L'OFAC démantèle le « lookup » Reacher/Stryx : trois mineurs de 17 ans interpellés

L'Office anti-cybercriminalité (OFAC) a mis hors ligne Reacher, un service de recherche d'informations personnelles renommé Stryx, et interpellé le 6 octobre 2026 ses trois administrateurs, tous âgés de 17 ans. L'enquête a été ouverte le 15 mai 2026 par la section J3 du parquet de Paris, saisie après un signalement de l'association e-Enfance. Le site Police & Réalités et ZATAZ rapportent les détails, repris par Yahoo Actualités.

Ce qu'était le service

Un « lookup » agrège des données issues de fuites et de cyberattaques, puis les rend interrogeables. Selon le patron de l'OFAC Nicolas Guidoux, cité par Police & Réalités, Reacher/Stryx revendiquait 730 millions de lignes indexées et plus de 3 millions de requêtes. Le service permettait de retrouver une personne à partir d'un nom, d'un numéro de téléphone, d'un IBAN ou d'une plaque d'immatriculation, gratuitement ou sur abonnement. ZATAZ précise que ces chiffres portent sur des lignes indexées, pas sur un nombre de personnes distinctes — l'écart est important et le volume réel d'individus exposés reste inconnu.

Le modèle économique reposait sur la vente de recherches, par abonnement ou par crédits. ZATAZ indique observer ce type de plateformes depuis une quinzaine d'années et alerter sur le phénomène depuis plus de cinq ans.

L'enquête

• 15 mai 2026 : ouverture de l'enquête par la section J3 du parquet de Paris, après signalement d'e-Enfance.
• 6 octobre 2026 : interpellation des trois administrateurs, âgés de 17 ans et jusque-là inconnus de la justice. Plateforme mise hors ligne.
• Qualifications retenues, selon Police & Réalités : recel d'extraction frauduleuse de données et détention ou transmission frauduleuse de données en bande organisée, passibles de dix ans d'emprisonnement. Une convocation devant le tribunal pour enfants de Paris est évoquée.

Le parquet de Paris indique avoir engagé, entre février et octobre 2026, une dizaine d'enquêtes pénales visant des plateformes d'agrégation de données volées. La CNIL signale à la justice les services portés à sa connaissance et déconseille de les utiliser, y compris pour rechercher ses propres informations.

Que faire

1. N'interrogez pas ces services, même pour vérifier votre propre exposition. Vous alimentez un fichier commercial de données volées et, selon la CNIL, vous risquez d'en être tenu responsable.
2. Ne payez pas les offres de « retrait » de données. La ministre déléguée au Numérique Anne Le Hénanff a appelé publiquement à ne pas payer ; ZATAZ note que certaines plateformes examinées par l'AFP facturaient ce retrait à partir de 11 euros.
3. Côté opérateur : traitez ces agrégateurs comme la surface d'exploitation des fuites que vous avez déjà subies. Si vos données clients ou vos identifiants ont circulé, rotation des secrets concernés et surveillance des combolists restent la seule réponse — la fermeture d'un lookup ne retire pas les données de la nature.

Contexte

Reacher/Stryx n'est pas un cas isolé mais le symptôme d'un marché : la dizaine d'enquêtes ouvertes en huit mois par le seul parquet de Paris montre une industrialisation de la revente de données déjà fuitées. Le profil des mis en cause — trois mineurs — confirme aussi que la barrière technique pour monter un tel service est devenue basse : il ne s'agit plus d'exfiltrer les données, seulement de les réindexer et de facturer l'accès. Tant que les fuites alimentant ces bases ne sont pas tarées à la source, chaque démantèlement laisse place à un successeur.