Fuite de données à l'Association des maires de France

Trois lectures d'un même dossier, au 5 septembre 2026. Survole les éléments pour le détail.

Vingt alertes, quatre jours, quatre administrations

Les vingt dernières alertes recensées par cyberattaque.org, du 2 au 5 septembre 2026. Une tuile, une entité.

Répar'stores
Accent Rouge, ~32 500 fiches
Storia Mundi, ~17 850 profils
Association des maires de France
Préférence Formations, >5 200
Clinique de Vontes, 4 111
Réso, >500 000 fichiers
ZeroGaspi, 80 000 clients
ColisExpat
Delicity
CMA Occitanie, ~1 000 profils
BCTI
Charbonneaux-Brabant, 2 863
Tisséo, ~3 000 personnes
Shipup
Micromania
La Boutique du Volet
Ville de Libercourt, 817 Go
Stade Montois Omnisports
SonicWall, faille éditeur

Administration ou para-public Entreprise, association, club

4
administrations, dont deux établissements para-publics
16
entités qui ne sont pas l'État

À lire avec prudence. Le classement administration ou privé est le mien. Il porte sur un seul observatoire et sur quatre jours : c'est un instantané, pas une statistique nationale. Les volumes affichés au survol sont ceux revendiqués par les pirates.

Le seul acteur qui donne un chiffre est celui qui a volé les données

Trois façons de compter la même fuite. Échelle commune, 0 à 120 000.

Revendication du pirate, titre de son annonce114 000

Des lignes de base de données, pas des personnes.

Lecture prudente des deux observatoires>100 000

Des enregistrements, une même personne pouvant figurer plusieurs fois. Hachuré, car ce compte reste tiré du fichier du pirate.

Chiffre communiqué par l'AMFaucun

L'association confirme la fuite et a saisi la CNIL. Elle annonce délimiter l'étendue de la fuite. Elle ne publie aucun volume.

Ce que dit ce panneau. La seule barre bleue, celle de la victime, est vide. Le nombre qui circulera dans la presse sera donc celui du voleur. C'est la huitième fois de l'été.

Le 4 septembre 2026, heure par heure

Tout se joue en six heures. Heures de Paris. Écarts proportionnels au temps réel.

Date de l'intrusion et de l'extraction des bases : inconnue. Les deux observatoires la listent parmi ce qui reste à déterminer. Une semaine ou six mois avant, personne ne le sait.

Matinée  Le pirate « Alduin » publie son annonce sur un forum. Heure exacte non publiée.

11h08  cyberattaque.org publie, en revendiquant l'exclusivité.

12h27  Mise à jour du même article.

15h45  FrenchBreaches enregistre la confirmation de l'AMF et la saisine de la CNIL.

17h17  Clubic publie à son tour.

Sur amf.asso.fr  Rien. Ni bandeau, ni communiqué, ni dossier de presse.

Deux réserves. 15h45 est l'heure à laquelle l'observatoire a enregistré la confirmation, pas nécessairement celle où l'AMF l'a formulée. Et l'absence sur le site est un constat de lecture, à la main et par moteur de recherche : un message pourrait dormir dans un espace réservé aux adhérents.