HexDex arrêté en Vendée : le hacker de 21 ans qui a piraté l’État et les fédérations sportives pour de l’argent

L’arrestation: un coup de filet en Vendée

Le 20 avril 2026 ^[3], la Brigade de lutte contre la cybercriminalité (BL2C) ^[4] et l’Office français de lutte contre la cybercriminalité (OFAC) ^[5] ont interpellé un jeune homme de 21 ans ^[6] à Aizenay, en Vendée ^[7]. Le suspect, né en août 2004 ^[8], a reconnu utiliser le pseudonyme HexDex ^[9], sous lequel il opérait depuis le 19 décembre 2025 ^[2]. Au moment de son arrestation, il s’apprêtait à publier de nouvelles données volées ^[10], selon le parquet de Paris ^[11].

LES ENJEUX

Menace cybercriminelle solitaire

HexDex, 21 ans [6], opérait seul depuis la Vendée [7]. Son arrestation révèle une cybercriminalité accessible aux jeunes, sans besoin de réseaux organisés [60].

Vulnérabilités des systèmes publics

Le SIA [16], la base Compas [17] et l'ANCT [20] ont été piratés. Ces failles exposent des données sensibles de centaines de milliers de personnes [18].

Monétisation des données volées

HexDex revendait ses prises sur BreachForums et Darkforum [14]. Ses motivations étaient purement financières, sans limite éthique [36].

Cadre légal strict mais peu dissuasif

Les atteintes aux STAD sont punies jusqu'à 7 ans de prison [55]. Mais les condamnations effectives dépassent rarement quelques années, ce qui entretient un calcul coût-bénéfice favorable aux jeunes hackers.

Absence de voix contradictoire

Aucune institution piratée n'a publiquement commenté les attaques ni confirmé une notification CNIL. Ce silence laisse le récit aux seules mains du parquet et du mis en cause.

Son matériel informatique et ses comptes sur les forums BreachForums ^[12] et Darkforum ^[13] ont été saisis. Ces plateformes, spécialisées dans la revente de données volées ^[14], servaient de vitrine à HexDex pour monétiser ses prises ^[15]. Une quarantaine de revendications de piratages y étaient répertoriées ^[1].

Les cibles: des institutions sensibles et des fédérations sportives

HexDex a ciblé des systèmes critiques, exposant des données sensibles. Parmi ses victimes:

• Le Système d’information sur les armes (SIA) ^[16], qui répertorie les détenteurs légaux d’armes en France. Une fuite particulièrement dangereuse, compte tenu des risques de harcèlement ou de chantage.
• La base Compas ^[17], logiciel RH du ministère de l’Éducation nationale, qui a exposé les données de 243 000 agents ^[18], principalement des enseignants. La cyberattaque, révélée mi-mars 2026 ^[19], avait provoqué un tollé.
• L’Agence nationale de la cohésion des territoires (ANCT) ^[20], des syndicats comme la CFDT et FO ^[21], ainsi que des chaînes d’hôtels comme Logis Hôtels France et Brit Hotel ^[22].
• Plus d’une dizaine de fédérations sportives ^[23], dont celles de voile ^[24], d’athlétisme ^[25], de tir ^[26], de gymnastique ^[27], de ski ^[28] et de rugby à XIII ^[29].

Le parquet de Paris a précisé que HexDex n’était pas responsable de la fuite de l’ANTS ^[30], survenue le 15 avril 2026 ^[31] et ayant exposé 19 millions de Français ^[32]. Cette attaque, revendiquée par un acteur distinct nommé breach3d ^[33], souligne que la menace cybercriminelle en France dépasse largement le cas HexDex.

Le mobile: l’argent, sans aucune limite éthique

Dans une interview accordée à Zataz avant son arrestation ^[34], HexDex a assumé des motivations purement financières. « Tout ce que je fais sous la bannière HexDex a un objectif clair: gagner de l’argent ^[34] », déclarait-il. Pour lui, les données ne sont pas un savoir, mais une monnaie: « Elle s’échange, se conserve, se revend ^[35]. »

Interrogé sur ses limites éthiques, il répondait sans ambiguïté: « Aucune. Pour gagner de l’argent, je n’ai pas de limite ^[36]. » Il ne publiait une base de données que si elle contenait suffisamment d’informations exploitables ^[37], et toutes les données avaient de la valeur à ses yeux, « qu’elles soient sensibles ou moralement discutables ^[38] ».

Cartographe ou mercenaire: une contradiction non résolue

HexDex se contredit. D’un côté, il se présente comme un « cartographe clandestin de la France numérique ^[39] », une posture qui suggère une mission, presque une utilité publique - dévoiler les failles que l’État refuse de voir. De l’autre, il nie frontalement toute motivation qui ne soit pas vénale: « Aucune limite ^[36] », « l’appât du gain ^[40] », « mon objectif final reste toujours le même: gagner de l’argent ^[15] ».

Cette tension - entre la rhétorique du lanceur d’alerte et l’aveu du mercenaire - n’est jamais résolue dans ses déclarations. Elle rappelle celle du groupe Lapsus$, démantelé en 2022, dont plusieurs membres britanniques et brésiliens, tous âgés de moins de 20 ans, avaient piraté Microsoft, Nvidia et Samsung en se présentant tantôt comme des hackers éthiques, tantôt comme des revendeurs cyniques. Le profil d’HexDex - jeune, solitaire, opérant depuis une maison de province - s’inscrit dans cette lignée d’une cybercriminalité de proximité, motivée par l’argent plus que par l’idéologie.

Le cadre juridique: des peines lourdes, mais rarement prononcées en totalité

HexDex est poursuivi pour atteintes à un système de traitement automatisé de données (STAD) ^[41], en vertu des articles 323-1 et suivants du Code pénal ^[42], dits « loi Godfrain » ^[43]. Ces infractions sont passibles de peines lourdes:

• 3 ans d’emprisonnement et 100 000 € d’amende ^[44] pour accès ou maintien frauduleux dans un STAD.
• 5 ans d’emprisonnement et 150 000 € d’amende ^[45] en cas de suppression ou modification de données.
• 7 ans d’emprisonnement et 300 000 € d’amende ^[46] lorsque l’infraction vise un STAD de l’État ou des données à caractère personnel, ce qui est le cas pour plusieurs des cibles de HexDex (SIA, Compas, ANCT).

Des peines complémentaires sont également possibles, comme l’interdiction des droits civiques pour une durée maximale de 5 ans ^[47]. La vice-procureur Johanna Brouse ^[48], cheffe de la section de lutte contre la cybercriminalité, a résumé la position du parquet: « Zéro impunité ^[49] ».

Des peines théoriques face à une faible dissuasion

Reste une question que l’affaire HexDex pose avec acuité: pourquoi ces peines, sur le papier sévères, n’ont-elles pas dissuadé un jeune homme de 21 ans de pirater une centaine d’institutions en quelques mois? Les précédents cités par le parquet lui-même fournissent un début de réponse. En décembre 2025 ^[50], un homme de 22 ans ^[51] a été mis en examen pour intrusion dans les serveurs du ministère de l’Intérieur. En janvier 2026 ^[52], deux pirates de 17 et 20 ans ^[53][54] ont été mis en examen pour des attaques contre des académies. Ces affaires, toutes récentes, n’ont pas encore donné lieu à des condamnations définitives.

On se souvient qu’en pratique, selon plusieurs sources, les condamnations pour atteintes à un STAD dépassent rarement 2 à 3 ans d’emprisonnement ferme pour des primo-délinquants, et s’accompagnent souvent d’un sursis total ou partiel. Le maximum théorique encouru ^[55] n’est, selon plusieurs sources, que rarement prononcé contre un hacker isolé. Cet écart entre la peine encourue et la peine effective explique en partie pourquoi le calcul coût-bénéfice reste favorable pour des jeunes comme HexDex: quelques années d’activité lucrative, suivies d’une peine qui reste loin du maximum.

Les institutions muettes: un silence qui interroge

Une absence frappe à la lecture de l’affaire: aucune des institutions piratées - ministère de l’Intérieur, ministère de l’Éducation nationale, ANCT, fédérations sportives, syndicats - n’a publiquement commenté les attaques attribuées à HexDex, ni détaillé les mesures correctives prises depuis. Les victimes les plus sensibles, comme le SIA (fichier des détenteurs d’armes) et la base Compas (243 000 agents), n’ont pas communiqué sur un éventuel audit de sécurité post-intrusion.

Ce silence est lui-même un angle mort. L’article 33 du RGPD impose pourtant aux responsables de traitement de notifier à la CNIL toute violation de données à caractère personnel dans un délai de 72 heures après en avoir pris connaissance. Aucune des sources consultées ne précise si le ministère de l’Intérieur a effectué cette notification à la suite de la fuite du SIA, ni si les 243 000 agents concernés par la fuite Compas ont été individuellement informés, comme le prévoit l’article 34 du même règlement lorsque la violation est susceptible d’engendrer un risque élevé.

Cette absence de voix contradictoire - ni démenti, ni explication, ni plan de remédiation public - laisse le récit entièrement aux mains de l’accusation (le parquet) et du mis en cause (HexDex lui-même, via ses interviews). Les victimes institutionnelles, pourtant les mieux placées pour objectiver l’ampleur réelle des failles, restent muettes.

L’angle mort: la vulnérabilité des systèmes publics

Au-delà du silence institutionnel, l’affaire révèle des vulnérabilités critiques dans des systèmes censés protéger des données sensibles. Le piratage de la base Compas ^[17], qui a exposé 243 000 agents de l’Éducation nationale ^[18], soulève des questions sur la sécurisation des logiciels RH utilisés par l’État. La fuite du SIA ^[16], qui répertorie les détenteurs d’armes, montre que des données hautement sensibles sont accessibles à des pirates motivés.

HexDex lui-même renvoie la responsabilité aux institutions: les vrais coupables, selon lui, sont ceux qui ont « laissé ces données exposées ^[56] ». Une accusation cynique mais qui, faute de réponse publique des ministères concernés, reste sans contradicteur.

Une menace cybercriminelle plus large

L’arrestation de HexDex ne marque pas la fin des cybermenaces en France. La fuite de l’ANTS ^[30], survenue le 15 avril 2026 ^[31] et ayant exposé 19 millions de Français ^[32], est attribuée à un autre acteur, breach3d ^[33]. Ce dernier est toujours en fuite, tout comme d’autres pirates opérant sur les mêmes forums que HexDex.

Pour Rebecca Taylor ^[57], chercheuse à la Counter Threat Unit de Sophos ^[58], l’arrestation de HexDex s’inscrit dans une tendance plus large de montée en puissance des forums de revente de données volées. Des experts en cybersécurité soulignent depuis plusieurs années que tant que des plateformes comme BreachForums et Darkforum ^[14] continueront de servir de marché aux données exfiltrées, la menace persistera, quelles que soient les arrestations individuelles.

Ce que ça change pour vous

► Lire aussi: Piratage de l'ANTS: 11,7 millions de comptes exposés par une faille d'école

► Lire aussi: Baptiste Robert: le hacker qui alertait depuis 2017 sur les failles du ministère de l'Intérieur