82 000 cartes d’identité et RIB exposés : le Groupe T2MC, sous-traitant de La Poste et de l’AP-HP, visé par une fuite de données

🔍 Ce que révèle la fuite du Groupe T2MC

Le 1er août 2026, un acteur cybercriminel a publié, sur un forum spécialisé dans la revente de données volées, une annonce affirmant détenir une base de données issue du Groupe T2MC, entreprise française de nettoyage industriel et de services aux entreprises basée en Île-de-France (région parisienne). Selon cette publication, relayée le même jour par le site de veille Cyberattaque.org puis par la plateforme de suivi des incidents FrenchBreaches, le lot de données représenterait 26 Go de documents, soit environ 82 000 fichiers.

L’auteur de la revendication affirme « ne pas avoir exploité de vulnérabilité technique » pour accéder à ces données, évoquant à la place une « faiblesse humaine » — une formulation qui, en l’état, reste une allégation de l’attaquant et non un constat technique vérifié. Aucun rapport d’incident officiel, ni de la part de T2MC ni d’un organisme tiers (CNIL, ANSSI), n’a été identifié à ce jour pour confirmer ou infirmer ce point.

🏢 Qui est le Groupe T2MC ?

Le Groupe T2MC, créé en 2007, intervient dans le nettoyage industriel, l’entretien de locaux, les prestations d’accueil et de services aux entreprises. L’entreprise revendique elle-même, sur son site officiel, environ 9 500 collaborateurs, 3 500 clients et une présence dans 11 régions françaises.

Selon les éléments diffusés par l’attaquant et repris par FrenchBreaches, T2MC compterait parmi ses références des acteurs publics et privés de premier plan : La Poste, la Ville de Paris, le musée du Louvre, le Centre Pompidou, le groupe automobile Stellantis, l’équipementier SEB, le loueur de véhicules Fraikin, plusieurs hôpitaux de l’AP-HP (Assistance publique – Hôpitaux de Paris, le plus grand groupe hospitalier public français) ainsi que des enseignes hôtelières comme Mercure et B&B Hotels. Cette liste de clients n’a pas non plus fait l’objet d’une confirmation indépendante ; elle est mentionnée ici comme un élément du dossier revendiqué par l’attaquant, pas comme un fait établi.

Ce n’est pas T2MC elle-même qui est visée en tant que cible finale, mais bien ses propres salariés — un point important : dans ce type d’incident, ce sont les données du personnel de l’entreprise sous-traitante (identité, paie, documents administratifs) qui fuitent, et non celles des clients finaux de T2MC.

🗂️ Quelles données exactement, et quel volume ?

Les deux sources consultées pour cet article convergent sur la nature des documents revendiqués. Il s’agirait d’une base de données RH (ressources humaines) au format JSON, accompagnée d’un volumineux lot de pièces justificatives numérisées :

• Cartes nationales d’identité (CNI), recto et verso
• Relevés d’identité bancaire (RIB)
• Justificatifs de domicile
• Cartes Vitale (carte d’assurance maladie française)
• Titres de séjour, pour les salariés étrangers
• Données RH : identité complète, adresse, email, téléphone, numéro de Sécurité sociale, contrats de travail, salaire horaire, horaires et lieux d’affectation

Le chiffre de 82 000 fichiers, pour 26 Go de données, ne correspond pas nécessairement à 82 000 personnes distinctes : un même salarié peut être associé à plusieurs fichiers (CNI, RIB, justificatif de domicile, contrat, etc.). Ni Cyberattaque.org ni FrenchBreaches n’avancent de nombre précis de personnes physiques potentiellement concernées — un point qui reste, à ce stade, une zone d’ombre du dossier.

🕵️ Comment la fuite a été rendue publique

La publication a eu lieu sur un forum cybercriminel utilisé pour la revente ou l’exposition de données volées — un canal classique pour ce type d’annonce, où des échantillons de données sont généralement diffusés en accès libre afin de crédibiliser la revendication et d’inciter à l’achat du lot complet. Selon FrenchBreaches, des échantillons contenant des données personnelles et contractuelles ont bien été mis en ligne pour appuyer l’annonce.

Aucune des deux sources ne précise l’identité exacte du forum, ni les modalités de vente (prix demandé, forme de la transaction). Sur la méthode technique employée pour obtenir l’accès, l’attaquant évoque une simple « faiblesse humaine » plutôt qu’une faille logicielle — une piste qui pourrait renvoyer, par exemple, à des identifiants compromis, un poste de travail infecté ou une négligence dans le partage de fichiers, mais qui reste, en l’absence d’audit technique publié, une hypothèse non vérifiée.

💳 Carte d’identité + RIB : un cocktail à haut risque

Toutes les fuites de données ne se valent pas. Un email ou un numéro de téléphone exposés isolément exposent surtout à du spam ou du phishing (hameçonnage). La combinaison ici en jeu est nettement plus sérieuse, pour deux raisons cumulatives.

D’une part, une carte nationale d’identité recto-verso, associée à un nom, une date de naissance et une adresse, constitue selon la CNIL (Commission nationale de l’informatique et des libertés, l’autorité française de protection des données personnelles) l’un des scénarios à « maximum de risque » en matière d’usurpation d’identité : ouverture de crédits, souscription d’abonnements téléphoniques ou de contrats de location au nom de la victime, sans que celle-ci en soit informée avant réception des factures ou relances.

D’autre part, un RIB (relevé d’identité bancaire) exposé présente, toujours selon la CNIL, un risque élevé de prélèvements frauduleux : un IBAN (International Bank Account Number, le numéro de compte bancaire international) suffit à lui seul à créer un mandat de prélèvement frauduleux auprès de certains organismes peu vigilants sur les vérifications d’identité.

Réunies dans un même dossier — comme c’est ici le cas revendiqué — CNI et RIB permettent en théorie à un fraudeur de cumuler les deux types d’attaque : usurper l’identité de la victime tout en ciblant directement son compte bancaire. C’est ce cumul, plus que le volume brut de fichiers, qui distingue la gravité de cette fuite d’autres incidents où seules des données de contact (email, téléphone) sont exposées.

🔗 Un feuilleton qui s’allonge : les fuites françaises de 2026

Le cas T2MC n’est pas un phénomène isolé. Depuis le début de l’année 2026, Liberta Press documente une série d’incidents touchant des organisations françaises très diverses par leur taille et leur secteur. En juillet, la fuite de l’ANTS (Agence nationale des titres sécurisés, chargée notamment des cartes grises et des passeports) avait exposé les données de 11,7 millions de Français, mises en vente par un pirate — notre enquête complète est à lire ici.

Quelques semaines plus tard, un sous-traitant d’EDF (Électricité de France) avait, lui, laissé fuiter des plans de centrales nucléaires françaises via une chaîne de sous-traitance mal sécurisée — un incident que nous avions détaillé. Et l’hébergeur français OVHcloud avait lui aussi été concerné par une fuite touchant potentiellement 1,6 million de clients et 59 millions de sites hébergés — notre article sur le sujet. Plus récemment encore, Liberta Press a documenté une troisième fuite de l’année touchant l’Éducation nationale, ainsi qu’un incident distinct impliquant l’association « Amis de la Police » dans le contexte des débats autour du projet européen Chat Control.

Ce qui frappe, en alignant ces dossiers, ce n’est pas seulement leur nombre mais leur diversité : agence publique, énergéticien stratégique, hébergeur technique, et désormais une PME de services aux entreprises. Le point commun n’est ni le secteur ni la taille, mais la chaîne de sous-traitance et la circulation de données sensibles entre organisations — un maillon faible récurrent que l’on retrouve d’un dossier à l’autre.

🧩 Pourquoi ces fuites via sous-traitants se multiplient

Plusieurs facteurs, documentés de manière récurrente d’un incident à l’autre par les observateurs du secteur, expliquent cette accumulation :

• La sous-traitance en cascade. Une entreprise comme T2MC, prestataire de services aux entreprises, gère pour le compte de ses clients (donneurs d’ordre) des données de son propre personnel — badges d’accès, justificatifs, contrats — sans disposer nécessairement des mêmes moyens de cybersécurité qu’un grand groupe. Un attaquant qui vise une cible difficile à atteindre directement (une administration, un grand compte) peut ainsi préférer s’en prendre à un sous-traitant moins protégé.
• L’hygiène de sécurité inégale. Gestion des mots de passe, cloisonnement des accès, chiffrement des documents sensibles : ces pratiques de base restent inégalement appliquées dans les PME et ETI (petites et moyennes entreprises, entreprises de taille intermédiaire), qui n’ont pas toujours de service informatique dédié à la sécurité.
• La valeur marchande des données. Un lot combinant identité, coordonnées bancaires et documents officiels a une valeur de revente significative sur les forums cybercriminels, car il permet de monter des dossiers de fraude complets plutôt que des attaques isolées.
• La médiatisation comme effet de levier. Publier une revendication sur un forum, avec des échantillons à l’appui, sert aussi de moyen de pression pour négocier une rançon ou vendre le lot au plus offrant — une logique observée dans plusieurs des dossiers cités plus haut.

🛡️ CNIL et bonnes pratiques : que faire si vous êtes concerné

La CNIL a publié des recommandations spécifiques pour les personnes dont l’IBAN ou les données d’identité auraient fuité à l’occasion d’un incident de sécurité. Parmi les réflexes recommandés :

• Contacter sans délai sa banque en cas de doute sur une exposition de RIB, pour surveiller ou bloquer les prélèvements non autorisés ;
• Consulter cybermalveillance.gouv.fr, la plateforme publique d’assistance aux victimes d’actes de cybermalveillance, pour connaître la marche à suivre ;
• Déposer plainte auprès d’un commissariat ou d’une brigade de gendarmerie en cas d’usurpation avérée ;
• Rester vigilant face aux emails et SMS reçus dans les semaines suivant la fuite, un hameçonnage ciblé (« spear phishing ») pouvant s’appuyer sur les données réellement dérobées pour paraître crédible.

Pour l’heure, aucune saisine officielle de la CNIL concernant spécifiquement le dossier T2MC n’a été identifiée, et l’entreprise n’a communiqué ni notification publique ni confirmation de l’incident. En droit français comme européen, une entreprise victime d’une fuite de données personnelles est en principe tenue de notifier la CNIL dans un délai de 72 heures lorsque le risque pour les personnes concernées est avéré — une obligation issue du RGPD (Règlement général sur la protection des données). Rien à ce stade ne permet de savoir si T2MC a engagé cette démarche.

✅ Ce qu’il faut retenir

Le dossier T2MC illustre, une fois de plus, une mécanique désormais familière : une entreprise de taille intermédiaire, sous-traitante de grands donneurs d’ordre publics et privés, se retrouve au cœur d’une fuite de données particulièrement sensibles pour ses propres salariés. Avec 82 000 fichiers et 26 Go de documents revendiqués — cartes d’identité, RIB, cartes Vitale, justificatifs de domicile —, la combinaison de données en jeu expose potentiellement les personnes concernées à un risque cumulé d’usurpation d’identité et de fraude bancaire, plus grave que la plupart des fuites limitées à des données de contact.

Ce dossier reste toutefois à ce stade fondé sur les seules affirmations de l’attaquant, relayées par deux sources de veille spécialisée, sans confirmation officielle de l’entreprise ni audit technique indépendant rendu public. Il s’inscrit dans une série d’incidents similaires touchant, en quelques mois, une agence publique, un énergéticien stratégique, un hébergeur technique et désormais une entreprise de services — un rythme qui interroge sur l’état réel de la cybersécurité chez les sous-traitants français.

Dans la chaîne de sous-traitance, ce n’est jamais le maillon le plus solide qui détermine la sécurité de vos données — c’est le plus faible.