas de mot de passe, pas de bancaire, c’est une fuite mineure. C’est faux, et voici pourquoi. La donnée la plus sensible de cette fuite, c’est l’historique d’engagement associatif. Pourquoi ? Parce qu’elle révèle vos convictions, vos centres d’intérêt, et parfois vos affiliations politiques ou religieuses.

Imaginez : vous êtes bénévole dans une association de soutien aux sans-abri, dans une ONG environnementale, ou dans un collectif d’aide aux migrants. Cette information, croisée avec votre nom et votre date de naissance, permet de vous profiler très précisément. Et ce profil peut servir à :

• Du phishing ciblé : un e-mail qui imite une association pour laquelle vous avez fait du bénévolat, avec un lien ou une pièce jointe piégée.
• De l’ingénierie sociale : un appel téléphonique d’un faux “chargé de mission” qui connaît votre parcours associatif et vous demande des informations sensibles.
• Du ciblage publicitaire ou idéologique : revente de la base à des acteurs politiques, des groupes de pression, ou des entreprises de ciblage comportemental.
• De l’usurpation ciblée : quelqu’un qui se fait passer pour vous, avec une connaissance fine de votre profil, auprès d’une administration ou d’un service.

En gros, nous sommes passés d’une fuite technique à une fuite “humaine”. Et c’est bien plus difficile à détecter que le traditionnel vol de numéro de carte bancaire.

Le lien probable avec le groupe Dumpsec et l’arrestation du 11 juin

Un détail intéressant : “Misere” est le même pseudo que celui qui a revendiqué la fuite de la RATP le 14 juin (62 208 fiches employés). Et selon le chercheur Clément Domingo, ce pirate est lié au groupe Dumpsec, dont sept membres viennent d’être interpellés par l’Office anticybercriminalité (OFAC), dans le cadre d’une enquête dévoilée par l’AFP le 11 juin.

Selon la commissaire Julie Benoit de l’OFAC, citée par l’agence, “ce sont de jeunes hackers français en quête de notoriété et se croyant hors d’atteinte”. Le groupe Dumpsec serait impliqué dans plus de 1 500 attaques, visant l’Assemblée nationale, Leroy Merlin, des fédérations sportives, des sites médicaux. Les sept interpellés sont décrits comme “des mineurs ou des jeunes majeurs” et “totalement décomplexés”.

Ce qui est troublant, c’est que “Misere” continue de revendiquer des attaques après l’arrestation de ses présumés complices. Soit il n’a pas été identifié dans le coup de filet, soit l’arrestation n’a pas dissuadé le groupe, soit plusieurs cellules opèrent en parallèle. C’est une question que les enquêteurs vont devoir trancher.

La faille IDOR : une vulnérabilité vieille comme le web

L’IDOR (Insecure Direct Object Reference) est une vulnérabilité connue depuis plus de 15 ans. Elle repose sur un principe simple : un utilisateur peut deviner ou modifier l’identifiant d’une ressource (par exemple un numéro de compte) dans une URL, et ainsi accéder à des données qui ne sont pas les siennes.

Concrètement, si l’URL d’un utilisateur est du type “jeveuxaider.gouv.fr/profil/12345”, un attaquant peut tester les URLs “12346”, “12347”, “12348” et ainsi de suite, en extrayant les données de chaque compte. Pour éviter ça, il faut vérifier côté serveur que l’utilisateur a bien le droit d’accéder à la ressource demandée. Ce contrôle, appelé “contrôle d’accès”, est malheureusement souvent négligé dans les administrations.

Le chercheur Clément Domingo l’a d’ailleurs pointé : les failles IDOR sont “très répandues dans les systèmes des administrations françaises”. C’est probablement la vulnérabilité la plus simple à détecter et à corriger, et c’est aussi l’une des plus vieilles. Le fait qu’elle soit encore exploitable en 2026 sur une plateforme gouvernementale récente pose question sur l’audit de sécurité initial.

Comment savoir si vous êtes concerné, et que faire

Si vous avez créé un compte sur JeVeuxAider.gouv.fr depuis 2020, vous êtes potentiellement concerné. Le ministère des Sports a annoncé que les utilisateurs seront “informés individuellement”, mais ça peut prendre plusieurs jours. En attendant, voici ce qu’il faut faire.

1. Surveillez votre boîte mail : un e-mail officiel de JeVeuxAider.gouv.fr (vérifiez le domaine exact, pas une imitation) vous informera si vous êtes dans la liste.
2. Ne cliquez sur aucun lien dans un e-mail qui vous demande de “vérifier votre compte” ou de “valider votre profil”. Allez directement sur le site officiel en tapant l’URL vous-même.
3. Préparez-vous à du phishing ciblé : si vous avez fait du bénévolat pour une cause particulière (environnement, aide aux migrants, soutien scolaire, etc.), attendez-vous à recevoir des messages imitant des associations du même secteur.
4. Ne communiquez jamais votre date de naissance par téléphone à un interlocuteur qui vous a appelé, même s’il connaît votre nom. Les vraies administrations ne demandent pas ça à l’aveugle.
5. Surveillez vos comptes en ligne (banque, messagerie, réseaux sociaux) pour détecter toute connexion suspecte dans les semaines qui viennent.
6. Si vous utilisez le même mot de passe ailleurs (ce que nous ne devrions jamais faire, mais bon), changez-le partout maintenant.
7. Signalez tout message suspect à la plateforme Signal-Arnaques ou à la plateforme Cybermalveillance.gouv.fr.

Nous vous tenons au courant dès qu'il y a du nouveau sur l'enquête, l'identification formelle du pirate, et les suites données. En attendant, partagez cet article à toute personne de votre entourage qui s'engage dans une association, parce que le risque va au-delà du simple compte JeVeuxAider.