Cyberattaque contre ICC : fuite de données juste avant la venue de Kathryn Krick

Des échantillons publiés sur le site de divulgation de Qilin montrent des cartes nationales d’identité françaises, des passeports, des permis de conduire, des titres de séjour et des fichiers contenant des données personnelles. La nature de ces documents laisse craindre une compromission particulièrement sensible.

À ce stade, ni le volume total des données exfiltrées ni le nombre exact de personnes concernées ne sont confirmés publiquement. Qilin fonctionne selon un modèle de ransomware-as-a-service (RaaS) et utilise notamment la double extorsion : les attaquants exfiltrent d’abord les données, puis menacent de les publier si une rançon n’est pas payée, parallèlement ou non au chiffrement des systèmes.

RGPD et obligation de notification

La fuite soulève une question directe au regard du Règlement général sur la protection des données (RGPD). Lorsqu’une violation de données personnelles est susceptible de présenter un risque pour les droits et libertés des personnes concernées, elle doit en principe être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après sa découverte. En cas de risque élevé, les personnes concernées doivent également être informées.

Compte tenu de la présence annoncée de copies de passeports, cartes d’identité, permis et titres de séjour, la question de la notification à la CNIL et de l’information des personnes se pose immédiatement. Avec ses mentions légales basiques, aucune information publique ne permet à ce stade de confirmer si ICC a effectué une telle notification.

Pourquoi une église détient-elle des pièces d’identité ?

ICC dispose d’un réseau international et organise régulièrement conférences, voyages, missions, déplacements de responsables et formalités administratives. La conservation temporaire de copies de documents d’identité peut donc avoir des raisons parfaitement légitimes : visas, voyages, hébergements, inscriptions ou organisation d’événements.

La présence, dans les échantillons publiés, de passeports et de titres de séjour de plusieurs nationalités soulève néanmoins des questions concrètes : pendant combien de temps ces documents sont-ils conservés ? Pour quelles finalités exactes ? Dans quelles bases ? Qui peut y accéder ? Combien de personnes au sein de l’organisation disposent de droits d’accès ?

Ces questions prennent d’autant plus de poids que le réseau ICC est aujourd’hui de dimension considérable. Le site d’Yvan Castanou revendique plus de 50 000 personnes rassemblées chaque dimanche dans plus de 170 églises locales dans le monde. Ce chiffre doit être distingué de celui des « membres » au sens administratif : il ne permet pas, à lui seul, d’affirmer qu’ICC dispose d’un fichier de 50 000 membres.

Une infrastructure qui dépasse le simple lieu de culte

La cyberattaque prend une dimension particulière lorsqu’on considère l’organisation matérielle et événementielle développée autour de la Cité Royale, également exploitée commercialement sous le nom de La Mega Place.

Le complexe de Croissy-Beaubourg, inauguré en 2023, constitue à la fois le principal campus français d’ICC et un important équipement destiné à accueillir des événements. Les sources publiques décrivent un auditorium d’environ 3 780 places, dans un bâtiment de plusieurs milliers de mètres carrés. La Cité Royale est également utilisée pour des conférences et manifestations sous l’appellation La Mega Place.

La structure juridique de ce projet pharaonique d’un coût global de 46 millions d’euros est articulée autour de deux entités (une SCI propriétaire du site et une société chargée de l’exploitation événementielle, toutes deux liées à Yvan Castanou).

Autrement dit, il ne s’agit pas seulement d’une base de données liée à une petite association cultuelle. Si des systèmes informatiques communs regroupent effectivement données de membres, anciens membres, participants, responsables, partenaires ou personnes ayant utilisé les services événementiels du complexe, l’étendue potentielle de la compromission pourrait être beaucoup plus large que les seuls documents d’identité déjà publiés.

Des fichiers potentiellement beaucoup plus larges et le risque de cartographie

C’est probablement le point le plus sensible de l’affaire. Si les systèmes compromis contiennent les fichiers administratifs de l’organisation, ils pourraient potentiellement comprendre des données relatives aux membres actuels et anciens, aux responsables locaux, aux participants à des conférences, aux bénévoles, aux partenaires ou aux personnes ayant participé à des événements.

Il n’est cependant pas établi publiquement que toutes ces catégories de données ont été exfiltrées. La question devient alors : Qilin a-t-il seulement récupéré quelques dossiers administratifs contenant des pièces d’identité, ou a-t-il eu accès à des bases plus larges ?

Dans le second scénario, la fuite et le « fichage des chrétiens » qui pourrait en résulter, aurait un impact négatif considérable sur le monde évangélique français. Depuis le précédent créé par la megachurch La Porte Ouverte de Mulhouse, les croyants sont particulièrement sensibles à cette question – d’autant que l’apôtre Castanou, bon élève des injonctions gouvernementales, avait appelé publiquement ses fidèles à prendre l’injection controversée après sa première prise de position publique « covidosceptique » du 8 mars 2020. Etablir des listes de chrétiens, même à des fins de suivi épidémiologique est toujours risqué et les évangéliques y sont allergiques… Avec raison : une compromission par les pirates informatiques du groupe Qilin de bases regroupant plusieurs années d’inscriptions, de contacts et de participants pourrait permettre de reconstituer une cartographie très importante du réseau humain d’ICC. Si un tel fichier tombait dans des mains mal intentionnées, les dégâts pourraient être énormes !

Les réseaux évangéliques autour d’ICC et la question des personnalités

ICC ne fonctionne pas isolément. L’organisation est liée à différents réseaux et entretient des relations avec de nombreux responsables et ministères. Elle est notamment référencée parmi les églises de la Communauté des Églises d’Expressions Africaines en France (CEAF) et s’inscrit dans le paysage protestant français. L’inauguration de la Cité Royale avait d’ailleurs réuni plusieurs responsables évangéliques et protestants, dont le président de la Fédération protestante de France.

Il est donc possible que les systèmes ou fichiers utilisés par ICC contiennent également des informations concernant des pasteurs, ministères partenaires, intervenants ou responsables d’organisations évangéliques. Des noms tels que Mamadou Karambiri, Mohamed Sanogo ou des organisations médiatiques chrétiennes comme EMCI TV évoluent dans le même environnement, mais aucun élément public ne permet actuellement d’affirmer que leurs données personnelles figurent dans les fichiers volés.

L’enjeu ne concerne donc pas uniquement les membres ordinaires. ICC accueille des visiteurs, responsables religieux, partenaires, artistes et personnalités. La Cité Royale est également utilisée pour des rassemblements de grande ampleur. Si les bases compromises contiennent des listes d’inscription, fichiers de visiteurs, invitations, accréditations ou historiques de participation, leur publication pourrait permettre de relier une identité réelle à la fréquentation d’une organisation religieuse ou à la participation à un événement particulier.

Cela pourrait concerner des personnalités artistiques, médiatiques, économiques ou politiques, en France comme à l’étranger, qui auraient assisté ponctuellement à un culte, une conférence ou un événement sans souhaiter que cette fréquentation soit rendue publique. Une telle présence ne prouverait évidemment pas une appartenance à ICC ni une proximité idéologique. Mais elle pourrait néanmoins devenir publique par la publication de fichiers internes.

Un précédent financier controversé

En 2021, un cambriolage au domicile d’Yves Castanou, cofondateur d’ICC et pasteur au Congo-Brazzaville, avait donné lieu à une controverse importante. Les premières informations évoquaient un butin de 900 millions de francs CFA (environ 1,37 million d’euros). Yves Castanou avait d’abord contesté ces chiffres avant de reconnaître le cambriolage et de ramener le montant à 250 millions de FCFA (environ 381 000 euros). Le prédicateur s’était couvert en affirmant que les fonds en liquide étaient destinés un achat immobilier et qu’ils avaient été dérobés par son chauffeur, qui aurait fait main basse sur l’équivalent 37 ans de salaire d’un chauffeur de maître à Brazzaville.

Une version difficile à avaler pour l’UNADFI (la redoutée association anti-sectes) qui rapportait que ces déclarations successives et la présence d’une somme importante en liquide avaient entraîné le départ de plusieurs dizaines de membres. Cette ancienne affaire ne permet évidemment pas d’établir un lien avec la cyberattaque de 2026 et aucune conclusion judiciaire sur une origine frauduleuse de l’argent ne doit être tirée de ces seuls éléments. Elle constitue néanmoins un précédent documenté de controverse financière autour de l’un des dirigeants historiques d’ICC.

Kathryn Krick : une attaque à deux semaines d’un événement sensible

La chronologie ajoute une dimension particulière à l’affaire. Le groupe de cybercriminels Qilin revendique l’attaque début août 2026, soit environ deux semaines avant la venue de Kathryn Krick à la Cité Royale, les locaux propriété de la SCI détenue par le mouvement ICC et Yvan Castanou, son responsable.

La prédicatrice américaine, elle-même au coeur d’une controverse actuellement, doit participer à « Ignite Revival Paris » le 27 août 2026. Elle est connue pour son ministère de délivrance, ses prières de guérison et ses manifestations publiques largement diffusées sur les réseaux sociaux. Elle dirige la Five-Fold Church (5F Church) et se présente comme apôtre. Elle appelle publiquement le Tanzanien GeorDavie (GeorDavie Moses Kasambale) son « père spirituel ». Ce dernier fait l’objet d’accusations publiques d’abus sexuels et de pratiques controversées, que Krick a défendues.

L’événement est annoncé à La Mega Place / Cité Royale, 21 rue des Vieilles Vignes à Croissy-Beaubourg. Il n’existe aucun élément permettant de relier Kathryn Krick à la cyberattaque. La proximité chronologique est néanmoins notable : si des fichiers d’inscriptions, de participants ou d’invités récents ont été compromis, la publication de nouvelles données pourrait intervenir au moment même où ICC accueille un événement international.

Ce qui est établi / ce qui reste ouvert

Établi :

• Qilin revendique l’attaque contre Impact Centre Chrétien.
• Des échantillons publiés contiennent des pièces d’identité (CNI, passeports, permis et titres de séjour) ainsi que des fichiers de données personnelles.
• ICC dispose d’un réseau international important et d’un complexe événementiel majeur à Croissy-Beaubourg.
• La Cité Royale / La Mega Place accueille régulièrement des événements de grande ampleur.
• Kathryn Krick doit y intervenir le 27 août 2026.

À vérifier :

• le volume total des données exfiltrées ;
• le nombre de personnes réellement concernées ;
• la nature exacte des bases compromises ;
• la présence éventuelle de fichiers de membres, d’anciens membres, de participants ou de visiteurs ;
• la présence éventuelle de données concernant des pasteurs, partenaires ou personnalités extérieures ;
• la notification éventuelle de la violation à la CNIL ;
• l’existence ou non d’une négociation de rançon.

Ce qui ne peut pas être affirmé à ce stade :

• que 50 000 membres disposent d’un fichier compromis ;
• que des dizaines de milliers de chrétiens sont effectivement « fichés » par Qilin ;
• que des personnalités politiques, artistiques ou médiatiques figurent dans les données volées ;
• que les données de ministères ou de réseaux partenaires ont été exfiltrées ;
• qu’ICC envisage ou a accepté de payer une rançon.

Si les données compromises vont effectivement au-delà des premiers échantillons, l’affaire pourrait dépasser très largement le cadre d’une simple cyberattaque contre une église. Elle pourrait devenir une fuite majeure concernant une partie du réseau évangélique international gravitant autour d’ICC : membres, anciens membres, responsables, visiteurs, partenaires et participants à des événements.

Pour l’instant, la seule certitude est déjà suffisamment préoccupante : des documents d’identité sont publiquement montrés par les cybercriminels, et l’étendue réelle de la compromission reste inconnue.

Gageons que le Saint-Esprit de Dieu, qui fait le ménage dans les églises et les ministères actuellement, saura mettre en lumière ce qui doit l’être et protéger le reste…