Données de Marine Le Pen exposées : pourquoi il ne faut jamais tester le moteur de recherche cité sur X

Les lookups sont des moteurs de recherche qui permettent d'accéder à des données personnelles, parfois sensibles, en quelques clics. Contrairement aux moteurs classiques comme Google, ils ne se contentent pas d'indexer des pages publiques du web. Ils agrègent principalement des bases de données issues de fuites, de piratages ou de reventes clandestines sur le Dark Web. Ces outils se présentent parfois comme des outils légitimes d'OSINT (Open Source Intelligence), une pratique légale utilisée par les journalistes ou les chercheurs en cybersécurité pour collecter des informations publiques. Cependant, leur modèle économique repose souvent sur l'exploitation de données volées, ce qui les rend illégaux et dangereux.

En juillet 2026, un lookup a lui-même été compromis, exposant les données de ses utilisateurs. Parmi les informations divulguées figuraient des adresses e-mail, des adresses IP, des historiques de recherche et des journaux d'activité. Cela signifie que la liste des personnes recherchées par un utilisateur pouvait être associée à ses propres données personnelles. Ce type d'incident illustre les risques liés à l'utilisation de ces moteurs, où les données des utilisateurs et des personnes recherchées peuvent être exposées simultanément.

Les lookups proposent généralement quelques recherches gratuites en échange d'une adresse e-mail, avant de demander un abonnement payant de quelques euros par mois. Le paiement se fait souvent en cryptomonnaies ou via un virement bancaire, car PayPal est fréquemment indisponible. Cette méthode expose l'utilisateur à des risques supplémentaires : non seulement il paie pour accéder à des données volées, mais il transmet aussi ses propres informations bancaires à des opérateurs dont l'identité et les pratiques de sécurité sont inconnues. Les abonnés n'ont aucun recours en cas de disparition du site, un phénomène appelé exit scam, courant dans les marchés clandestins.

Les données fournies par les lookups ne sont pas toujours fiables. Par exemple, un journaliste de France Télévisions a découvert des informations fausses ou obsolètes en recherchant son propre nom. Les données peuvent provenir de fuites anciennes, être incomplètes ou erronées. De plus, ces moteurs ne vérifient pas la légitimité des données qu'ils agrègent, ce qui augmente le risque de désinformation ou de manipulation. L'utilisateur ne peut donc pas se fier à la précision des résultats obtenus.

En France, consulter des données personnelles sur un lookup peut exposer l'utilisateur à des poursuites judiciaires. Selon Thibault Douville, professeur de droit du numérique, rechercher des informations sur des tiers constitue un traitement illicite de données, passible de cinq ans d'emprisonnement et de 375 000 € d'amende. Même si la recherche de ses propres données est légale, celle de données concernant d'autres personnes est interdite. Les autorités judiciaires françaises ont déjà saisi des cas similaires, bien qu'aucune condamnation n'ait encore été prononcée dans ce contexte précis.

En janvier 2020, les autorités américaines et européennes ont saisi WeLeakInfo, un site vendant l'accès à des milliards de données issues de plus de 10 000 fuites pour quelques dollars par jour. En décembre 2020, 21 de ses clients ont été arrêtés au Royaume-Uni. En mars 2021, un hacker a récupéré les données de paiement de près de 24 000 clients après l'expiration d'un nom de domaine secondaire. Cet exemple montre que les données des utilisateurs de lookups ne disparaissent pas avec la fermeture du site et peuvent être exploitées à des fins malveillantes ou judiciaires.