Searcher : 1,2 milliard de données de Français exposés

Un adolescent de 18 ans, connu sous le pseudonyme Zalco, a lancé début juin 2026 un moteur de recherche nommé Searcher qui centralise 1,2 milliard de données personnelles volées à des Français. Coordonnées bancaires, numéros de Sécurité sociale, rendez-vous médicaux, données de fonctionnaires, adresses et numéros de passeport : tout était accessible en quelques clics, gratuitement jusqu’au 15 juin, puis contre 10 euros la semaine. Le 12 juin 2026, la ministre déléguée à l’IA et au Numérique Anne Le Hénanff a saisi la justice via l’article 40 du Code de procédure pénale. Cet article décrypte le fonctionnement de Searcher, les raisons de la saisine ministérielle, et surtout la marche à suivre concrète pour vérifier si vos données s’y trouvent et demander leur suppression.

Qu’est-ce que Searcher, ce moteur qui expose 1,2 milliard de données personnelles de Français ?

Searcher est un moteur de recherche accessible via un site web qui agrège automatiquement des données personnelles de citoyens français. Selon les révélations de plusieurs médias, dont 20 Minutes et Orange Actu, la plateforme référençait 1,2 milliard de fiches au moment de sa médiatisation, soit l’équivalent de la population française multipliée par dix-sept. Chaque fiche peut contenir plusieurs dizaines de champs par individu.

Lancée début juin 2026 (le média Le Singulier écrivait « il y a dix jours » au 13 juin), la plateforme a été initialement signalée par des enseignants d’un collège de l’Essonne, surpris de voir leurs données personnelles directement accessibles aux élèves. C’est cette alerte dans un cadre scolaire qui a déclenché l’emballement médiatique et la réaction du gouvernement, comme le raconte CommentÇaMarche.

Le modèle économique est explicite : un essai gratuit jusqu’au 15 juin 2026, puis un abonnement à 10 euros la semaine, 35 euros par mois, ou 75 euros par an, avec une hausse tarifaire annoncée. Pour 10 euros, n’importe qui peut chercher un nom, un numéro, une adresse, et obtenir une fiche exhaustive sur la cible, sans contrôle d’identité préalable.

Quelles catégories de données Searcher mettait-il à disposition ?

La plateforme ne se contentait pas d’agréger des annuaires publics. Elle référençait, pour chaque fiche individuelle, un nombre impressionnant de champs sensibles :

• Identité civile : nom, prénoms, date et lieu de naissance, photographie.
• Coordonnées : adresses postales, e-mails, numéros de téléphone portable et fixe.
• Données bancaires et fiscales : IBAN, numéro de Sécurité sociale, avis d’imposition.
• Données d’identification officielles : numéros de passeport, plaques d’immatriculation.
• Données de santé : centre de soins, rendez-vous médicaux, nombre d’enfants, professionnels de santé consultés.
• Données de proximité : membres de la famille, proches de figures publiques, agents de la fonction publique « censés être protégés » selon 20 Minutes.

Comme nous l’avons documenté dans notre guide sur les fuites de données médicales, l’exposition de données de santé est juridiquement la plus grave : elle tombe sous le coup du secret médical et de l’article 226-1 du Code pénal relatif à la vie privée.

Comment fonctionne Searcher, le « Google des pirates » qui croise 127 sources ?

L’originalité technique de Searcher n’est pas d’avoir piraté une nouvelle base : c’est d’avoir automatisé le recoupement de 127 sources distinctes, dont une partie issue de piratages déjà diffusés sur le dark web. Le créateur l’explique lui-même dans un échange relayé par Le Singulier : « On a créé un logiciel qui fouille automatiquement partout sur Internet. Il fait tous les liens possibles, retrouve les bases de données publiques et rassemble tout. »

Parmi les 127 sources « ouvertes et publiques » revendiquées par le créateur, on trouve des plateformes administratives, des opérateurs de services en ligne et des bases de l’Insee. Mais le cœur du problème, c’est le croisement : en reliant une même personne à travers des dizaines de fuites distinctes, Searcher reconstitue un profil beaucoup plus complet que chacune des fuites isolées. C’est ce que l’on appelle une attaque par corrélation, et c’est la méthode la plus redoutable en cybercriminalité depuis 2024.

Pourquoi le modèle freemium aggrave-t-il l’impact ?

L’accès gratuit pendant les dix premiers jours a permis une diffusion virale sur les réseaux sociaux, en particulier sur TikTok et X, où de nombreux créateurs ont publié des tutoriels « pour vérifier si votre copain vous a trompé » ou « pour retrouver un vieil ami ». Cette viralité a plusieurs conséquences graves :

• Multiplication exponentielle des consultations, estimée à plusieurs millions de recherches en moins d’une semaine.
• Capture d’écran massive des fiches par des tiers, créant des copies parallèles impossibles à supprimer.
• Utilisation à des fins de harcèlement, de doxxing, de chantage et d’usurpation d’identité.

Quels types d’attaques Searcher rend-il triviaux ?

En agrégeant autant de données vérifiées sur une même cible, Searcher transforme en opération à 10 euros ce qui nécessitait auparavant des compétences techniques avancées :

• Hameçonnage ciblé (spear phishing) : un escroc dispose désormais du nom, de l’adresse, du médecin traitant et de l’IBAN de sa victime pour crédibiliser un message frauduleux.
• Usurpation d’identité bancaire : la combinaison IBAN, date de naissance et numéro de Sécurité sociale suffit à compromettre plusieurs procédures KYC de banques en ligne.
• Harcèlement et violences conjugales : une victime de violences peut être retrouvée malgré un changement d’adresse, si son IBAN, sa plaque d’immatriculation ou son médecin figurent encore dans la base.

Pour comprendre comment vérifier si votre adresse mail circule déjà sur le dark web, consultez notre guide dédié à la détection des fuites. Pour la réaction immédiate en cas de compromission, notre checklist post-piratage détaille les sept étapes critiques.

Pourquoi Anne Le Hénanff a-t-elle saisi la justice et que risque le créateur de Searcher ?

Le 12 juin 2026, Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, a annoncé sur BFMTV avoir saisi la justice via l’article 40 du Code de procédure pénale. Cet article oblige toute autorité publique à signaler au procureur de la République tout fait susceptible de constituer un délit ou un crime dont elle a connaissance. C’est une procédure d’urgence, et le symbole est fort : c’est la première fois qu’un ministre en charge du numérique déclenche ce mécanisme pour un service d’agrégation de données piratées.

Plusieurs qualifications pénales sont envisageables contre le créateur, connu sous les pseudonymes Zalco (selon 20 Minutes) ou Zalko (selon Orange Actu), âgé de 18 ans, donc mineur au sens de la loi pénale au moment des faits s’ils ont débuté en 2025, mais majeur s’ils ont bien démarré en juin 2026 :

• Collecte frauduleuse de données personnelles (article 226-18 du Code pénal) : jusqu’à 5 ans d’emprisonnement et 300 000 euros d’amende.
• Traitement de données à caractère personnel en violation du RGPD : jusqu’à 4 % du chiffre d’affaires mondial ou 20 millions d’euros d’amende (article 83(5) RGPD). Pour les personnes physiques agissant hors activité économique, ce sont les articles 226-16 à 226-24 du Code pénal qui s’appliquent (jusqu’à 5 ans d’emprisonnement et 300 000 € d’amende). Le « 1,5 million » parfois cité correspond à des sanctions CNIL réelles (ex. American Express, 27/11/2025), pas à un plafond légal spécifique.
• Recel de données issues de violation (article 321-1 du Code pénal) : jusqu’à 5 ans et 375 000 euros d’amende.
• Atteinte au secret des correspondances si les e-mails ont été interceptés (article 226-15) : jusqu’à 1 an et 45 000 euros.

Que dit la CNIL sur la légalité de Searcher ?

La Commission nationale de l’informatique et des libertés (CNIL) a pris position très clairement : ces services « n’apparaissent pas conformes à la législation » car « ils fonctionnent en compilant les données issues de violations de données », ce qui constitue une double infraction au RGPD et au Code pénal. La CNIL peut agir de manière concurrente à la justice pénale : elle peut notifier une mise en demeure, prononcer des sanctions pécuniaires, et ordonner la cessation du traitement sous astreinte.

Cette sévérité s’inscrit dans un mouvement de fond. Comme nous l’analysons dans notre article sur les sanctions CNIL 2026 et l’État dans le viseur, le régulateur français a sensiblement durci sa doctrine depuis 18 mois, et le cas Searcher pourrait servir de précédent pour accélérer la fermeture de services similaires déjà en ligne.

Comment savoir si vos données sont dans Searcher et comment les faire supprimer ?

Même si la plateforme finit par être fermée par décision de justice, vos données y ont été consultées, capturées et probablement recopiées. Le risque n’est pas Searcher en tant que tel, c’est la diffusion secondaire, sur Telegram, sur des clés USB échangées entre particuliers, ou dans des bases que des concurrents lanceront dans les prochaines semaines. Voici la marche à suivre concrète, étape par étape.

Étape 1 : consulter les informations fiables sur la fuite

Pour savoir si une fuite vous concerne, consultez les notifications de l’organisme responsable et les informations des autorités. Les conseils ci-dessous visent à consulter des informations fiables et à limiter les risques, sans saisir de nouvelles données personnelles dans un service non vérifié.

1. Information datée : La date du 15 juin 2026 est passée. Les annonces de gratuité ou de changement de tarif qui s’y rapportent doivent être datées et attribuées à leur source ; elles ne décrivent pas nécessairement l’état actuel du service. Ne saisissez pas de nouvelles informations personnelles dans un service qui les expose pour vérifier une fuite.
2. Consultez les notifications de l’organisme concerné et les informations de la CNIL ou de Cybermalveillance.gouv.fr. Vous pouvez interroger directement l’organisme sur une éventuelle exposition de vos données.
3. La CNIL déconseille les sites qui affirment détenir les données et proposent de vérifier si vous êtes concerné. Ne transmettez pas de nouvelles informations personnelles à un service non vérifié pour effectuer ce test.

Étape 2 : demander la suppression et conserver la preuve

Envoyez un message clair à l’opérateur de Searcher (par e-mail et via Discord) en invoquant les articles 15 et 17 du RGPD (droit d’accès et droit à l’effacement), avec copie à la CNIL. Faites-le par écrit recommandé ou, à défaut, par e-mail avec accusé de réception. Conservez :

• La capture d’écran de votre fiche Searcher datée (avec horodatage visible).
• Le message de demande de suppression, avec la date d’envoi.
• Toute réponse de l’opérateur, ou l’absence de réponse après 30 jours.

Étape 3 : choisir la démarche adaptée à votre situation

Une plainte pénale, un signalement et une demande à la CNIL répondent à des situations distinctes. Choisissez la démarche selon les faits et votre situation :

• En cas d’infraction dont vous êtes victime, vous pouvez vous adresser à un commissariat ou à une brigade de gendarmerie et conserver les éléments utiles à votre démarche.
• Pour certaines escroqueries en ligne, THESEE permet aux particuliers majeurs de déposer plainte ; les conditions doivent être vérifiées avant la démarche.
• En cas de difficulté dans l’exercice de vos droits ou de manquement relatif à vos données personnelles, consultez les démarches de la CNIL. Une plainte à la CNIL est distincte d’une plainte pénale.

Si vous gérez les données de clients ou de salariés dans le cadre de votre activité, ce cas rappelle aussi que la chaîne des sous-traitants RGPD reste le maillon faible que la CNIL sanctionne désormais systématiquement.

Searcher, début d’une vague : pourquoi les moteurs de données piratées vont se multiplier ?

Clément Domingo, alias SaxX, hacker éthique et figure française de la cybersécurité, a livré sur franceinfo une analyse lucide de la dynamique à l’œuvre : « Quand vous coupez la tête de l’un d’eux, vous en avez automatiquement deux ou trois qui repoussent. » Il ajoute : « Il y a des gens qui ont compris qu’ils pouvaient se faire de l’argent sur la compilation de ces bases de données », et conclut, sans détour : « les données se retrouveront à vie sur internet. »

Searcher n’est en effet que le premier service grand public à industrialiser le modèle économique. Plusieurs signaux convergent pour prédire une multiplication de ces plateformes dans les 12 prochains mois :

• Stock disponible : le nombre cumulé de fuites publiées depuis 2020 dépasse 15 milliards de fiches, dont 1,2 milliard agrégées par Searcher. Le réservoir est immense.
• Modèle économique prouvé : un abonnement à 10 euros la semaine sur des centaines de milliers d’utilisateurs génère un chiffre d’affaires rapide avec un coût technique marginal.
• Effet de copie : le code de Searcher a probablement déjà été dupliqué par des concurrents, et de nouveaux services apparaîtront dès la fermeture du premier.

Faut-il changer de numéro, d’adresse e-mail ou de banque ?

C’est la question que se posent beaucoup de Français concernés. La réponse est nuancée : un changement d’e-mail et de numéro est utile si vous êtes dans une situation à risque (figure publique, victime de harcèlement, changement d’adresse post-violences conjugales), mais il ne résout pas le problème de fond. Le vrai changement structurel est ailleurs :

• Adopter des alias d’e-mail via SimpleLogin, Addy.io ou les alias iCloud+ pour ne plus jamais donner votre adresse principale à un service.
• Utiliser un numéro de téléphone secondaire dédié aux inscriptions non essentielles, via un forfait eSIM prépayé.
• Activer le signalement PHAROS et la fonction « floutage » de Google pour les contenus qui vous concernent.
• Demander le gel de votre fichier bancaire auprès de votre banque en cas d’IBAN compromis, pour bloquer les prélèvements non autorisés.

L’arrivée de Searcher doit être lue comme un signal d’alarme, pas comme un cas isolé. La résilience numérique ne se construit plus en réaction à une fuite, elle s’anticipe par l’hygiène quotidienne des identifiants, la diversification des canaux de contact et la veille active de son exposition.

Questions fréquentes sur Searcher et la fuite de 1,2 milliard de données (FAQ)