L’essentiel. Vos cryptos peuvent rester à leur place pendant que votre nom, votre email ou votre adresse deviennent une arme contre vous. Les fuites liées à Ledger et Waltio montrent le même basculement : sans voler une seule clé privée, des escrocs peuvent repérer des détenteurs, personnaliser leur scénario et rendre crédible l’appel d’un faux conseiller ou d’un faux policier.
Le paradoxe est brutal : le portefeuille résiste, mais son propriétaire est exposé. Une adresse email associée à un achat de portefeuille matériel, un solde fiscal ou une adresse postale suffit à faire de vous une cible plus rentable que la moyenne. La vraie question n’est donc plus seulement « mes fonds ont-ils été volés ? », mais « qui sait que j’en possède, et jusqu’où cette personne peut-elle me retrouver ? »
L’alerte n’est pas théorique. Dans une mise au point actualisée le 8 juin 2026, Cybermalveillance.gouv.fr rapporte de nombreux témoignages de faux employés d’opérateurs crypto, de faux services anti-fraude et de faux représentants de l’ordre. Le service rappelle que les scénarios les plus graves vont jusqu’aux menaces, agressions, enlèvements ou séquestrations. Une enquête préliminaire est en cours au sujet de Waltio : la nature précise des données dérobées reste donc, au-delà des déclarations de l’entreprise, un point d’enquête.
Pourquoi une fuite sans vol de cryptos peut vous mettre en danger
Une adresse email volée est déjà un problème. Associée à un achat de portefeuille matériel, à un compte fiscal crypto ou à un service de conversion, elle devient un scénario prêt à l’emploi : mise à jour de sécurité, contrôle fiscal, faux support client, faux policier, faux service anti-fraude ou fausse plateforme d’échange. La donnée ne sert plus seulement à vous identifier. Elle aide l’escroc à vous convaincre.
Le criminel n’a même pas besoin de connaître votre solde exact. Il lui suffit de posséder une information vraie que vous ne pensez pas publique. Un montant fiscal, un produit commandé ou une ancienne adresse donnent à son discours l’apparence d’un dossier confidentiel. C’est cette parcelle de vérité qui fait baisser la garde.
Juridiquement, le préjudice ne se limite donc pas au débit immédiat d’un compte. Une fuite peut créer un risque de ciblage, de harcèlement, d’usurpation, de chantage ou d’atteinte physique. Le Comité européen de la protection des données rappelle qu’une violation peut produire des dommages physiques, matériels ou immatériels : perte de contrôle sur ses données, fraude, préjudice financier ou atteinte à la réputation.
Ledger et Waltio : deux fuites, un même changement de risque
Le cas Ledger reste l’exemple le plus parlant. Dans son communiqué du 29 juillet 2020, l’entreprise reconnaît qu’un tiers non autorisé a accédé à sa base e-commerce et marketing via une clé API. Environ un million d’adresses email étaient concernées ; pour 9 500 clients, des noms, adresses postales, téléphones ou produits commandés avaient également été exposés. Ledger insistait sur une frontière nette : ni moyens de paiement, ni mots de passe, ni fonds crypto n’avaient été compromis.
Le point aveugle tient dans ces « fonds intacts ». Oui, les clés privées peuvent rester techniquement indemnes. Non, cela ne rend pas l’incident anodin. Have I Been Pwned recense plus d’un million d’adresses email exposées et indique que les données diffusées publiquement en décembre 2020 contenaient aussi, selon les entrées, des noms, numéros de téléphone et adresses physiques. La faille technique est refermée ; la liste de cibles, elle, peut continuer à circuler.
Le dossier Waltio montre une autre forme de risque. Dans sa foire aux questions sur l’incident de janvier 2026, l’entreprise affirme que les attaquants ont eu accès à l’adresse email de l’utilisateur, à son gain ou sa perte sur l’année 2024 et au solde par cryptomonnaie utilisé pour le calcul fiscal au 31 décembre 2024. Waltio indique en revanche que les historiques de transactions, adresses de wallets, clés privées, documents d’identité, IBAN et données bancaires n’ont pas été exposés.
Waltio reconnaît toutefois le risque central : l’arnaque. Emails frauduleux, appels téléphoniques, faux services clients, faux policiers ou faux partenaires peuvent s’appuyer sur un email et un ordre de grandeur de patrimoine. Autrement dit, la fuite ne donne pas directement accès aux fonds ; elle fournit le décor, les accessoires et une partie du texte de l’escroc.
Quand une base volée devient un moteur de recherche
Le risque change encore d’échelle lorsque plusieurs bases deviennent interrogeables en quelques secondes. Le 16 juin 2026, ZDNet France a décrit un moteur de recherche de données personnelles permettant, à partir d’une identité, de retrouver notamment un téléphone, une adresse postale, un email et des références bancaires. La ministre déléguée au Numérique Anne Le Hénanff avait annoncé une saisine de la justice.
Une base dérobée cesse alors d’être un fichier obscur réservé à quelques initiés : elle devient un annuaire de prospection criminelle. Pour viser un détenteur de crypto-actifs, plus besoin de trier des millions de lignes. Il suffit de chercher un nom, un téléphone ou une adresse, puis de recouper.
Ce qui a fuité, ce qui n’a pas fuité, ce que cela prouve
| Source | Fait documenté | Limite à ne pas dépasser |
|---|---|---|
| ZDNet France, 16 juin 2026 | Un moteur de recherche de données personnelles est décrit comme alimenté par des données douteuses, avec saisine de la justice annoncée par la ministre du Numérique. | L’article ne démontre pas l’origine exacte de chaque donnée. Il documente le risque d’un moteur de recherche construit sur des données personnelles exposées. |
| Ledger, communiqué de juillet 2020 | Accès non autorisé à une base e-commerce et marketing via une clé API ; emails et, pour certains clients, données de contact et de commande. | Ledger affirme que les fonds, mots de passe, moyens de paiement et produits Ledger Live n’étaient pas compromis. |
| Have I Been Pwned, fiche Ledger | Plus d’un million d’emails exposés ; publication ultérieure contenant aussi noms, téléphones et adresses physiques. | HIBP documente la présence de données dans une fuite, pas le préjudice individuel de chaque personne. |
| Cybermalveillance.gouv.fr, alerte crypto-actifs | Signalements de faux employés, faux services anti-fraude, faux policiers et scénarios pouvant aller jusqu’aux menaces ou agressions. | L’alerte parle d’un risque sectoriel et d’enquêtes en cours, pas d’une culpabilité établie d’un acteur donné. |
| Waltio, FAQ incident de sécurité | Données exposées annoncées : email, gain/perte 2024, solde par cryptomonnaie utilisé pour le calcul fiscal au 31 décembre 2024. | Waltio conteste l’exposition d’autres catégories : historiques, wallets, clés, documents d’identité, IBAN, données bancaires. |
| CNIL et RGPD | Les responsables de traitement doivent documenter les violations, notifier la CNIL en cas de risque et informer les personnes en cas de risque élevé. | Une personne concernée n’a pas forcément accès à tous les éléments techniques ou d’enquête, mais elle peut exercer son droit d’accès. |
Après la fuite, les communiqués rassurent : voici ce qu’il faut exiger
Lorsqu’un service annonce une fuite, son communiqué commence généralement par ce qui n’a pas été compromis : pas de fonds volés, pas de clés privées, pas de mots de passe. C’est une information utile, mais ce n’est que la moitié de l’histoire. La personne concernée doit obtenir une réponse exploitable sur les données réellement exposées, la chronologie de l’incident et les notifications effectuées.
Le RGPD donne deux leviers. D’abord, le droit d’accès présenté par la CNIL : demander quelles données sont traitées, pourquoi, combien de temps, à qui elles sont transmises et en obtenir une copie. Ensuite, le régime des violations de données : le responsable doit documenter l’incident, les catégories de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises.
Une demande efficace ne se limite donc pas à « suis-je concerné ? ». Elle réclame la nature exacte des données exposées, les dates de découverte et de notification, l’information envoyée aux personnes, les sous-traitants impliqués, les mesures correctrices et les recommandations de sécurité.
Le courrier RGPD à envoyer au service concerné
Objet : Demande d’accès et d’information relative à une éventuelle violation de données personnelles
Madame, Monsieur,
Je suis ou j’ai été utilisateur de votre service. Au titre de l’article 15 du RGPD et des obligations relatives aux violations de données personnelles, je vous demande de m’indiquer si mes données personnelles ont été concernées par un incident de sécurité ou une violation de données.
Je vous demande notamment de me communiquer, dans un format compréhensible :
- les catégories exactes de données me concernant que vous détenez ou déteniez ;
- les catégories exactes de données me concernant qui ont été exposées, consultées, extraites, vendues, publiées ou rendues accessibles à des tiers non autorisés ;
- la date ou la période estimée de l’incident ;
- la date à laquelle vous avez eu connaissance de l’incident ;
- les sous-traitants, prestataires ou partenaires techniques susceptibles d’être impliqués ;
- la date de notification à la CNIL, si une notification a été effectuée, ou les raisons pour lesquelles vous estimez qu’elle n’était pas requise ;
- la date et le contenu de l’information adressée aux personnes concernées, si une telle information a été faite ;
- les conséquences probables de la violation pour les personnes concernées ;
- les mesures prises pour limiter le risque, empêcher une récidive et aider les utilisateurs à se protéger.
Si vous refusez de communiquer certains éléments au motif d’une enquête en cours, du secret des affaires ou de la protection de tiers, je vous demande de préciser le fondement exact de ce refus et de me communiquer les informations non couvertes par cette restriction.
Je vous remercie de répondre dans le délai d’un mois prévu par le RGPD. À défaut de réponse satisfaisante, je me réserve la possibilité de saisir la CNIL et de conserver l’ensemble des éléments utiles à une éventuelle plainte.
Cordialement,
Les réflexes à adopter sans attendre
Après une fuite crypto, changer son mot de passe ne suffit pas. Il faut raisonner comme l’attaquant : remplacer l’email exposé par une adresse dédiée, renforcer l’authentification des comptes et considérer tout appel entrant comme suspect, surtout lorsque l’interlocuteur connaît des informations exactes. Aucun support sérieux ne demande une phrase de récupération, une clé privée, un transfert de fonds ou une « sécurisation » par téléphone.
Il faut aussi séparer les identités. Une adresse email avec nom et prénom, utilisée à la fois pour les réseaux sociaux, les banques, les plateformes crypto et les services fiscaux, facilite les recoupements. Lorsque l’exposition porte sur une adresse postale ou un numéro de téléphone, la prudence doit être renforcée : dépôt de main courante ou plainte en cas de menace, conservation des messages, captures d’écran, numéros appelants, emails avec en-têtes, et signalement aux services compétents.
Enfin, il faut éviter une erreur fréquente : répondre à l’escroc pour le tester. Une fuite rend l’attaque crédible parce que l’interlocuteur possède de vraies informations. Le bon réflexe est de couper le contact, de rappeler uniquement par un canal officiel retrouvé soi-même, et de documenter les faits.
Ce que les entreprises devraient dire, preuves à l’appui
Un communiqué utile ne devrait pas seulement dire que les fonds sont en sécurité. Il devrait répondre aux questions vérifiables : quelles données, combien de personnes, quelle période, quel prestataire, quelle cause probable, quelle notification à l’autorité, quelle information aux personnes, quelles mesures correctrices et quelles limites d’incertitude. C’est cette granularité qui permet aux utilisateurs d’adapter leur sécurité au risque réel.
La preuve d’une fuite de données ne se résume donc pas à la présence d’un fichier volé sur internet. Elle comprend aussi la chronologie de découverte, la documentation interne, les notifications, les messages envoyés aux victimes et les mesures prises. Pour les services crypto et leurs prestataires, cette preuve est d’autant plus nécessaire que la donnée exposée peut devenir une carte de ciblage.
Questions fréquentes
Une fuite Ledger ou Waltio peut-elle vider directement mes cryptos ?
Les incidents documentés ici n’ont pas, selon les entreprises, exposé les clés privées permettant de déplacer directement les fonds. Le risque principal est indirect mais concret : phishing ciblé, faux support, faux policier, manipulation ou extorsion.
Comment savoir si mes données ont été concernées ?
Consultez les notifications du service, vérifiez l’adresse email concernée dans une base reconnue comme Have I Been Pwned et adressez une demande d’accès précise au responsable du traitement. L’absence de fonds volés ne répond pas à la question des données personnelles exposées.
La police peut-elle me demander de « sécuriser » mes cryptos par téléphone ?
Non. Cybermalveillance.gouv.fr et le parquet de Paris rappellent que policiers, gendarmes, douaniers ou magistrats ne demandent jamais une clé de récupération, une prise de contrôle à distance ou un transfert destiné à « sécuriser » des avoirs.
Sources
- Cybermalveillance.gouv.fr, « Violation de données personnelles dans le secteur des crypto-actifs », mise à jour du 8 juin 2026
- Waltio, « Questions & réponses – Incident de sécurité »
- Ledger, « Addressing the July 2020 e-commerce and marketing data breach », 29 juillet 2020
- CNIL, « Notifier une violation de données personnelles »
- CNIL, « Professionnels : comment répondre à une demande de droit d’accès ? »
- Comité européen de la protection des données, Guidelines 9/2022 on personal data breach notification under GDPR
- Have I Been Pwned, fiche « Ledger Data Breach »
- ZDNet France, « C’est quoi ce douteux service de recherche que la ministre du numérique veut dénoncer à la justice ? », 16 juin 2026
Continuer la lecture
Trois autres articles pour approfondir la preuve, le numérique et la stratégie probatoire.
