MySexShop : une fuite de données au bilan contesté

Le 30 octobre 2026, FrenchBreaches a relayé la revendication d’un pirate utilisant le pseudonyme ChimeraZ. Celui-ci affirme avoir diffusé des fichiers provenant de MySexShop.fr. Toutefois, les informations disponibles ne permettent pas d’assimiler chaque ligne à un client. Dans les sources publiques consultées au 1er novembre, aucune confirmation de l’exploitant ne vient préciser l’ampleur de l’incident ou sa méthode.

Pour MySexShop, 16 338 adresses IP ne font pas autant de victimes

Selon l’analyse de Cyberattaque.org, le chiffre revendiqué correspond à des adresses IP distinctes dans des journaux de navigation. Ces traces comprennent des visites automatisées. Le média recense, en revanche, 162 comptes utilisateurs dans les fichiers qu’il dit avoir examinés.

Il signale aussi des coordonnées associées à certains comptes, des empreintes de mots de passe et des jetons de session. Ces derniers peuvent servir à maintenir une connexion. Leur validité actuelle reste inconnue.

Les mots de passe apparaîtraient sous forme d’empreintes, et non en clair. De même, les champs d’adresses comportent des anomalies : leur présence ne prouve pas une livraison réelle.

Cette différence entre annonce et bilan rejoint notre dossier sur les fuites de données en France. Compter les personnes suppose de distinguer les comptes des traces techniques, puis de vérifier les doublons.

L’existence d’un compte ne révèle pas les achats

Le contexte du site donne un poids particulier à l’association entre une identité et un compte. Cependant, Cyberattaque.org indique n’avoir trouvé ni historique détaillé de commandes ni coordonnées bancaires dans les fichiers examinés. Son analyse ne permet donc pas d’affirmer que les achats des utilisateurs ont circulé.

Surtout, une inscription ne démontre pas les pratiques intimes d’une personne. Une information erronée ou un compte créé sans achat peut néanmoins alimenter une tentative de manipulation. Il faut donc distinguer le contenu disponible de ce qu’un escroc pourrait prétendre savoir.

À ce stade, les articles consultés n’établissent pas de cas concret de chantage lié à cette affaire. Présenter un scénario possible comme une conséquence déjà observée ajouterait une inquiétude sans preuve.

Les utilisateurs peuvent agir sans consulter les fichiers

Les recommandations de Cybermalveillance.gouv.fr donnent une marche à suivre. Un utilisateur peut changer le mot de passe du service concerné et remplacer celui des autres comptes où il l’aurait réutilisé. Il peut aussi activer la double authentification lorsque le service la propose.

Par ailleurs, un message qui connaît votre nom ou cite une boutique ne prouve pas l’identité de son expéditeur. Pour vérifier une alerte, mieux vaut rejoindre le site par son adresse habituelle. Les coordonnées reprises dans un message suspect ne doivent pas servir de seul point de contrôle.

En cas de menace ou de fraude, conserver les messages permet de documenter un signalement. Notre article sur les escroqueries après une fuite de données explique comment des informations exactes peuvent rendre une demande frauduleuse plus crédible.

Pour les entreprises, évaluer le risque sans attendre le bilan final

La CNIL rappelle les obligations applicables. Toute violation de données personnelles doit faire l’objet d’une documentation interne. Lorsqu’elle présente un risque pour les droits et libertés, le responsable doit la notifier à l’autorité dans les meilleurs délais.

Le délai maximal est de 72 heures après la prise de connaissance de la violation. En cas de risque élevé, il faut aussi informer les personnes concernées, sauf exception prévue par le RGPD. Une notification initiale peut précéder un complément d’enquête.

Ces règles ne permettent pas de conclure que MySexShop aurait manqué à ses obligations. L’absence de communiqué public ne prouve ni l’absence de notification à la CNIL ni l’absence d’information individuelle. Pour établir le bilan, il manque encore une confirmation de l’origine des fichiers et des précisions sur les comptes réellement concernés.