Une fuite particulièrement sensible alors que des millions de Français avaient justement confié leurs coordonnées au dispositif pour limiter les sollicitations commerciales.
Un compte professionnel Bloctel usurpé
L’incident ne résulterait pas d’une intrusion directe dans les infrastructures de l’administration. Le pirate serait parvenu à prendre le contrôle d’un compte utilisé par un professionnel ayant accès au service Bloctel.
Selon les informations publiées par FrenchBreaches, ce compte n’aurait pas bénéficié d’une authentification à deux facteurs. Une fois l’accès obtenu, l’attaquant aurait pu consulter et récupérer les données échangées lors des opérations de vérification effectuées avant les campagnes de démarchage.
Bloctel a depuis confirmé qu’un « tiers non autorisé » avait usurpé un compte professionnel utilisateur du service.
Deux types de fichiers ont notamment été accessibles : un fichier comportant des numéros transmis initialement par l’entreprise concernée et le fichier renvoyé par Bloctel après comparaison avec la liste nationale d’opposition au démarchage téléphonique.
Le numéro de téléphone est la seule donnée personnelle identifiée
Dans son message adressé aux personnes concernées, Bloctel précise que seul le numéro de téléphone a été identifié comme donnée personnelle compromise.
Le service affirme qu’aucune autre catégorie d’informations personnelles n’est concernée par l’incident. Les noms, adresses postales, coordonnées bancaires, mots de passe ou adresses électroniques ne figurent donc pas, à ce stade, parmi les données annoncées comme exposées.
Cette précision réduit la quantité d’informations accessibles aux attaquants, mais elle ne rend pas la fuite anodine. Un numéro de téléphone valide peut être utilisé dans des campagnes de SMS frauduleux, de phishing, de faux appels bancaires ou de démarchage illégal.
Environ 3 millions d’enregistrements auraient été récupérés
D’après FrenchBreaches, la base récupérée par l’attaquant compterait environ 3 millions d’enregistrements, chaque ligne comprenant notamment un numéro de téléphone et un identifiant interne.
Ce chiffre ne signifie cependant pas nécessairement que trois millions de personnes différentes sont touchées. Un même utilisateur peut avoir enregistré plusieurs lignes téléphoniques auprès de Bloctel, et plusieurs numéros peuvent ainsi être associés à un seul consommateur.
L’ampleur reste néanmoins considérable au regard de la taille du dispositif. Au 12 juin 2026, Bloctel recensait environ 7,5 millions de consommateurs pour 14,3 millions de numéros inscrits.
Les données dérobées représenteraient donc une part non négligeable des numéros gérés par le service.
Des numéros qui peuvent devenir des cibles privilégiées
La nature même de Bloctel rend cette fuite particulièrement problématique. Les numéros enregistrés appartiennent à des consommateurs ayant expressément cherché à limiter les appels commerciaux.
Une telle base peut présenter un intérêt pour des acteurs malveillants souhaitant constituer rapidement des listes de numéros actifs. Elle pourrait notamment servir à multiplier les appels automatisés, les SMS frauduleux ou les tentatives d’hameçonnage ciblées.
Bloctel appelle ainsi les personnes concernées à redoubler de prudence face aux sollicitations inhabituelles.
Le service recommande de ne jamais transmettre d’informations personnelles ou bancaires, de mots de passe ou de codes de sécurité à la suite d’un appel ou d’un message suspect.
Le compte compromis a été bloqué
Après confirmation de l’incident, Bloctel indique avoir immédiatement bloqué le compte professionnel concerné afin d’empêcher tout nouvel accès.
Les autres comptes professionnels ont également été contrôlés. Ceux considérés comme inactifs ont été verrouillés.
Des investigations techniques ont parallèlement été lancées afin de déterminer précisément l’origine de la compromission, son déroulement et son périmètre exact.
L’incident a par ailleurs été notifié à la Commission nationale de l’informatique et des libertés (CNIL).
Bloctel est exploité pour le compte de la DGCCRF par CONSOPROTEC, filiale de Worldline France.
Une fuite qui intervient au moment de la disparition de Bloctel
Le calendrier est particulièrement défavorable. Bloctel a fermé définitivement ce 11 août 2026, dans le cadre de l’évolution de la réglementation française sur le démarchage téléphonique prévue par la loi du 30 juin 2025.
Le système reposait jusqu’ici sur un principe d’opposition : un consommateur inscrivait son numéro sur Bloctel et les professionnels devaient vérifier cette liste avant de lancer leurs campagnes.
