HexDex démasqué : comment la BL2C a fait tomber le hacker qui voulait monétiser la France

Il signait ses coups d’un pseudonyme choisi avec soin. « Hex pour l’hexadécimal, le langage brut des machines que l’humain peut lire » ^[1], « Dex, c’est l’idée d’un index, d’un explorateur qui fouille dans les entrailles des entreprises » ^[2]. HexDex ^[3] se rêvait en cartographe clandestin de la France numérique. L’Office français de lutte contre la cybercriminalité ^[4] l’a ramené à une catégorie plus terre-à-terre: un suspect dans le viseur de la justice.

LES ENJEUX

Une cybercriminalité qui change d'échelle

Entre les 100 milliards d'euros évoqués par le parquet (tous risques cyber) et les 129 milliards de dollars de Statista (cyberattaques 2024), la fuite n'est plus l'exception mais la norme.

Un arsenal pénal lourd, articulé autour du Code pénal

Les articles 323-1 à 323-3 (intrusion, atteinte aux données), 321-1 (recel) et 223-1-1 (mise en danger des policiers) prévoient jusqu'à 5 ans de prison, mais la section J3 ne compte que six magistrats pour 2 437 dossiers.

La question du modèle économique

HexDex revendiquait un objectif unique: gagner de l'argent, via la revente de bases au détail à un écosystème de revendeurs.

La piste néerlandaise Hack_Right

Le projet 'Pirate, balance ton POV' s'inspire du dispositif néerlandais Hack_Right, qui propose aux jeunes pirates un parcours de réinsertion plutôt qu'une condamnation. Sa transposition en France se heurte à l'article 223-1-1 du Code pénal.

Le timing médiatique des interpellations

Mise en examen le 19 mars, feuille de route ANSSI le 9 avril, confirmation DGPN le 15 avril: le calendrier judiciaire court à son rythme, mais la publicité qu'on lui donne épouse celui du politique.

Deux jeunes, âgés de 20 et 17 ans ^[5][6], ont été mis en examen le 19 mars 2026 à Paris ^[7], soupçonnés d’avoir visé l’Office français de l’immigration et de l’intégration ^[8] le 1er janvier 2026 ^[9]. L’enquête a permis de remonter les connexions informatiques jusqu’aux deux suspects ^[10], dont les téléphones et le matériel ont été saisis ^[11]. Onze jours plus tard, le 30 mars 2026 ^[12], le parquet de Paris saisissait la BL2C sur un autre volet: l’intrusion dans la plateforme e-campus de la police nationale.

Un business model assumé, pas un manifeste

HexDex n’a jamais joué les Robin des Bois numériques. « Tout ce que je fais sous la bannière HexDex a un objectif clair: gagner de l’argent » ^[14], répétait-il à Zataz. Pas d’idéologie: « Je n’ai aucune affiliation politique » ^[15]. Une autoperception sèche: « quelqu’un qui gagne de l’argent illégalement et qui ressent une montée d’adrénaline à chaque intrusion » ^[16]. Et un modèle économique décrit sans fard: « J’analyse, indexe et vends les données au détail à des gens qui, à leur tour, les revendent à leurs clients. C’est tout un écosystème » ^[17].

Interrogé sur ses limites éthiques, il tranchait: « Aucune. Pour gagner de l’argent, je n’ai pas de limite » ^[18]. Quant aux victimes, il renvoyait la responsabilité: « les premiers responsables sont ceux qui ont laissé ces données exposées » ^[19].

Ce que la police lui reproche concrètement

Les 17 et 18 mars 2026 ^[20], un acteur malveillant a consulté les données d’identification de policiers actifs via la plateforme e-campus. L’information est sortie le 15 avril ^[21], confirmée par la Direction générale de la police nationale ^[22]. HexDex a été décrit comme « l’un des principaux hackers à l’origine des fuites de données françaises » ^[3]. Le groupe Hexdex ^[23] a également été identifié comme revendeur des données issues de la cyberattaque du ministère de l’Éducation nationale, qui a compromis les données personnelles de 243 000 agents ^[24] le 15 mars ^[25].

Deux affaires, une signature, une chronologie à débrouiller

À ce stade, une ambiguïté traverse le dossier et mérite d’être posée sans détour. Les deux jeunes mis en examen le 19 mars 2026 ^[7] l’ont été pour l’attaque du 1er janvier contre l’OFII ^[9][8], et non, à la lecture des sources disponibles, pour l’intrusion e-campus des 17 et 18 mars ^[20]. La saisine de la BL2C sur le volet e-campus n’intervient que onze jours après leur mise en examen, le 30 mars ^[12]. Autrement dit, deux procédures parallèles se chevauchent: l’une déjà judiciarisée, visant des individus identifiés; l’autre encore au stade de l’enquête préliminaire, qui attribue au pseudonyme HexDex ^[3] la consultation des fichiers de policiers. Rien, dans les communications officielles à ce jour, n’établit formellement que les deux mis en examen de l’OFII sont les personnes physiques derrière la signature HexDex.

Le cadre légal qui l’attend

L’accès ou le maintien frauduleux dans un système de traitement automatisé de données, réprimé par l’article 323-1 du Code pénal, est passible de 2 ans d’emprisonnement et 60 000 euros d’amende ^[26]. Si des données sont modifiées, supprimées ou frauduleusement extraites - infractions couvertes par les articles 323-2 et 323-3 du Code pénal - la peine monte à 5 ans de prison et 150 000 euros d’amende ^[27]. Si les faits sont requalifiés en recel de données issues d’un piratage, l’article 321-1 du Code pénal prévoit jusqu’à 5 ans d’emprisonnement et 375 000 euros d’amende ^[28], et l’article 313-1 ouvre le même quantum pour l’escroquerie.

La mise en danger des forces de l’ordre relève, elle, de l’article 223-1-1 du Code pénal: la diffusion d’informations personnelles exposant des policiers à un risque direct est passible de 3 ans d’emprisonnement et 45 000 euros d’amende ^[29], peine portée à 5 ans lorsqu’elle vise un agent dépositaire de l’autorité publique. Un arrêt de la Cour de cassation du 11 février 2025 ^[30] a confirmé la recevabilité de la constitution de partie civile des policiers concernés.

Pour mesurer ce que ces peines deviennent à l’audience, un précédent étranger s’impose. On se souvient du collectif Lapsus$, démantelé au Royaume-Uni en 2022: deux adolescents britanniques, dont un mineur de 17 ans au moment des faits - le même âge que le plus jeune suspect de l’OFII - ont été jugés en 2023 pour des intrusions visant Nvidia, Microsoft ou Uber. Le majeur a été condamné à une détention de longue durée dans un hôpital psychiatrique sécurisé, le mineur à une mesure de réhabilitation non-incarcératoire de dix-huit mois. Côté français, les procédures antérieures pour accès frauduleux à des fichiers de police se sont généralement soldées par des peines d’emprisonnement partiellement assorties de sursis, loin des maxima théoriques.

La BL2C et J3, les deux étages de la traque

À la manœuvre côté enquête: la Brigade de lutte contre la cybercriminalité (BL2C) ^[31] de la préfecture de police de Paris. Côté parquet, la section J3 ^[32], dirigée par Johanna Brousse ^[33], vice-procureure de 40 ans ^[34] installée au 25e étage du tribunal de Paris ^[35]. Une équipe réduite de six magistrats, trois assistants spécialisés et quatre greffiers ^[36] pour une compétence nationale qui totalisait 2 437 affaires en cours en octobre ^[37]. « En 2017, quand j’ai intégré le parquet cyber, on n’était que deux » ^[38], rappelle-t-elle aux Echos.

Quant au coût réel de ce contentieux, deux chiffres circulent et méritent d’être distingués. La vice-procureure évoque une enveloppe d’environ 100 milliards d’euros ^[39] au niveau français, estimation institutionnelle tous risques cyber confondus - fraudes, rançongiciels, pertes d’exploitation, remédiation. Statista avance, lui, plus de 129 milliards de dollars pour la seule année 2024 ^[40], projection sectorielle limitée aux cyberattaques et libellée en devise américaine. Les deux ne se contredisent pas: ils ne mesurent ni le même périmètre, ni la même grandeur, ni la même monnaie.

Le timing des annonces: coïncidence ou séquence construite?

Une chronologie précise s’impose avant de conclure trop vite à une orchestration. Le 19 mars 2026, les deux suspects de l’OFII sont mis en examen ^[7]. Le 9 avril, l’ANSSI publie sa feuille de route 2026-2027 de sécurité numérique de l’État ^[41]. Le 15 avril, la DGPN confirme publiquement l’intrusion dans e-campus ^[21]. La mise en examen précède donc, de trois semaines, la feuille de route ANSSI: la thèse d’une interpellation calée sur l’annonce institutionnelle ne tient pas au sens strict.

Mais la publicité donnée à l’affaire, elle, suit. Or la BL2C avait déjà interpellé, un lundi, quatre hackers français ^[42][43] - cinq selon le titre du Parisien qui couvrait l’opération, divergence interne à la source qui n’a pas été tranchée publiquement - administrateurs de Breach Forums ^[44], sous les alias ShinyHunters ^[45], Hollow ^[46], Noct ^[47] et Depressed ^[48], dans les Hauts-de-Seine ^[49], la Seine-Maritime ^[50] et à la Réunion ^[51]. La récurrence de ce couplage entre annonces de l’exécutif et opérations judiciaires rendues publiques tient moins d’un complot que d’une mécanique connue des services de communication ministériels: une vague d’interpellations fournit la démonstration d’efficacité qu’une feuille de route, seule, ne peut pas produire. Le calendrier judiciaire court à son rythme propre; le calendrier de sa mise en récit, lui, épouse celui du politique.

La piste néerlandaise: comment fonctionne vraiment l’amnistie pour pirates

Toutes les voix ne soutiennent pas la réponse pénale frontale. Le média ZATAZ ^[52] a lancé le projet « Pirate, balance ton POV » ^[53], qui invite les pirates à se rendre avant l’interpellation, sur le modèle d’un dispositif existant aux Pays-Bas ^[54]. Un pari: transformer l’adrénaline revendiquée par HexDex ^[16] en bifurcation vers la cybersécurité défensive.

Le modèle néerlandais auquel il se réfère, selon plusieurs sources, propose aux jeunes interpellés pour des infractions informatiques de premier niveau une bifurcation vers la cybersécurité défensive plutôt que la seule voie pénale. Les modalités précises de ce dispositif ne sont pas détaillées dans les sources disponibles.

La transposition française se heurte à plusieurs obstacles juridiques. La composition pénale prévue par l’article 41-2 du Code de procédure pénale existe bien, mais elle reste peu utilisée pour les infractions cyber, où le parquet privilégie la voie classique. Surtout, l’article 223-1-1 du Code pénal sur la mise en danger des forces de l’ordre et les peines planchers attachées au recel organisé rendent politiquement délicate toute mesure alternative dès lors que l’affaire met en jeu des données de policiers ou de magistrats. À ce stade, aucune disposition légale française ne reprend formellement ce schéma.

Le contexte qui change l’échelle

HexDex tombe au cœur d’une série noire. 11 à 15 millions de Français touchés par la fuite Cegedim ^[55]. 1,5 million de collégiens et lycéens de l’UNSS ^[56]. 774 000 étudiants du Crous ^[57]. 450 000 personnes concernées par l’exfiltration au ministère des sports ^[58]. Plus d’1,2 million de comptes français exposés via le fichier Ficoba ^[59]. Clément Domingo, alias SAXX, hackeur éthique, a présenté un fichier cumulant 60 millions de données ^[60]: « les données de huit Français sur dix circulent déjà dans cet écosystème » ^[61]. L’usurpation de numéros de téléphone a, elle, bondi de 517 % sur un an ^[13].

Ce que les sources ne disent pas

Plusieurs zones d’ombre demeurent. L’identité civile d’HexDex n’a pas été rendue publique. Le lien formel entre l’interpellation des deux jeunes mis en examen le 19 mars 2026 ^[7] pour l’attaque de l’OFII et la signature HexDex ^[3] dans l’affaire e-campus n’est pas établi dans les communications officielles. Le montant des revenus générés par la revente de données attribuée à HexDex reste inconnu. Et l’on ignore si la saisie des téléphones et du matériel ^[11] a permis de remonter aux acheteurs finaux de l’ qu’il décrivait ^[17].