La police démantèle Reacher, un moteur de recherche illicite qui revendait 730 millions de données volées

L'analyse

📌 **FAITS**

- Le 6 octobre 2026, l'Office anti-cybercriminalité (Ofac) a interpellé trois personnes présentées comme les administrateurs du site « Reacher », un moteur de recherche illicite (lookup) spécialisé dans la revente de données personnelles volées.

- Le site, créé en mars 2026, revendiquait **730 millions de lignes de données indexées** et plus de **3 millions de requêtes** réalisées.

- L'enquête avait été confiée à l'Ofac par le parquet de Paris le 15 mai 2026, après un signalement de l'association e-Enfance.

- Les données des administrateurs, clients et utilisateurs du service ont été collectées et sont en cours d'analyse.

- Le 5 octobre, la ministre déléguée au Numérique, Anne Le Hénanff, a signalé à la justice un autre lookup nommé BrixHub.

📍 **CONTEXTE**

Les « lookups » sont des moteurs de recherche illicites qui indexent des données volées (identifiants, mots de passe, numéros de carte bancaire) pour les revendre. Ce phénomène est en forte hausse : en avril 2026, un autre lookup faisait déjà l'objet d'une enquête confiée à l'Unité nationale cyber (UNC) de la Gendarmerie nationale. En août, deux informations judiciaires avaient été ouvertes, chacune ayant donné lieu à une mise en examen et à un placement en détention provisoire. Aujourd'hui, cette opération marque la première démantèlement d'un lookup d'ampleur en France.

👥 **ACTEURS**

- **Ofac** : Office anti-cybercriminalité, en charge de l'enquête.

- **Trois administrateurs présumés** : des mineurs de 17 ans, inconnus de la justice, soupçonnés de recel d'extraction frauduleuse de données, de détention et de transmission frauduleuse de données en bande organisée.

- **Anne Le Hénanff** : ministre déléguée au Numérique, qui a signalé un autre lookup (BrixHub) à la justice.

- **e-Enfance** : association à l'origine du signalement initial.

📊 **ENJEUX**

Pour le citoyen, ces données volées peuvent être utilisées pour des usurpations d'identité, des fraudes bancaires ou du chantage. Le démantèlement de Reacher réduit temporairement ce risque, mais d'autres lookups restent actifs. Les peines encourues (10 ans de prison) montrent la gravité des faits, mais aucune condamnation n'a encore été prononcée dans un dossier de lookup, ce qui laisse une incertitude juridique.

🔮 **PERSPECTIVES**

- **Scénario tendanciel** : Le procès de janvier 2027 pourrait établir une jurisprudence sur les lookups, avec des peines exemplaires.

- **Scénario de rupture** : Si les données collectées permettent d'identifier les clients du service, de nouvelles vagues d'interpellations pourraient suivre, dissuadant les acheteurs de données volées.