Fichier I-CAD des chiens et chats : un pirate revendique les données de 2,9 millions de propriétaires, ce que l’on sait et les réflexes à adopter

Depuis le dimanche 18 octobre 2026, un pirate se présentant sous le pseudonyme ChimeraZ propose à la vente, sur un forum cybercriminel, des données qu’il dit avoir extraites de l’I-CAD, le fichier national d’identification des chiens, chats et furets. Selon le site FrenchBreaches, qui recense les fuites de données et que cite franceinfo, il affirme détenir les données de 2,9 millions de propriétaires d’animaux et de 50 000 vétérinaires. À ce stade, ces déclarations n’ont pas été confirmées de façon indépendante, et l’I-CAD n’a pas publiquement confirmé cette nouvelle revendication.

Ce que contient le fichier

L’I-CAD centralise les informations qui permettent d’identifier un animal par puce électronique ou par tatouage et de le relier à son détenteur. Sa gestion est assurée par Ingenium animalis, dans le cadre d’une délégation du ministère chargé de l’Agriculture. Propriétaires, vétérinaires, refuges et fourrières s’en servent au quotidien, notamment pour retrouver un animal perdu. C’est aussi ce qui rend ce fichier sensible : chaque fiche rattache un animal, souvent très cher à son maître, à une identité réelle.

Le site Cyberattaque.org indique s’être procuré les échantillons diffusés par le pirate et avoir analysé 800 fiches d’animaux ainsi que 200 fiches de professionnels. Selon son analyse, les fiches d’animaux comportent le numéro de puce électronique, la date de naissance, le sexe et le nom de l’animal, les nom et prénom du propriétaire, ainsi que des informations sur la stérilisation, un éventuel décès ou le statut de l’animal dans le fichier. Les fiches de vétérinaires contiennent le nom, le département, un identifiant interne et un numéro professionnel dit CSO.

Cyberattaque.org relève que certaines fiches comportent des déclarations de décès enregistrées jusqu’au 24 septembre 2026, ce qui laisse penser que les données étaient récentes au moment de leur mise en vente. Le même site précise n’avoir trouvé, dans les échantillons analysés, ni mot de passe, ni donnée bancaire, ni adresse postale du détenteur. Franceinfo, de son côté, évoque parmi les informations potentiellement exposées des noms, des coordonnées et des données d’identification. Les deux sources ne décrivent donc pas exactement le même périmètre, et seule une communication du gestionnaire permettrait de trancher.

Un fichier déjà fragilisé

Ce n’est pas le premier incident. Le fichier avait déjà été touché par une cyberattaque en septembre 2025. Sur le site de l’I-CAD, Ingenium animalis publie une communication destinée aux usagers, parue initialement le 10 mars 2026 et mise à jour le 10 août 2026. Le gestionnaire y signale que plusieurs usagers ont reçu des messages d’hameçonnage contenant certaines de leurs informations personnelles, et indique qu’en septembre 2025, ses équipes avaient identifié une vulnérabilité informatique susceptible d’avoir permis l’interrogation automatisée de certains enregistrements. Selon l’organisme, les données susceptibles d’être concernées se limitaient à l’adresse électronique des usagers, et aucune donnée sensible au sens de l’article 9 du RGPD n’était en cause.

Dans ce communiqué, le gestionnaire affirme avoir sécurisé l’accès aux systèmes concernés, renforcé les contrôles, la surveillance et la détection d’activités anormales, et informé la CNIL, conformément à l’article 33 du RGPD, le règlement européen sur la protection des données. Il justifie le choix d’une annonce publique, plutôt que de messages individuels, par l’impossibilité technique de prévenir un par un l’ensemble des usagers. Un point mérite d’être relevé : si cette page, parue en mars 2026, constitue bien la première information publique sur la faille, elle est intervenue plusieurs mois après sa découverte.

La nouvelle revendication vient-elle de la même faille ou d’une autre brèche ? Personne ne le sait encore. Cyberattaque.org écrit qu’il est impossible, à ce stade, d’affirmer que les 2,9 millions de lignes proviennent de la même vulnérabilité, et franceinfo note que l’origine technique de cette nouvelle exposition reste à établir. Tant qu’Ingenium animalis ne s’est pas exprimé, il faut donc parler d’une revendication, rendue plausible par les échantillons analysés, mais non confirmée.

Associer un numéro de puce au nom de son propriétaire suffit à rendre crédible un faux message sur un animal perdu ou un dossier à mettre à jour.

Le vrai risque : l’hameçonnage ciblé

Même sans mot de passe ni coordonnées bancaires, ces données intéressent les escrocs. Cyberattaque.org met en garde contre des campagnes d’hameçonnage particulièrement crédibles autour d’un animal perdu, d’un changement de propriétaire ou d’une prétendue mise à jour du dossier I-CAD. Police et Réalités appelle à la prudence face à tout message inattendu évoquant un animal, une puce électronique ou un dossier d’identification. L’hameçonnage désigne ces faux messages qui imitent un organisme connu pour soutirer de l’argent ou des informations : ici, le nom de votre chien ou de votre chat suffit à faire baisser la garde.

Les réflexes de base restent les mêmes. Le gestionnaire de l’I-CAD recommande de ne jamais répondre à un message non sollicité, ni de lui transmettre la moindre donnée. L’ARCEP rappelle que cliquer sur une pièce jointe ou sur un lien peut suffire à installer un logiciel malveillant à l’insu de l’utilisateur. Un courriel suspect peut être signalé sur le site de l’association Signal Spam, et un SMS suspect transféré au numéro court 33 700.

Côté I-CAD, le gestionnaire invite à joindre son délégué à la protection des données, à l’adresse dpo@i-cad.fr, pour signaler tout message inhabituel. Si vous avez communiqué vos coordonnées bancaires ou repéré des prélèvements frauduleux, l’ARCEP recommande de contacter immédiatement votre banque. Ces démarches valent pour les particuliers comme pour les vétérinaires, dont les identifiants professionnels figureraient dans les échantillons.

Cette affaire rappelle une règle simple : une donnée centralisée devient une cible, et ceux qui la confient n’ont guère de prise sur sa protection. Particuliers, cabinets vétérinaires, refuges ou petites structures n’ont pas la main sur la sécurité d’un fichier national, mais ils peuvent apprendre à reconnaître un faux message et à vérifier avant d’agir. Si vous avez un doute sur un message reçu, ou si vous souhaitez sensibiliser votre entourage ou votre équipe à ces réflexes, l’accompagnement bénévole et gratuit d’Azure Informatique peut vous aider, dans la mesure de nos disponibilités.