Le piratage du Rassemblement national expose l'engagement politique d'une partie de ses adhérents

Le 31 octobre, à 1 h 41, une annonce apparaît sur un forum de pirates. Son auteur, qui signe « shin0bi », affirme détenir 432 597 enregistrements liés au Rassemblement national (RN) et en publie un premier lot de 150 000. Quatre jours plus tard, le mercredi 4 novembre, le parti sort du silence. Dans un communiqué, il reconnaît qu'« un outil informatique utilisé pour la gestion des adhésions » a été visé par une attaque et que des informations concernant une partie de ses adhérents ont été divulguées sans autorisation.

Le RN ne dit pas combien de personnes sont concernées. Il assure que l'incident a été « rapidement circonscrit », que l'accès frauduleux a été coupé et que tout son fichier d'adhérents n'est pas touché. Le parti indique avoir prévenu la CNIL, le gendarme des données personnelles, et porté plainte auprès du parquet de Paris.

Ce que le parti reconnaît avoir perdu

Selon le communiqué, rapporté par Clubic, Tom's Guide et Cyberattaque.org, les données exposées sont les suivantes : nom et prénom, adresses électronique et postale, numéro de téléphone, profession, année d'adhésion, montant de la cotisation et fédération de rattachement. Le texte ne mentionne ni coordonnées bancaires ni mots de passe.

Le RN ne précise pas non plus comment l'intrus est entré, ni quand l'attaque a été découverte, ni qui en est l'auteur. Comme le relève Cyberattaque.org, ces silences ne permettent pas de savoir tout ce à quoi l'attaquant a pu accéder.

Le fichier publié vient-il vraiment du RN ?

La question reste ouverte. Le parti n'a confirmé ni que l'archive mise en ligne le 31 octobre provient de l'outil piraté, ni le chiffre avancé par le pirate. Les analyses publiées incitent d'ailleurs à la prudence. Selon FrenchBreaches, qui dit avoir examiné l'archive et alerté le RN avant son communiqué, et selon Cyberattaque.org, les 150 000 lignes contiennent 28 420 doublons exacts. Il ne reste donc que 121 580 lignes distinctes, et une ligne ne correspond pas forcément à une personne. Cyberattaque.org relève aussi des incohérences, comme un code postal du Rhône associé à un canton de Toulouse.

Clubic signale un autre décalage : le fichier diffusé contient des dates de naissance, absentes de la liste des données reconnues par le parti. Une partie des fiches pourrait donc venir de l'attaque, et une autre d'ailleurs.

Une information plus sensible qu'une simple adresse

Figurer dans le fichier d'un parti, c'est révéler une opinion politique. Le règlement européen sur la protection des données (RGPD) range cette information parmi les données sensibles, protégées par son article 9. Le RN met lui-même en garde contre une utilisation malveillante de l'appartenance politique de ses adhérents, selon Clubic.

Le parti n'est pas le seul touché. En octobre, le Parti communiste a confirmé la fuite de son fichier d'adhérents. De leur côté, Renaissance et La France insoumise contestent toute intrusion après la diffusion de fichiers de porte-à-porte qui leur sont attribués. Ces revendications-là portent la signature d'un autre pirate, ChimeraZ. En juillet, le site du RN avait déjà été piraté. Le parti affirmait alors que les données des adhérents n'étaient pas concernées, et rien ne permet à ce stade de relier les deux affaires.

Adhérents : les bons réflexes

Pas besoin de mot de passe pour piéger quelqu'un dont on connaît le nom, le téléphone et l'engagement politique. Le RN conseille à ses adhérents de se méfier des appels et messages inhabituels, et met en garde contre les sollicitations frauduleuses et l'hameçonnage.

• Ne donnez aucune coordonnée bancaire à un interlocuteur qui se présente comme le parti ou une fédération et réclame une cotisation, un don ou une « régularisation ».
• En cas de doute, raccrochez et rappelez votre fédération à un numéro que vous connaissez déjà.
• Méfiez-vous des messages qui citent votre profession ou votre année d'adhésion pour paraître crédibles : ces détails font partie des données exposées.
• Pour toute question sur vos données, le parti renvoie vers son délégué à la protection des données.

Reste à savoir combien d'adhérents sont réellement touchés : ni le parti ni la CNIL n'ont donné de chiffre. À quelques mois de l'élection présidentielle, les suites de la plainte diront peut-être qui se cache derrière « shin0bi ».