SDIS : 13 services de secours cités, un seul confirmé

📋Les 13 SDIS, un par un

Chaque ligne indique le statut réel — confirmé signifie qu'une personne identifiée, avec son nom et sa fonction, l'a reconnu publiquement ; revendiqué signifie que seule l'information du pirate existe, ou qu'une communication institutionnelle existe sans qu'aucun nom n'y soit cité.

¹ Communiqué officiel du SDIS, plainte déposée et CNIL saisie — mais aucune personne nommée publiquement dans la source, d'où ce classement (voir la note méthodologique en tête de dossier).

⚠️ Pourquoi 13 et pas 14 ? FrenchBreaches titre sur « 14 SDIS » au 30 août 2026, mais n'en nomme que douze dans le corps de son article — sept pour la vague d'août, cinq pour les précédentes. Nous ajoutons à ces douze le SDIS d'Indre-et-Loire, documenté par ZATAZ, ce qui donne treize services effectivement nommés et vérifiables. Les deux cas qui porteraient leur total à quatorze ne sont identifiés nulle part dans les sources que nous avons pu lire : nous ne les comptons donc pas. Si vous disposez d'un élément permettant de les nommer, écrivez-nous.

⚖️Marne : la revendication la plus documentée, mais pas nominative

Le Gard est le seul cas confirmé nommément — par une personne identifiée, sa fonction, une date et un média vérifiables. Mais le SDIS de la Marne a lui aussi communiqué officiellement, dès le 27 juillet 2026, avec une démarche plus complète que le Gard sur le plan judiciaire : communiqué institutionnel, plainte déposée et violation notifiée à la CNIL. Deux suspects auraient même été identifiés, selon une source policière restée anonyme. Mais dans l'article qui rapporte cette communication, aucune personne n'est jamais citée par son nom — seulement par sa fonction (« l'officier de communication du Sdis de la Marne ») ou de façon institutionnelle (« un communiqué des pompiers », « le Sdis », « le parquet »). Faute d'un nom vérifiable, ce dossier classe la Marne en revendication documentée, et non en confirmation au même titre que le Gard.

🔍Ce que contiennent réellement les revendications

Selon les échantillons publiés par les pirates — non vérifiés indépendamment pour la plupart — les champs les plus fréquemment cités sont : noms et prénoms, dates de naissance, adresses, numéros de téléphone, courriels, matricules professionnels, grades, centres ou unités d'affectation, et parfois des photographies ou des informations liées aux badges. Dans le seul cas confirmé où le SDIS lui-même a détaillé le contenu — le Gard — s'y ajoutent des copies de pièces d'identité et des coordonnées bancaires, données qui n'apparaissent pas dans les autres revendications à ce stade.

🔢Une ligne n'est pas une personne

Tous les chiffres de ce dossier sont des nombres de lignes ou d'enregistrements annoncés par les pirates, jamais des décomptes de victimes vérifiés. Trois raisons de ne pas les lire comme tels, que les sources énoncent elles-mêmes : une base peut contenir des doublons, des comptes techniques ou des contacts externes ; l'annuaire revendiqué pour la Moselle (6 434) peut inclure d'autres catégories de personnels que des sapeurs-pompiers ; et à l'inverse, l'échantillon des Alpes-de-Haute-Provence contient des coordonnées de proches, ce qui signifie que le nombre de personnes dont une donnée apparaît peut dépasser les 145 enregistrements annoncés. Aucun de ces chiffres n'a fait l'objet d'une vérification indépendante.

📦Au-delà des bases : des milliers de documents internes

Trois revendications ne portent pas seulement sur des annuaires, mais sur des volumes documentaires : les Landes (11,8 Go, 3 205 fichiers), la Marne (environ 700 Mo, 1 021 fichiers) et les Alpes-Maritimes (22,5 Go, 15 833 fichiers) — soit, à elles seules, plus de 20 000 fichiers et environ 35 Go revendiqués. Le contenu de ces archives n'est pas publiquement observable : il serait prématuré d'affirmer que tous ces documents sont sensibles, comme d'affirmer l'inverse. Deux ensembles se distinguent par leur nature : les Vosges, où figurent des historiques de connexion (identifiants, horaires, informations réseau, appareils utilisés), et le Bas-Rhin, où apparaissent des données de formation — formateurs, stagiaires, parcours.

🧩Deux natures de revendication très différentes

Toutes les revendications ne se valent pas. Pour la Somme, l'Essonne et l'Aisne, les pirates affirment avoir obtenu un accès administrateur à un site ou une infrastructure — sans qu'aucune base de données n'ait été montrée en preuve à ce jour, et sans qu'une exfiltration de données ne soit démontrée. Pour les dix autres SDIS, les pirates publient des extraits de fichiers (CSV ou JSON) présentés comme des exports de personnels. Un accès revendiqué n'est pas une fuite démontrée : c'est une distinction que plusieurs des sources consultées font elles-mêmes explicitement, en écrivant noir sur blanc que l'authenticité complète des données reste à confirmer indépendamment. Le cas de l'Aisne illustre pourquoi la distinction compte : la revendication y décrit un accès à des outils métiers — cartographie, suivi des incendies, surveillance des massifs, remontée d'informations, signalement, météorologie, services cloud — sans qu'aucun volume de données ni nombre de personnes ne soit avancé. Un tel accès, s'il était authentique et encore valide, poserait un problème de sécurité opérationnelle réel ; il ne démontre pour autant aucune fuite de données personnelles.