Des personnes qui ont écrit au portail Les Curistes pour préparer une cure thermale pourraient voir leurs coordonnées et le texte de leur demande exposés, parfois avec des indications sur leur santé. Selon la revendication publiée le 5 septembre 2026, environ 83 000 personnes distinctes seraient concernées.
Des messages envoyés au portail Les Curistes
Consacré au thermalisme, Les Curistes référence les stations thermales et met en relation curistes et loueurs de logements de vacances. Le site est édité par la société Bromaker. Le dépôt, diffusé gratuitement sur un forum cybercriminel et relayé sur neuf hébergeurs de fichiers, est présenté comme l'export des messages adressés au portail.
Il est annoncé à 328 649 lignes pour environ 86 000 personnes. Le dépôt porterait sur environ 83 000 personnes distinctes, un peu en dessous du chiffre annoncé. Chaque message associerait le nom, l'adresse électronique, le téléphone et l'adresse IP de l'expéditeur au texte libre de sa demande. Les échanges s'échelonneraient sur une dizaine d'années et s'arrêteraient au 1er septembre 2024, sans les messages plus récents.
Des données de santé glissées dans les demandes
Ces demandes portant sur des séjours en cure, une petite part d'entre elles évoquerait une pathologie, un traitement ou une situation de handicap. Ces informations relèvent des données de santé au sens du règlement européen, une catégorie que ce texte protège de façon renforcée.
Un texte libre rédigé par la personne elle-même peut être très personnel, puisqu'il explique souvent le motif de la démarche. Associé au nom et au téléphone, il pourrait servir à des messages frauduleux se présentant comme une station thermale ou un loueur et citant la demande réelle. Même anciennes de plusieurs années, des informations sur la santé ne perdent pas leur caractère intime. Bromaker n'a pas confirmé le piratage présumé du portail Les Curistes à ce stade.
Détails techniques :
- 328 649 lignes annoncées, environ 95 Mo au format JSON
- Environ 86 000 personnes annoncées, autour de 83 000 personnes distinctes après retrait des doublons
- Messages étalés sur une dizaine d'années, jusqu'au 1er septembre 2024
- Une petite part des demandes évoquant une pathologie, un traitement ou un handicap
- Diffusion gratuite sur neuf hébergeurs de fichiers
Données concernées :
- Nom complet
- Adresse email
- Numéro de téléphone
- Adresse IP
- Contenu des messages adressés au portail
- Données de santé (pathologie, traitement ou handicap évoqués dans certaines demandes)
- Identifiant interne
Mentions :
Statut Fuites Infos : Revendiquée