Piratage de Chat Coco : 14 500 comptes exposés, ce que vous pouvez exiger

Le 2 août 2026, le site Chat Coco a été entièrement compromis : page d’accueil remplacée par une revendication de piratage, base de données mise en libre téléchargement. Le lendemain, l’observatoire FrenchBreaches confirmait l’ampleur des dégâts : 14 511 comptes exposés, avec adresses e-mail, adresses IP, mots de passe hachés et le contenu intégral des conversations privées. Le site était clandestin, héritier du sulfureux coco.gg. Mais les règles qu’il illustre valent pour toutes les fuites de données : ce que vous pouvez exiger, sous quel délai, et ce qui relève du réflexe immédiat.

L’essentiel

• Chat Coco compromis le 2 août 2026 : 14 511 comptes selon FrenchBreaches, avec e-mails, adresses IP, photos, mots de passe hachés et messages privés en téléchargement public.
• Après toute fuite, le responsable du site doit alerter la CNIL sous 72 heures et vous informer « dans les meilleurs délais » si le risque est élevé (articles 33 et 34 du RGPD).
• Vos demandes d’accès ou d’effacement appellent une réponse sous 1 mois, prolongeable de 2 mois si le dossier est complexe ; passé ce délai, la plainte CNIL en ligne est gratuite.
• Une indemnisation est possible (article 82 du RGPD), y compris pour un simple préjudice moral, sans seuil de gravité ; vous avez 5 ans pour agir au civil.
• Face à un opérateur anonyme, le levier réaliste est la plainte pénale : l’accès frauduleux à un système est puni jusqu’à 5 ans de prison et 150 000 € d’amende.

Un site clandestin, des victimes bien réelles

Chat Coco se présentait comme un miroir non officiel de coco.gg, la messagerie fermée par le parquet de Paris le 25 juin 2024 après environ 23 000 procédures judiciaires ouvertes entre janvier 2021 et mai 2024. Le clone a subi le sort qu’il faisait courir à ses membres.

Les fichiers divulgués couvrent des inscriptions de mai 2023 à avril 2025, avec des traces d’activité jusqu’aux heures précédant l’attaque. Sur le nombre exact de victimes, les décomptes divergent légèrement : 14 511 comptes selon FrenchBreaches, environ 14 260 selon l’observatoire Cyberattaque.org. Le contenu, lui, ne fait pas débat : e-mails, pseudonymes, adresses IP, dates de naissance, localisation, photographies et conversations complètes. FrenchBreaches indique avoir transmis aux autorités plus de 440 Mo de données, dont des contenus d’une extrême gravité impliquant des mineurs.

Pour un inscrit, l’anonymat promis n’existe plus : un pseudonyme peut désormais être relié à une adresse e-mail, une IP, une ville et des échanges privés. C’est exactement le matériau dont se nourrissent le chantage et l’hameçonnage ciblé.

Le RGPD fixe trois délais, et ils courent déjà

Premier délai : 72 heures. C’est le temps maximal dont dispose le responsable d’un site pour notifier une violation de données à la CNIL, à compter du moment où il en a connaissance (article 33 du RGPD). Deuxième obligation : quand la fuite crée un risque élevé pour les personnes, ce qui est le cas dès que des messages privés ou des mots de passe circulent, le site doit informer individuellement chaque personne concernée « dans les meilleurs délais » (article 34). Ces règles s’appliquent à tout service qui vise un public en France, même hébergé à l’étranger.

Troisième délai, le plus utile pour vous : 1 mois. C’est le temps de réponse maximal à une demande d’exercice de vos droits, accès, rectification ou effacement (article 12.3). Le délai se compte de date à date à partir de la réception de votre demande, et peut être prolongé de 2 mois pour un dossier complexe, à condition de vous en avertir. Le silence vaut refus. La CNIL est claire : si vos données restent accessibles un mois après votre demande de suppression, ou si vous estimez qu’elles n’ont pas été correctement protégées, vous pouvez déposer plainte en ligne sur son site, gratuitement. Un organisme fautif s’expose à des sanctions pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Reste l’indemnisation. L’article 82 du RGPD ouvre un droit à réparation du préjudice matériel comme moral, sans seuil de gravité : la perte de contrôle sur ses données ou la crainte fondée d’un usage frauduleux peuvent suffire. L’action civile se prescrit par 5 ans, et une action de groupe reste possible via une association agréée.

Face à un opérateur fantôme, le vrai levier est pénal

Soyons honnêtes : exiger de Chat Coco une notification en bonne et due forme relève de la fiction. Le site était clandestin, son administrateur présumé a été signalé aux autorités, personne ne répondra à votre recommandé. Le recours qui existe vraiment est la plainte pénale.

Vous pouvez la déposer au commissariat, en gendarmerie, ou par écrit au procureur de la République de votre tribunal judiciaire. Le dispositif public 17Cyber et la plateforme cybermalveillance.gouv.fr orientent la démarche pas à pas. Les textes ne manquent pas : l’accès et le maintien frauduleux dans un système informatique sont punis de 3 à 5 ans d’emprisonnement et de 100 000 à 150 000 € d’amende (article 323-1 du code pénal), l’usurpation d’identité d’1 an et 15 000 € (article 226-4-1), l’escroquerie de 5 ans et 375 000 € (article 313-1). Pour ces délits, vous disposez de 6 ans à compter des faits pour porter plainte.

Un avertissement qui compte double ici : ne téléchargez jamais la base qui circule, même « pour vérifier ». Sa détention est illégale, et les fichiers de Chat Coco contiennent des contenus dont la simple possession constitue un crime.

Trois gestes avant ce soir, pas la semaine prochaine

Un : changez votre mot de passe partout où vous utilisiez le même que sur le site touché. Ceux de Chat Coco étaient hachés et salés, ce qui ralentit les pirates mais ne les arrête pas, surtout si le vôtre était court ou courant. Deux : activez la double authentification, sur votre messagerie d’abord, car c’est elle qui permet de réinitialiser tous vos autres comptes. Trois : considérez chaque appel ou e-mail inattendu comme suspect pendant plusieurs mois. Les fichiers volés alimentent des campagnes très crédibles, du type faux conseiller bancaire qui connaît déjà votre nom et votre banque.

Si un escroc parvient malgré tout à débiter votre compte, la banque doit en principe rembourser les opérations non autorisées, sauf négligence grave de votre part. La Cour de cassation a récemment précisé les règles du jeu, dans un sens plus exigeant pour les clients : conservez toute preuve montrant que vous avez été piégé via des données issues de la fuite.

Un mail qui cite vos messages : le scénario type du chantage

Situation type. Vous vous êtes inscrit à l’été 2024, sous pseudonyme, avec votre adresse habituelle. Trois semaines après la fuite, un e-mail arrive : il cite votre pseudo, un extrait de conversation, votre ville, et exige 900 € en cryptomonnaie sous 48 heures contre son silence. Verdict : ne payez pas, ne répondez pas. Un paiement ne fait jamais disparaître les données, il vous signale comme payeur et les demandes reprennent. Faites des captures d’écran datées, conservez l’e-mail complet, déposez plainte et signalez le message. Et si le chantage prend la forme d’une fausse alerte de sécurité avec un numéro à appeler, vous êtes face à la mécanique du faux support technique : ne composez aucun numéro.

Des faux accompagnateurs facturent des démarches gratuites

Dernière couche du problème : la CNIL alerte sur des offres d’accompagnement payantes qui ciblent les victimes de violations de données, parfois en se présentant comme des organismes agréés. Retenez un principe simple : la plainte CNIL est gratuite, la plainte pénale est gratuite, et l’exercice de vos droits RGPD ne coûte rien. Toute personne qui vous facture ces démarches gagne de l’argent sur votre fuite.

D’ici la fin de la semaine, faites le tri : mots de passe changés, double authentification activée, demande d’effacement envoyée aux sites qui détiennent encore des données inutiles sur vous. Et si un site vous laisse sans réponse, notez la date de votre demande : dans un mois jour pour jour, elle devient une plainte recevable.

Trois questions qui reviennent

Comment savoir si mon compte figure dans la fuite ?

Des services comme Have I Been Pwned peuvent indexer ce type de fichiers dans les semaines qui suivent. Dans le doute, si vous vous êtes inscrit entre mai 2023 et avril 2025, considérez-vous comme concerné. Ne téléchargez jamais la base pour vérifier vous-même.

Puis-je être indemnisé sans avoir perdu d’argent ?

Oui. L’article 82 du RGPD couvre le préjudice moral : angoisse d’un usage frauduleux, perte de contrôle sur des échanges privés, atteinte à la réputation. Il faut établir la violation, le préjudice et le lien entre les deux, devant le juge judiciaire, dans un délai de 5 ans.

Que risque l’auteur du piratage ?

L’accès frauduleux, le maintien dans le système et l’extraction des données relèvent des articles 323-1 et suivants du code pénal, jusqu’à 5 ans de prison et 150 000 € d’amende. La remise des données aux enquêteurs facilite ici les poursuites, contre les pirates comme contre l’exploitant du site.