Trois millions de numéros de téléphone ont été récupérés frauduleusement via un compte professionnel lié à Bloctel. Une fuite qui appelle à la vigilance.
La DGCCRF alerte sur la fuite Bloctel
La disparition de Bloctel devait symboliser un changement d’époque dans la lutte contre le démarchage téléphonique. Elle s’accompagne finalement d’un sérieux incident de sécurité. Le 12 août 2026, la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) a annoncé qu’un accès frauduleux à un compte professionnel avait permis à un cybercriminel de récupérer des fichiers contenant trois millions de numéros de téléphone. Parmi eux, environ 600 000 étaient inscrits sur Bloctel.
Les autorités précisent qu’aucun nom, aucune adresse ni autre donnée personnelle n’a été exposé et que la base de données Bloctel elle-même n’a pas été compromise. Cette nuance est importante. Elle ne doit cependant pas conduire à minimiser la valeur d’un numéro de téléphone pour des escrocs, qui peuvent l’utiliser comme point de départ de campagnes de phishing, de SMS frauduleux ou d’appels destinés à obtenir progressivement des informations beaucoup plus sensibles.
Trois millions de numéros récupérés après le piratage d’un compte
L’incident ne résulte donc pas, selon les informations communiquées par la DGCCRF, d’une intrusion directe dans la base centrale de Bloctel. Un compte professionnel compromis a permis d’accéder à des fichiers comportant environ trois millions de numéros. Dès la découverte de l’incident, le compte concerné aurait été bloqué et les autres comptes professionnels auraient fait l’objet de vérifications. La CNIL a par ailleurs été notifiée.
Sur ces trois millions de numéros, 600 000 correspondaient à des consommateurs inscrits sur Bloctel. Les personnes concernées ont été informées par courrier électronique. Le paradoxe est particulièrement désagréable : des consommateurs ayant précisément communiqué leur numéro à un dispositif destiné à limiter les sollicitations commerciales voient celui-ci figurer parmi les données récupérées frauduleusement.
Il convient néanmoins de distinguer une fuite de numéros de téléphone d’une fuite beaucoup plus complète comprenant identité, adresse postale, coordonnées bancaires ou mots de passe. À ce stade, la DGCCRF affirme que les investigations ont confirmé que seuls les numéros avaient été exposés. Rien ne permet donc d’affirmer que le cybercriminel dispose, par cette fuite, de l’identité des titulaires ou d’autres renseignements personnels provenant de Bloctel.
Un numéro de téléphone peut suffire à amorcer une arnaque
Pour autant, considérer un numéro comme une information anodine serait une erreur. Dans l’univers des arnaques téléphoniques et du phishing, une donnée isolée peut devenir utile lorsqu’elle est recoupée avec des informations provenant d’autres fuites, de bases commerciales, des réseaux sociaux ou de données accessibles publiquement.
Un escroc peut notamment envoyer un SMS invitant sa cible à cliquer sur un lien, se présenter comme une banque, une administration, un opérateur téléphonique ou un service de livraison. L’objectif consiste souvent à faire compléter par la victime elle-même les informations manquantes. Le fraudeur n’a donc pas nécessairement besoin de posséder dès le départ un dossier complet sur la personne qu’il contacte.
Le contexte de Bloctel pourrait également constituer un prétexte crédible pour certaines tentatives d’hameçonnage. Après la médiatisation de l’incident, il faut par exemple se méfier d’un interlocuteur qui prétendrait devoir « sécuriser » un compte, confirmer une identité ou vérifier des coordonnées bancaires à la suite de la fuite. La DGCCRF recommande de ne jamais communiquer d’informations personnelles à un interlocuteur non authentifié et de ne pas cliquer sur des liens suspects reçus par SMS.
Une vigilance particulière est également recommandée lorsqu’un numéro de téléphone sert d’identifiant pour accéder à un service en ligne. La DGCCRF conseille notamment de modifier les mots de passe concernés et de surveiller toute demande inhabituelle, par exemple une modification de carte SIM ou une réinitialisation de mot de passe dont l’utilisateur ne serait pas à l’origine.
Bloctel disparaît au moment où survient l’incident
La chronologie donne à cette affaire une résonance particulière. Bloctel a définitivement pris fin le 11 août 2026, soit la veille de la publication du communiqué de la DGCCRF. Cette disparition était cependant programmée et n’est pas présentée par les autorités comme une conséquence de l’incident de sécurité.
Depuis le 11 août, le droit français fonctionne selon une logique très différente. Jusqu’alors, le consommateur qui ne souhaitait pas être démarché devait manifester son opposition, notamment en inscrivant son numéro sur Bloctel. Désormais, le principe est celui du consentement préalable : un professionnel ne peut plus démarcher téléphoniquement un consommateur qui n’a pas préalablement accepté d’être sollicité à des fins commerciales.
Le Code de la consommation définit ce consentement comme une manifestation de volonté libre, spécifique, éclairée, univoque et révocable. Surtout, la charge de la preuve est renversée : ce n’est plus au consommateur de démontrer qu’il s’était opposé au démarchage, mais au professionnel de pouvoir établir qu’un consentement conforme aux règles a été recueilli.
Une exception importante subsiste toutefois lorsque l’appel intervient dans le cadre de l’exécution d’un contrat en cours et présente un rapport avec son objet, dans les conditions prévues par le Code de la consommation. Il serait donc inexact de considérer que tous les appels commerciaux sont désormais systématiquement interdits.
Le passage à l’opt-in ne fera pas disparaître les escrocs
Sur le papier, le nouveau régime constitue une protection nettement plus favorable aux particuliers. Un consommateur qui reçoit un appel commercial sans avoir donné son accord peut désormais s’interroger immédiatement sur la légitimité de la sollicitation. La DGCCRF recommande de signaler les appels irréguliers sur SignalConso, de demander la suppression de ses données à l’entreprise concernée et de conserver les éléments permettant de documenter l’appel, notamment le numéro, la date et l’heure.
Mais cette réforme réglementaire ne doit pas susciter un faux sentiment de sécurité. Les fraudeurs ne respectaient déjà pas Bloctel et ne respecteront pas davantage une obligation de consentement préalable. Les centres d’appels clandestins, les escrocs usurpant l’identité d’entreprises ou d’administrations et les auteurs de campagnes automatisées peuvent continuer à contacter leurs victimes en dehors de tout cadre légal.
Il existe même un risque que la frontière entre démarchage illégal et tentative d’escroquerie devienne difficile à percevoir pour certains consommateurs. Un appel non sollicité peut provenir d’une entreprise ayant mal appliqué la réglementation, d’un prestataire peu scrupuleux ou d’un escroc cherchant à soutirer de l’argent. Dans tous les cas, la prudence impose de ne jamais considérer la simple connaissance de son numéro de téléphone comme une preuve de légitimité.
Après la fuite Bloctel, les bons réflexes à conserver
Les personnes informées qu’elles font partie des 600 000 inscrits Bloctel concernés n’ont pas nécessairement besoin de changer de numéro. En revanche, une vigilance renforcée face aux appels et SMS inattendus paraît justifiée. Il est préférable de ne pas utiliser les coordonnées ou les liens transmis spontanément par un interlocuteur lorsqu’une opération sensible est demandée.
Si une personne prétend appeler au nom d’une banque, d’une administration, d’un opérateur ou d’une entreprise connue, le réflexe le plus sûr consiste généralement à interrompre la conversation puis contacter soi-même l’organisme à partir de coordonnées obtenues par un canal officiel. Un véritable conseiller bancaire n’a pas besoin qu’un client lui transmette par téléphone un mot de passe, un code de validation ou les informations permettant d’autoriser une opération.
Enfin, toute demande concernant un changement de carte SIM, une récupération de compte ou une modification inattendue de paramètres de sécurité doit être examinée avec attention. La fuite Bloctel reste, d’après les autorités, limitée à des numéros de téléphone. Mais dans l’économie de la cyberfraude, une donnée apparemment limitée peut constituer la première pièce d’un puzzle que les escrocs chercheront ensuite à compléter.
