Un pirate dit vendre les données de 2,2 millions d'inscrits à l'I-CAD, le fichier des animaux

Le nom de l'animal, son numéro de puce, sa date de naissance, son sexe, et le nom de son maître. C'est ce que montrent les extraits mis en ligne le 18 octobre sur un forum cybercriminel par un pirate qui se fait appeler ChimeraZ. Il y propose une base de données attribuée à l'I-CAD, le fichier national d'identification des chiens, chats et furets.

Selon le site de veille FrenchBreaches, le pirate affirme que la base concerne 2,2 millions de personnes distinctes, surtout des détenteurs d'animaux, ainsi que 50 000 vétérinaires. Ni l'I-CAD ni son gestionnaire, la société Ingenium Animalis, qui tient le fichier pour le ministère de l'Agriculture, n'ont confirmé ces chiffres à ce stade. FrenchBreaches juge la revendication crédible mais non vérifiée. Le même jour, ChimeraZ a publié une autre archive, présentée comme provenant de Blissim, la box beauté vendue en ligne.

Que contiendrait le fichier des animaux ?

D'après les échantillons décrits par FrenchBreaches, les fiches des propriétaires mêlent noms et prénoms, noms des animaux, numéros de puce, dates de naissance, statut de stérilisation et mentions de décès. Celles des vétérinaires comportent un identifiant interne, le nom complet, le département et un identifiant professionnel. Les extraits ne montrent pas nettement d'adresses postales, d'adresses électroniques ni de numéros de téléphone.

Ce n'est pas la première alerte. En septembre 2025, Ingenium Animalis avait repéré une faille qui aurait pu permettre d'interroger automatiquement certaines fiches. L'entreprise dit avoir corrigé, lancé un audit et prévenu la CNIL. Le public ne l'a appris que le 10 août 2026, après que des propriétaires ont reçu des messages frauduleux. Le ministère indiquait alors que seules des adresses électroniques étaient concernées, et aucun lien certain n'a été établi avec ces arnaques. FrenchBreaches traite la revendication d'octobre comme une affaire distincte, sans preuve d'une nouvelle intrusion. Le fichier recense plus de 46 millions d'animaux.

Chez Blissim, des cartes bancaires, mais pas leurs numéros

Pour Blissim, ChimeraZ revendique une archive de 688 Mo et 1 916 599 lignes liées à des moyens de paiement, dont 399 236 présentées comme des paiements et 97 187 comportant le nom du titulaire. Le pirate parle de « payment logs ». Le terme est trompeur, selon l'analyse publiée par Cyberattaque.org : les champs visibles (nom, marque de la carte, quatre derniers chiffres, date d'expiration, référence de transaction) ressemblent à des moyens de paiement enregistrés pour des abonnements. On n'y voit ni numéro de carte complet ni cryptogramme. Une même carte peut apparaître plusieurs fois : le nombre de lignes n'est pas un nombre de clientes.

Le format rappelle celui d'Adyen, le prestataire de paiement de Blissim, mais rien n'indique qu'Adyen ait été compromis : les données pourraient venir de journaux ou de bases du marchand. Blissim n'a pas communiqué publiquement sur cette revendication à ce stade.

Le pseudonyme circule depuis plusieurs jours. Selon Journal du Coin, ChimeraZ se trouve aussi derrière les revendications visant la Société centrale canine (1,4 million de propriétaires de chiens revendiqués), la Grande Loge féminine et Malakoff Humanis, dont les remboursements de santé d'adhérents ont pu fuiter par un prestataire.

Les bons réflexes face aux arnaques qui pourraient suivre

Ces données ne suffisent pas à vider un compte. Leur valeur tient à la crédibilité qu'elles donnent à un escroc : un message qui cite le nom de votre chat ou la fin de votre numéro de carte paraît forcément sérieux.

• Méfiez-vous de tout message ou appel qui invoque l'I-CAD, un vétérinaire ou Blissim pour réclamer un paiement, des documents ou une « mise à jour » de vos coordonnées. Passez par le site officiel, sans cliquer sur le lien reçu.
• Connaître le numéro de puce de votre animal ou les quatre derniers chiffres de votre carte ne prouve pas qu'un interlocuteur est légitime.
• Ne communiquez jamais un code reçu par SMS ni vos données bancaires à quelqu'un qui vous a contacté.
• Surveillez vos relevés bancaires et signalez toute opération suspecte à votre banque. Les tentatives d'escroquerie peuvent être signalées sur Cybermalveillance.gouv.fr.

Une question reste entière : d'où viennent ces fichiers ? Seules les réponses de l'I-CAD et de Blissim permettront de savoir s'il s'agit de nouvelles intrusions ou de données plus anciennes remises en circulation.