Searcher : Les Lois que ce Site Enfreint

Le site Searcher, hébergé hors d'Europe, rassemble des fuites de données déjà dispersées sur Internet et les rend interrogeables à partir d'un simple nom. Concrètement, n'importe qui peut afficher les informations sensibles d'une personne en tapant son identité. Soyons clairs, c'est illégal, et le droit français ne manque pas d'arguments à charge : recel, collecte déloyale, usurpation d'identité, défaut de sécurité, tout est qualifiable. Alors pourquoi ce site est-il encore ouvert ? Avocate en droit du numérique et cybercriminalité, je vous explique les risques réels et les recours dont vous disposez.

Ce que la loi peut déjà qualifier contre ce type de site

Quand j'examine Searcher, je vois un empilement d'infractions caractérisées. Le site détient et diffuse des données qu'il sait issues de piratages, et ça, c'est un recel, que l'article 321-1 du Code pénal punit de cinq ans d'emprisonnement et 375 000 euros d'amende. Il les a rassemblées à l'insu des personnes, ce qui caractérise une collecte déloyale réprimée par l'article 226-18. Il facilite l'usurpation de l'identité de ceux qu'il référence, un délit prévu par l'article 226-4-1. Et les intrusions initiales qui l'alimentent relèvent de l'accès frauduleux à un système, puni par l'article 323-1.

On me sort souvent l'argument « ces données étaient déjà publiques ». Mais il ne tient pas. La chambre criminelle de la Cour de cassation a confirmé le 30 avril 2024 qu'une collecte reste déloyale même lorsqu'elle porte sur des données pour partie librement accessibles, dès lors qu'elle s'opère à l'insu des personnes concernées. Autrement dit, agréger des fuites publiques ne purge pas l'illicéité du procédé.

Le RGPD pose lui aussi un cadre clair sur les données personnelles. Ce type de traitement ne repose sur aucune des bases légales énumérées à son article 6, il manie des données sensibles que protège son article 9, et il reste applicable même opéré depuis l'étranger dès lors qu'il cible des personnes en France, par le jeu de son article 3.

A savoir que consulter le site par curiosité n'est pas automatiquement un délit, car la Cour de cassation a refusé d'assimiler une information immatérielle à une « chose » recelable au sens de l'article 321-1. En revanche, télécharger, conserver ou exploiter ces données, là, vous vous exposez très concrètement.

Pourquoi le site reste-t-il en ligne ?

Tout est qualifiable, et pourtant le site est toujours accessible. Ça peut sembler incohérent, mais pour moi tout se joue sur ces 3 raisons :

• L'extraterritorialité : derrière une façade Cloudflare et un registrar américains, le serveur réel échappe à une saisie directe et l'opérateur reste anonyme. Le droit s'applique, mais atteindre la cible suppose une coopération internationale qui prend des mois.
• L'asymétrie de vitesse : obtenir un blocage demande des semaines de procédure, mais un site miroir pourra être recréé quelques minutes après.
• L'insolvabilité de la cible : condamner un anonyme installé à l'étranger est possible en droit, mais n'apportera pas vraiment de résultat, faute de pouvoir recouvrer quoi que ce soit.

Comme il est complexe d'identifier le propriétaire du site, ma conviction, c'est qu'il faut plutôt viser les intermédiaires solvables. L'article 6 de la loi pour la confiance dans l'économie numérique permet déjà au juge d'ordonner le blocage d'un contenu manifestement illicite. Le Digital Services Act, le règlement européen 2022/2065, ouvre quant à lui une voie de retrait via les intermédiaires établis dans l'Union, souvent plus rapide que la procédure classique.

Par exemple, dans une affaire portée par Canal+, le tribunal judiciaire de Paris a contraint en 2024 Cloudflare, Google et Cisco à bloquer près de 117 domaines pirates via leurs propres résolveurs DNS, une décision confirmée en appel le 27 mars 2026. Une solution comparable pourrait être appliquée ici.

Ce qu’on peut faire contre vous avec ces données

Le vrai danger, c'est le croisement des données. Pris isolément, votre nom ou votre adresse ne valent pas grand-chose. Mis bout à bout, ils offrent un profil détaillé qu'un escroc peut exploiter pour usurper votre identité, souscrire un crédit ou ouvrir un compte à votre nom. Votre IBAN, lui, servirait à tenter des prélèvements frauduleux. Sachez d'ailleurs que l'article L. 133-18 du Code monétaire et financier vous permet d'en obtenir le remboursement par votre banque lorsqu'ils ne sont pas autorisés, à condition de les signaler sans tarder.

Vos données sont exposées ? Ce qu'il faut faire en premier

Ne cherchez pas votre nom sur Searcher, vous y laisseriez une trace sans rien régler. Pour savoir si vous figurez dans des fuites connues, passez plutôt par des services reconnus comme Have I Been Pwned ou Mozilla Monitor. Le dispositif public Cybermalveillance.gouv.fr, gratuit, est lui aussi conçu pour les victimes.

Une fois l'exposition probable établie, agissez vite et dans cet ordre.

• Changez les mots de passe réutilisés, en commençant par votre messagerie principale, qui sert de clé de récupération à tous vos autres comptes.
• Activez la double authentification partout où elle existe, pour qu'un mot de passe volé ne suffise plus à entrer.
• Surveillez vos relevés bancaires : un IBAN exposé facilite des prélèvements frauduleux que vous devrez contester sans tarder auprès de votre banque.
• Méfiez-vous des messages trop bien renseignés : un escroc qui connaît votre adresse et un rendez-vous médical récent rend son hameçonnage redoutablement crédible.

Soyez particulièrement vigilant si la fuite touche votre santé ou celle de vos enfants. Le RGPD classe ces informations parmi les données sensibles et leur réserve, à son article 9, une protection renforcée. Leur diffusion justifie souvent l'appui d'un avocat pour cadrer vos démarches.

Contre qui vous retourner quand vous êtes victime

Mon conseil est de viser le maillon solide. Votre recours le plus efficace est d'engager la responsabilité des organismes qui ont laissé fuiter vos données. Pourquoi eux ? Parce que l'article 32 du RGPD et l'article 226-17 du Code pénal leur imposent une obligation de sécurité dont le manquement est sanctionné.

Vous pouvez engager leur responsabilité et demander réparation de votre préjudice, matériel comme moral, sur le fondement de l'article 82 du RGPD. Et lorsqu'une fuite touche de nombreuses personnes, l'action de groupe ouverte par l'article 37 de la loi Informatique et Libertés permet de mutualiser cette demande.

En parallèle, saisissez la CNIL d'une réclamation. La démarche est gratuite et peut déboucher sur une injonction et une sanction contre le responsable défaillant. L'autorité s'engage à vous informer de l'avancement, en principe dans un délai de trois mois. Rien ne vous oblige à choisir, car la voie pénale, la réclamation CNIL et l'action en réparation se cumulent.

Vous pouvez aussi déposer une plainte contre X pour usurpation d'identité. L'enquête revient à la section cyber du parquet. N'en attendez toutefois pas une réparation rapide du préjudice.

Qu'est-ce que Searcher ?

Searcher, créé par un anonyme, agrège des bases issues de violations de données déjà commises ailleurs, puis les croise sous un seul nom. Le résultat affiche, selon les profils, nom, prénom, date et lieu de naissance, adresse postale, numéro de passeport, numéro de sécurité sociale, IBAN, plaque d'immatriculation, rendez-vous médicaux et nombre d'enfants. Selon franceinfo, près de 1,2 milliard de données alimenteraient la plateforme, un volume de lignes qui ne dit pas le nombre de personnes touchées puisque chaque individu en génère plusieurs. L'accès, gratuit dans un premier temps, est annoncé comme basculant vers un modèle payant à partir du 15 juin 2026.

Searcher ne pirate pas, il recycle. Le site exploite le produit d'intrusions antérieures, ce qui le place sur le terrain du recel plutôt que du piratage. La Commission nationale de l'informatique et des libertés ne dit pas autre chose lorsqu'elle indique à franceinfo qu'« en l'état actuel du droit, ces services ne semblent pas conformes à la législation », parce qu'ils compilent des données issues de violations. Le gouvernement, par la voix d'Anne Le Hénanff, ministre déléguée chargée de l'Intelligence artificielle et du Numérique, a signalé le site au parquet sur le fondement de l'article 40 du Code de procédure pénale. Mais signaler, ici, ça veut dire saisir le procureur, pas ordonner une fermeture immédiate.

Un mot sur le « .free » du nom de domaine : il n'a aucun rapport avec l'opérateur Free ni avec le groupe Iliad. C'est une simple extension de nom de domaine, et elle ne doit faire peser aucun soupçon sur une entreprise étrangère à l'affaire.

Questions fréquentes

Est-il illégal de consulter Searcher ?

La simple consultation par curiosité n'est pas automatiquement un délit, car la Cour de cassation a refusé d'assimiler une information immatérielle à une « chose » susceptible de recel au sens de l'article 321-1 du Code pénal. En revanche, télécharger, conserver ou exploiter ces données vous expose nettement, cette fois, au recel et à d'autres qualifications.

Combien de temps pour faire retirer ses données ?

Le site annonce traiter les demandes dans un délai de l'ordre d'un mois, chiffre à prendre avec prudence faute de garantie. Surtout, un effacement à un endroit n'empêche pas une réapparition sur un miroir, d'où l'intérêt d'agir contre ceux qui ont laissé fuiter vos données.

Le « .free » de Searcher a-t-il un lien avec l'opérateur Free ?

Non. Le « .free » est une simple extension de nom de domaine, sans aucun rapport avec l'opérateur Free ni avec le groupe Iliad. La ressemblance est trompeuse et ne doit faire peser aucun soupçon sur cette entreprise.

Sources

• Code pénal, art. 321-1 (recel), art. 226-18 (collecte déloyale), art. 226-17 (sécurité), art. 226-4-1 (usurpation d'identité), art. 323-1 (accès frauduleux), Légifrance.
• Cour de cassation, chambre criminelle, 30 avril 2024, n° 23-80.962, Légifrance.
• Règlement (UE) 2016/679 (RGPD), art. 3, 6, 9, 32 et 82, EUR-Lex.
• Règlement (UE) 2022/2065 (Digital Services Act), EUR-Lex.
• Loi n° 78-17 du 6 janvier 1978, art. 37 (action de groupe), Légifrance.
• Code du sport, art. L. 333-10 (blocage des intermédiaires), Légifrance.
• Code monétaire et financier, art. L. 133-18 (remboursement des opérations non autorisées) ; Code de procédure pénale, art. 40 (saisine du parquet), Légifrance.
• Adresser une plainte à la CNIL ; Cybermalveillance.gouv.fr.
• Faits d'actualité (volume de données, données exposées, position de la CNIL, saisine du parquet) : franceinfo, 12 juin 2026.