Il se cachait derrière un pseudonyme tiré du langage hexadécimal et opérait dans l’ombre des forums cybercriminels les plus actifs. Le hacker connu sous le nom de HexDex, l’un des principaux responsables de fuites de données en France ces derniers mois, a été arrêté. Retour sur une affaire qui a ébranlé aussi bien des institutions publiques que des fédérations sportives et des syndicats.
Qui est HexDex ?
Sous ce pseudonyme se cache un cybercriminel francophone dont la motivation était explicitement financière. Dans une interview accordée au site spécialisé ZATAZ, le hacker déclarait sans détour : « Tout ce que je fais sous la bannière HexDex a un objectif clair : gagner de l’argent. »
Son mode opératoire était industriel : il infiltrait des bases de données vulnérables, les indexait, les triait par valeur marchande, puis les revendait au détail sur BreachForums — le principal forum cybercriminel international — à des revendeurs qui redistribuaient ensuite les données à des arnaqueurs, usurpateurs d’identité ou agences de renseignement privées.
HexDex n’avait aucune revendication idéologique. Les administrations et entreprises visées n’étaient pas des cibles politiques, simplement des « systèmes vulnérables et des bases de données monnayables ».
La liste des piratages revendiqués
En quelques mois, HexDex a semé le chaos dans des dizaines d’organisations françaises. Voici les attaques confirmées :
Institutions publiques
- Police Nationale — plateforme e-campus (17-18 mars 2026) : vol d’une base de données contenant les profils de 176 317 agents — policiers actifs, gendarmes et personnel civil du ministère de l’Intérieur. Les données dérobées incluaient noms, prénoms, adresses de résidence administrative, adresses e-mail et parcours de formations suivis.
Fédérations sportives
- Fédération Française d’Aéronautique (FFA) (28 février 2026) : 343 734 membres exposés, données personnelles mises en vente sur BreachForums.
- Fédération Française de Basket-ball (FFBB) : base de données revendiquée contenant 1 926 409 membres licenciés et environ 800 000 parents associés, soit près de 2,7 millions de personnes touchées.
Organisations syndicales et professionnelles
- Force Ouvrière (FO) (1er avril 2026) : plus de 161 000 membres exposés, données mises en vente sur les forums underground.
Autres cibles
Au-delà de ces cas documentés, HexDex revendiquait des dizaines d’intrusions visant des entreprises privées, des plateformes e-commerce et diverses structures publiques françaises, belges et suisses. Selon les experts en cybersécurité, il s’agissait de l’un des hackers les plus prolifiques de la cybersphère francophone.
L’enquête et l’arrestation
Après le piratage de la plateforme e-campus de la Police Nationale, le parquet de Paris a saisi dès le 30 mars 2026 la BL2C (Brigade de Lutte Contre la Cybercriminalité de la Préfecture de Police de Paris). Les investigations ont rapidement progressé, conduisant à l’interpellation du hacker.
HexDex encourt jusqu’à 5 ans d’emprisonnement et 375 000 euros d’amende pour accès frauduleux à des systèmes de traitement automatisé de données. Si des chefs d’accusation en bande organisée sont retenus, la peine peut grimper jusqu’à 10 ans de prison.
Pourquoi cette affaire est-elle importante ?
L’arrestation de HexDex illustre plusieurs réalités préoccupantes :
- La vulnérabilité des institutions françaises : des dizaines d’organisations, y compris des services de l’État, sont compromises faute de sécurisation suffisante de leurs systèmes.
- L’écosystème industriel de la revente de données : HexDex ne travaillait pas seul — il alimentait une chaîne de valeur criminelle où les données personnelles de millions de Français sont transformées en marchandise.
- La lenteur des notifications aux victimes : dans le cas de la Police Nationale, il a fallu plus d’un mois pour avertir les 176 000 agents concernés.
Si vous pensez être concerné par l’une de ces fuites, changez immédiatement vos mots de passe, activez la double authentification sur vos comptes sensibles et méfiez-vous des tentatives de phishing exploitant vos données personnelles.
Sources : FrenchBreaches, ZATAZ, Actu17