Cyberattaque contre ICC : fuite de données juste avant la venue de Kathryn Krick

Des échan­tillons publiés sur le site de divul­ga­tion de Qilin montrent des cartes natio­nales d’identité fran­çaises, des pas­se­ports, des per­mis de conduire, des titres de séjour et des fichiers conte­nant des don­nées per­son­nelles. La nature de ces docu­ments laisse craindre une com­pro­mis­sion par­ti­cu­liè­re­ment sen­sible.

À ce stade, ni le volume total des don­nées exfil­trées ni le nombre exact de per­sonnes concer­nées ne sont confir­més publi­que­ment. Qilin fonc­tionne selon un modèle de ran­som­ware-as-a-ser­vice (RaaS) et uti­lise notam­ment la double extor­sion : les atta­quants exfiltrent d’abord les don­nées, puis menacent de les publier si une ran­çon n’est pas payée, paral­lè­le­ment ou non au chif­fre­ment des sys­tèmes.

RGPD et obligation de notification

La fuite sou­lève une ques­tion directe au regard du Règle­ment géné­ral sur la pro­tec­tion des don­nées (RGPD). Lorsqu’une vio­la­tion de don­nées per­son­nelles est sus­cep­tible de pré­sen­ter un risque pour les droits et liber­tés des per­sonnes concer­nées, elle doit en prin­cipe être noti­fiée à la CNIL dans les meilleurs délais et, si pos­sible, dans les 72 heures après sa décou­verte. En cas de risque éle­vé, les per­sonnes concer­nées doivent éga­le­ment être infor­mées.

Compte tenu de la pré­sence annon­cée de copies de pas­se­ports, cartes d’identité, per­mis et titres de séjour, la ques­tion de la noti­fi­ca­tion à la CNIL et de l’information des per­sonnes se pose immé­dia­te­ment. Avec ses men­tions légales basiques, aucune infor­ma­tion publique ne per­met à ce stade de confir­mer si ICC a effec­tué une telle noti­fi­ca­tion.

Pourquoi une église détient-elle des pièces d’identité ?

ICC dis­pose d’un réseau inter­na­tio­nal et orga­nise régu­liè­re­ment confé­rences, voyages, mis­sions, dépla­ce­ments de res­pon­sables et for­ma­li­tés admi­nis­tra­tives. La conser­va­tion tem­po­raire de copies de docu­ments d’identité peut donc avoir des rai­sons par­fai­te­ment légi­times : visas, voyages, héber­ge­ments, ins­crip­tions ou orga­ni­sa­tion d’événements.

La pré­sence, dans les échan­tillons publiés, de pas­se­ports et de titres de séjour de plu­sieurs natio­na­li­tés sou­lève néan­moins des ques­tions concrètes : pen­dant com­bien de temps ces docu­ments sont-ils conser­vés ? Pour quelles fina­li­tés exactes ? Dans quelles bases ? Qui peut y accé­der ? Com­bien de per­sonnes au sein de l’organisation dis­posent de droits d’accès ?

Ces ques­tions prennent d’autant plus de poids que le réseau ICC est aujourd’hui de dimen­sion consi­dé­rable. Le site d’Yvan Cas­ta­nou reven­dique plus de 50 000 per­sonnes ras­sem­blées chaque dimanche dans plus de 170 églises locales dans le monde. Ce chiffre doit être dis­tin­gué de celui des « membres » au sens admi­nis­tra­tif : il ne per­met pas, à lui seul, d’affirmer qu’ICC dis­pose d’un fichier de 50 000 membres.

Une infrastructure qui dépasse le simple lieu de culte

La cybe­rat­taque prend une dimen­sion par­ti­cu­lière lorsqu’on consi­dère l’organisation maté­rielle et évé­ne­men­tielle déve­lop­pée autour de la Cité Royale, éga­le­ment exploi­tée com­mer­cia­le­ment sous le nom de La Mega Place.

Le com­plexe de Crois­sy-Beau­bourg, inau­gu­ré en 2023, consti­tue à la fois le prin­ci­pal cam­pus fran­çais d’ICC et un impor­tant équi­pe­ment des­ti­né à accueillir des évé­ne­ments. Les sources publiques décrivent un audi­to­rium d’environ 3 780 places, dans un bâti­ment de plu­sieurs mil­liers de mètres car­rés. La Cité Royale est éga­le­ment uti­li­sée pour des confé­rences et mani­fes­ta­tions sous l’appellation La Mega Place.

La struc­ture juri­dique de ce pro­jet pha­rao­nique d’un coût glo­bal de 46 mil­lions d’eu­ros est arti­cu­lée autour de deux enti­tés (une SCI pro­prié­taire du site et une socié­té char­gée de l’exploitation évé­ne­men­tielle, toutes deux liées à Yvan Cas­ta­nou).

Autre­ment dit, il ne s’agit pas seule­ment d’une base de don­nées liée à une petite asso­cia­tion cultuelle. Si des sys­tèmes infor­ma­tiques com­muns regroupent effec­ti­ve­ment don­nées de membres, anciens membres, par­ti­ci­pants, res­pon­sables, par­te­naires ou per­sonnes ayant uti­li­sé les ser­vices évé­ne­men­tiels du com­plexe, l’étendue poten­tielle de la com­pro­mis­sion pour­rait être beau­coup plus large que les seuls docu­ments d’identité déjà publiés.

Des fichiers potentiellement beaucoup plus larges et le risque de cartographie

C’est pro­ba­ble­ment le point le plus sen­sible de l’affaire. Si les sys­tèmes com­pro­mis contiennent les fichiers admi­nis­tra­tifs de l’organisation, ils pour­raient poten­tiel­le­ment com­prendre des don­nées rela­tives aux membres actuels et anciens, aux res­pon­sables locaux, aux par­ti­ci­pants à des confé­rences, aux béné­voles, aux par­te­naires ou aux per­sonnes ayant par­ti­ci­pé à des évé­ne­ments.

Il n’est cepen­dant pas éta­bli publi­que­ment que toutes ces caté­go­ries de don­nées ont été exfil­trées. La ques­tion devient alors : Qilin a‑t-il seule­ment récu­pé­ré quelques dos­siers admi­nis­tra­tifs conte­nant des pièces d’identité, ou a‑t-il eu accès à des bases plus larges ?

Dans le second scé­na­rio, la fuite et le “fichage des chré­tiens” qui pour­rait en résul­ter, aurait un impact néga­tif consi­dé­rable sur le monde évan­gé­lique fran­çais. Depuis le pré­cé­dent créé par la mega­church La Porte Ouverte de Mul­house, les croyants sont par­ti­cu­liè­re­ment sen­sibles à cette ques­tion — d’au­tant que l’a­pôtre Cas­ta­nou, bon élève des injonc­tions gou­ver­ne­men­tales, avait appe­lé publi­que­ment ses fidèles à prendre l’in­jec­tion contro­ver­sée après sa pre­mière prise de posi­tion publique “covi­dos­cep­tique” du 8 mars 2020. Eta­blir des listes de chré­tiens, même à des fins de sui­vi épi­dé­mio­lo­gique est tou­jours ris­qué et les évan­gé­liques y sont aller­giques… Avec rai­son : une com­pro­mis­sion par les pirates infor­ma­tiques du groupe Qilin de bases regrou­pant plu­sieurs années d’inscriptions, de contacts et de par­ti­ci­pants pour­rait per­mettre de recons­ti­tuer une car­to­gra­phie très impor­tante du réseau humain d’ICC. Si un tel fichier tom­bait dans des mains mal inten­tion­nées, les dégâts pour­raient être énormes !

Les réseaux évangéliques autour d’ICC et la question des personnalités

ICC ne fonc­tionne pas iso­lé­ment. L’organisation est liée à dif­fé­rents réseaux et entre­tient des rela­tions avec de nom­breux res­pon­sables et minis­tères. Elle est notam­ment réfé­ren­cée par­mi les églises de la Com­mu­nau­té des Églises d’Expressions Afri­caines en France (CEAF) et s’inscrit dans le pay­sage pro­tes­tant fran­çais. L’inauguration de la Cité Royale avait d’ailleurs réuni plu­sieurs res­pon­sables évan­gé­liques et pro­tes­tants, dont le pré­sident de la Fédé­ra­tion pro­tes­tante de France.

Il est donc pos­sible que les sys­tèmes ou fichiers uti­li­sés par ICC contiennent éga­le­ment des infor­ma­tions concer­nant des pas­teurs, minis­tères par­te­naires, inter­ve­nants ou res­pon­sables d’organisations évan­gé­liques. Des noms tels que Mama­dou Karam­bi­ri, Moha­med Sano­go ou des orga­ni­sa­tions média­tiques chré­tiennes comme EMCI TV évo­luent dans le même envi­ron­ne­ment, mais aucun élé­ment public ne per­met actuel­le­ment d’affirmer que leurs don­nées per­son­nelles figurent dans les fichiers volés.

L’enjeu ne concerne donc pas uni­que­ment les membres ordi­naires. ICC accueille des visi­teurs, res­pon­sables reli­gieux, par­te­naires, artistes et per­son­na­li­tés. La Cité Royale est éga­le­ment uti­li­sée pour des ras­sem­ble­ments de grande ampleur. Si les bases com­pro­mises contiennent des listes d’inscription, fichiers de visi­teurs, invi­ta­tions, accré­di­ta­tions ou his­to­riques de par­ti­ci­pa­tion, leur publi­ca­tion pour­rait per­mettre de relier une iden­ti­té réelle à la fré­quen­ta­tion d’une orga­ni­sa­tion reli­gieuse ou à la par­ti­ci­pa­tion à un évé­ne­ment par­ti­cu­lier.

Cela pour­rait concer­ner des per­son­na­li­tés artis­tiques, média­tiques, éco­no­miques ou poli­tiques, en France comme à l’étranger, qui auraient assis­té ponc­tuel­le­ment à un culte, une confé­rence ou un évé­ne­ment sans sou­hai­ter que cette fré­quen­ta­tion soit ren­due publique. Une telle pré­sence ne prou­ve­rait évi­dem­ment pas une appar­te­nance à ICC ni une proxi­mi­té idéo­lo­gique. Mais elle pour­rait néan­moins deve­nir publique par la publi­ca­tion de fichiers internes.

Un précédent financier controversé

En 2021, un cam­brio­lage au domi­cile d’Yves Cas­ta­nou, cofon­da­teur d’ICC et pas­teur au Congo-Braz­za­ville, avait don­né lieu à une contro­verse impor­tante. Les pre­mières infor­ma­tions évo­quaient un butin de 900 mil­lions de francs CFA (envi­ron 1,37 mil­lion d’euros). Yves Cas­ta­nou avait d’abord contes­té ces chiffres avant de recon­naître le cam­brio­lage et de rame­ner le mon­tant à 250 mil­lions de FCFA (envi­ron 381 000 euros). Le pré­di­ca­teur s’é­tait cou­vert en affir­mant que les fonds en liquide étaient des­ti­nés un achat immo­bi­lier et qu’ils avaient été déro­bés par son chauf­feur, qui aurait fait main basse sur l’é­qui­valent 37 ans de salaire d’un chauf­feur de maître à Braz­za­ville.

Une ver­sion dif­fi­cile à ava­ler pour l’UNADFI (la redou­tée asso­cia­tion anti-sectes) qui rap­por­tait que ces décla­ra­tions suc­ces­sives et la pré­sence d’une somme impor­tante en liquide avaient entraî­né le départ de plu­sieurs dizaines de membres. Cette ancienne affaire ne per­met évi­dem­ment pas d’établir un lien avec la cybe­rat­taque de 2026 et aucune conclu­sion judi­ciaire sur une ori­gine frau­du­leuse de l’argent ne doit être tirée de ces seuls élé­ments. Elle consti­tue néan­moins un pré­cé­dent docu­men­té de contro­verse finan­cière autour de l’un des diri­geants his­to­riques d’ICC.

Kathryn Krick : une attaque à deux semaines d’un événement sensible

La chro­no­lo­gie ajoute une dimen­sion par­ti­cu­lière à l’affaire. Le groupe de cyber­cri­mi­nels Qilin reven­dique l’attaque début août 2026, soit envi­ron deux semaines avant la venue de Kathryn Krick à la Cité Royale, les locaux pro­prié­té de la SCI déte­nue par le mou­ve­ment ICC et Yvan Cas­ta­nou, son res­pon­sable.

La pré­di­ca­trice amé­ri­caine, elle-même au coeur d’une contro­verse actuel­le­ment, doit par­ti­ci­per à « Ignite Revi­val Paris » le 27 août 2026. Elle est connue pour son minis­tère de déli­vrance, ses prières de gué­ri­son et ses mani­fes­ta­tions publiques lar­ge­ment dif­fu­sées sur les réseaux sociaux. Elle dirige la Five-Fold Church (5F Church) et se pré­sente comme apôtre. Elle appelle publi­que­ment le Tan­za­nien Geor­Da­vie (Geor­Da­vie Moses Kasam­bale) son « père spi­ri­tuel ». Ce der­nier fait l’objet d’accu­sa­tions publiques d’abus sexuels et de pra­tiques contro­ver­sées, que Krick a défen­dues.

L’événement est annon­cé à La Mega Place / Cité Royale, 21 rue des Vieilles Vignes à Crois­sy-Beau­bourg. Il n’existe aucun élé­ment per­met­tant de relier Kathryn Krick à la cybe­rat­taque. La proxi­mi­té chro­no­lo­gique est néan­moins notable : si des fichiers d’inscriptions, de par­ti­ci­pants ou d’invités récents ont été com­pro­mis, la publi­ca­tion de nou­velles don­nées pour­rait inter­ve­nir au moment même où ICC accueille un évé­ne­ment inter­na­tio­nal.

Ce qui est établi / ce qui reste ouvert

Éta­bli :

• Qilin reven­dique l’attaque contre Impact Centre Chré­tien.
• Des échan­tillons publiés contiennent des pièces d’identité (CNI, pas­se­ports, per­mis et titres de séjour) ain­si que des fichiers de don­nées per­son­nelles.
• ICC dis­pose d’un réseau inter­na­tio­nal impor­tant et d’un com­plexe évé­ne­men­tiel majeur à Crois­sy-Beau­bourg.
• La Cité Royale / La Mega Place accueille régu­liè­re­ment des évé­ne­ments de grande ampleur.
• Kathryn Krick doit y inter­ve­nir le 27 août 2026.

À véri­fier :

• le volume total des don­nées exfil­trées ;
• le nombre de per­sonnes réel­le­ment concer­nées ;
• la nature exacte des bases com­pro­mises ;
• la pré­sence éven­tuelle de fichiers de membres, d’anciens membres, de par­ti­ci­pants ou de visi­teurs ;
• la pré­sence éven­tuelle de don­nées concer­nant des pas­teurs, par­te­naires ou per­son­na­li­tés exté­rieures ;
• la noti­fi­ca­tion éven­tuelle de la vio­la­tion à la CNIL ;
• l’existence ou non d’une négo­cia­tion de ran­çon.

Ce qui ne peut pas être affir­mé à ce stade :

• que 50 000 membres dis­posent d’un fichier com­pro­mis ;
• que des dizaines de mil­liers de chré­tiens sont effec­ti­ve­ment « fichés » par Qilin ;
• que des per­son­na­li­tés poli­tiques, artis­tiques ou média­tiques figurent dans les don­nées volées ;
• que les don­nées de minis­tères ou de réseaux par­te­naires ont été exfil­trées ;
• qu’ICC envi­sage ou a accep­té de payer une ran­çon.

Si les don­nées com­pro­mises vont effec­ti­ve­ment au-delà des pre­miers échan­tillons, l’affaire pour­rait dépas­ser très lar­ge­ment le cadre d’une simple cybe­rat­taque contre une église. Elle pour­rait deve­nir une fuite majeure concer­nant une par­tie du réseau évan­gé­lique inter­na­tio­nal gra­vi­tant autour d’ICC : membres, anciens membres, res­pon­sables, visi­teurs, par­te­naires et par­ti­ci­pants à des évé­ne­ments.

Pour l’instant, la seule cer­ti­tude est déjà suf­fi­sam­ment pré­oc­cu­pante : des docu­ments d’identité sont publi­que­ment mon­trés par les cyber­cri­mi­nels, et l’étendue réelle de la com­pro­mis­sion reste incon­nue.

Gageons que le Saint-Esprit de Dieu, qui fait le ménage dans les églises et les minis­tères actuel­le­ment, sau­ra mettre en lumière ce qui doit l’être et pro­té­ger le reste…