Doxxer l’uniforme : quand le réseau déshabille l’État
En mai 2026, à Grenade, un homme agissant seul réussit à désanonymiser le personnel de sept institutions régaliennes espagnoles, dont la police nationale, la garde civile, le parquet général et l’institut national de cybersécurité (The Record, 1er juin 2026). Il n’a commis aucune intrusion informatique. Il a simplement croisé d’anciennes fuites et des données en sources ouvertes. Des milliers d’agents perdent d’un coup l’anonymat de leur fonction. Trois semaines plus tard, à Pantin, la Fédération sportive de la Police nationale confirme une fuite touchant plus de 224 000 personnes, en grande majorité des policiers. Quatorze années de matricules, d’affectations et de certificats médicaux circulent sur un forum cybercriminel (FrenchBreaches et Le Monde Informatique, juin 2026).
Ces deux affaires racontent la même bascule. On n’attaque plus l’État dans ses infrastructures ou ses symboles. On expose ceux qui l’incarnent au quotidien.
Fuite, espionnage, doxxing : trois phénomènes à ne pas confondre
Ces affaires semblent identiques. Elles ne le sont pas. Trois régimes d’exposition distincts coexistent, et un seul critère permet de les séparer, l’intention de rendre public.
La fuite, d’abord, expose sans projet. C’est le cas de la FSPN, comme celui des quelque 13 000 violations de données recensées en trois ans dans les polices britanniques, dont l’essentiel relève de l’erreur humaine, courriels mal adressés ou appareils égarés (SecurityBrief UK, septembre 2025).
L’exfiltration stratégique, ensuite, dérobe la donnée pour avoir l’information, mais préfère garder le silence. Les coordonnées des 65 000 policiers néerlandais ont ainsi été pillées par le groupe Laundry Bear, que les services de renseignement des Pays-Bas relient à l’État russe. Il s’agissait d’espionnage lié au soutien occidental à l’Ukraine, et les données n’ont jamais été publiées (NL Times et Follow the Money, janvier 2026).
Le doxxing, enfin, publie pour exposer. La publication est l’acte lui-même. C’est le cas de Grenade, comme celui des agents de l’immigration américaine dont des collectifs militants de Portland ont diffusé les noms, photos et adresses personnelles (Washington Post, janvier 2026).
Seul ce troisième régime constitue un geste politique, un message adressé à l’institution. Mais il se nourrit des deux premiers. L’homme de Grenade n’a rien piraté. Il a assemblé méthodiquement des fuites antérieures et des données publiques. Chaque brèche, chaque exfiltration grossit le stock de munitions disponibles.
Ce que le doxxing attaque : l’uniforme comme fiction nécessaire
Pour comprendre ce que le doxxing attaque vraiment, un détour par la théorie politique s’impose. Le sociologue allemand Max Weber a donné, au début du XXe siècle, la définition la plus célèbre de l’État moderne. L’État est l’institution qui revendique avec succès le « monopole de la violence physique légitime ». Autrement dit, lui seul a le droit de contraindre, d’arrêter, d’user de la force. Mais ce monopole a une condition pratique que l’on oublie souvent. La violence légitime doit s’exercer à travers des agents interchangeables. L’uniforme et le matricule ne servent pas à protéger un privilège. Ils servent à effacer l’individu, pour que ce soit la loi qui agisse, et non Jean-Marc.
Le philosophe français Claude Lefort a prolongé cette idée d’une façon très éclairante. Dans une démocratie, explique-t-il, le pouvoir est un « lieu vide ». Personne ne le possède en propre. Le roi incarnait le pouvoir dans son corps, tandis que le président, le juge ou le policier ne font que l’occuper temporairement, sans jamais se confondre avec lui. C’est même ce qui distingue la démocratie de la tyrannie. Le doxxing s’attaque précisément à ce mécanisme. En accolant un visage, une adresse et une famille à un matricule, il arrache l’agent à sa fonction et le rend à sa condition de voisin, de père ou de conjoint. Le représentant abstrait de la loi devient une cible intimement désignée. Les philosophes parlent de désincorporation. On pourrait dire plus simplement que le doxxing retire l’uniforme de force.
La France a connu sa propre bataille autour de cette fiction. En 2021, la loi « sécurité globale » voulait créer un délit de provocation à l’identification des policiers et gendarmes en opération, puni de cinq ans d’emprisonnement et de 75 000 euros d’amende. Le Conseil constitutionnel a censuré la disposition, jugeant l’infraction trop imprécisément définie (décision n° 2021-817 DC du 20 mai 2021 ; Franceinfo, 20 mai 2021). L’épisode dit l’essentiel. L’institution cherche à protéger juridiquement l’anonymat de ses agents, et le droit peine à saisir un phénomène que le numérique a déjà rendu ordinaire.
La lecture du contre-pouvoir : rendre la force comptable
Pour ses praticiens militants, la désanonymisation est une arme des faibles. L’anthropologue américain James C. Scott a passé sa vie à étudier une question simple. Comment résistent ceux qui ne peuvent pas se révolter ouvertement ? Sa réponse tient en un mot, l’« infrapolitique ». Les dominés n’affrontent pas le pouvoir de face. Ils le harcèlent par des tactiques de l’ombre, la rumeur, la ruse, l’anonymat (La Domination et les arts de la résistance). Le doxxing s’inscrit dans cette généalogie. Il ne cherche pas à renverser l’État mais à gripper son action, en retournant contre lui l’asymétrie de l’information. Vu d’en bas, l’anonymat du policier n’est pas une condition de l’autorité. C’est un bouclier contre la responsabilité individuelle.
Un vieux mythe grec éclaire ce face-à-face. Dans La République, Platon imagine un anneau qui rend invisible. Son porteur, le berger Gygès, cesse aussitôt d’être juste. La leçon est connue, l’impunité du regard corrompt. Or chaque camp porte ici l’anneau à sa façon. L’agent masqué en fait l’usage classique aux yeux de ses adversaires, qui ne peuvent ni le reconnaître ni le poursuivre individuellement. Le doxxeur en invente l’usage inverse. Invisible derrière l’écran, il ne se cache pas pour agir impunément, mais pour rendre l’autre hyper-visible. Deux anneaux s’affrontent, celui du masque et celui du réseau, et chaque camp jure que c’est l’anneau de l’autre qui corrompt.
Le cas de la police de l’immigration américaine (ICE) donne à ce face-à-face sa forme la plus aboutie. Les agents opèrent masqués et sans identification visible, au nom de leur protection contre le doxxing. « Si cela doit être fait, il faut le faire », concède le responsable fédéral Tom Homan à propos des masques. En face, après une année 2025 qui fut la plus meurtrière de l’agence en vingt ans et la mort de civils lors d’opérations, la demande d’identification a débordé tous les canaux institutionnels. Encore faut-il distinguer trois pratiques que le débat américain confond volontiers. Le signalement de présence d’abord. L’application ICEBlock, plus d’un million de téléchargements, ne publiait aucune donnée personnelle sur les agents, mais elle fut retirée de l’App Store à la demande du ministère de la Justice (NPR, octobre 2025).
L’identification ensuite. Après deux morts à Minneapolis, des internautes ont tenté de démasquer les agents par reconnaissance faciale et IA générative, et ont désigné à la vindicte des personnes qui n’étaient pas les bonnes (Slate, janvier 2026). Le doxxing proprement dit, enfin, c’est-à-dire la publication délibérée de noms et d’adresses accompagnée de messages hostiles.
Reste l’argument central. Démasquer un agent, disent ses partisans, c’est le rendre responsable de ses actes. Mais être responsable, c’est répondre de ses actes devant une instance, un supérieur, un juge, une procédure. Le réseau n’offre rien de tel. Pas de contradictoire, pas d’examen des faits, pas de sanction proportionnée. Le démasquage ne livre pas l’agent à un tribunal, il le livre à une foule. Les erreurs d’identification de Minneapolis le montrent bien, une foule ne juge pas, elle frappe ce qu’on lui désigne, même quand la cible est la mauvaise.
Un garde-fou s’impose enfin. La grille de la résistance ne couvre qu’une fraction du phénomène, et les acteurs eux-mêmes brouillent les pistes. « Misère », qui revendiquait en juin la fuite de la FSPN sans autre projet apparent que la diffusion d’une base de données, annonce fin juillet une cause : il présente sa publication suivante, les données revendiquées de plus de 111 000 agents de l’État, comme des représailles contre Chat Control (FrenchBreaches, 26 juillet 2026). Sincérité militante ou vernis politique sur une activité de diffusion de données, rien ne permet de trancher.
La privatisation de la menace
Quelle que soit sa justification, le doxxing ne frappe jamais l’institution. Il frappe un corps. Et il le frappe là où l’État ne protège plus, au domicile. Pourquoi est-ce si destructeur ? La philosophe Hannah Arendt dans Condition de l’homme moderne, en donne la raison profonde. Pour elle, la liberté humaine suppose une frontière étanche entre deux mondes, l’espace public, où l’on travaille et où l’on s’affronte, et le foyer, où l’on se retire du conflit. Publier une adresse détruit cette frontière. L’affrontement quitte le commissariat et s’installe au pas de la porte, où il pèse désormais sur un conjoint et des enfants.
Reste à comprendre le mécanisme de la peur. L’écrivain Elias Canetti, dans Masse et puissance, a décrit une forme archaïque de groupe humain, la meute de chasse. Une meute ne se forme pas autour d’une idée, mais autour d’une proie désignée. Le doxxing est exactement cela, une désignation de proie. La publication d’une adresse ne fait rien par elle-même. Elle convoque une meute virtuelle, dont chaque membre anonyme peut devenir l’exécutant. C’est ce qui rend la menace si corrosive. Elle n’a pas de visage. Elle est n’importe qui, n’importe quand.
La France a éprouvé cette chaîne jusqu’au bout. L’assassinat de Samuel Paty en 2020, précédé d’une campagne de désignation en ligne, a démontré que la séquence exposition, meute, passage à l’acte pouvait tuer. Le législateur en a tiré l’article 223-1-1 du code pénal, qui réprime la révélation d’informations permettant d’identifier ou de localiser une personne dans le but de l’exposer à un risque, avec circonstance aggravante lorsque la victime est dépositaire de l’autorité publique. Outre-Manche, la fuite accidentelle, en 2023, des données de l’ensemble des personnels de la police d’Irlande du Nord, récupérées par des groupes dissidents républicains, a montré ce que devient une simple erreur administrative dans un contexte de menace physique.
L’autorité s’effrite ainsi sans un seul affrontement, par usure psychologique de ceux qui la portent. L’agent ne peut plus « enlever son travail » en rentrant chez lui.
Le brouillage final : quand les verticalités récupèrent l’horizontal
À qui profite ce grand déballage ? La lecture horizontale, celle du réseau citoyen dressé contre l’institution verticale, est devenue trop simple. Ceux qui percent aujourd’hui les secrets des États sont d’abord d’autres États et des industries criminelles. Laundry Bear espionnait pour Moscou sous des dehors de cybercriminalité. Les services iraniens s’appuient sur des données fuitées et des techniques en sources ouvertes pour surveiller et intimider des cibles dans les démocraties occidentales (rapport de l’Intelligence and Security Committee britannique, analyse Cognyte pour le mode opératoire). Europol dresse le même constat dans son rapport IOCTA 2026 : les mêmes attaques servent désormais, selon les cas, une idéologie, un commanditaire étatique ou une simple logique d’extorsion, et visent aussi bien les gouvernements que les infrastructures critiques. L’espion étatique se déguise en hacktiviste, le militant puise dans des fuites crapuleuses, et les trois régimes d’exposition distingués plus haut fusionnent.
La France vient d’en offrir la démonstration en accéléré, en un seul week-end. Fin juillet, un pirate publie les données personnelles de 24 responsables politiques français, eurodéputés en tête, pour protester contre Chat Control, le dispositif européen de détection des contenus pédocriminels dans les communications privées. Adresses, téléphones, identifiants administratifs, parfois coordonnées bancaires, le tout recomposé à partir de fuites antérieures, sans intrusion nouvelle (Zataz, 26 juillet 2026). Au même moment, « Misère » revendique la diffusion des données de plus de 111 000 agents de l’État, là encore au nom de Chat Control, sans que l’origine ni l’authenticité de la base soient confirmées (FrenchBreaches, 26 juillet 2026). Militantisme, représailles, opportunisme ? Les trois à la fois, peut-être. L’ironie, elle, résume l’époque : un débat sur la surveillance des communications se règle désormais à coups d’exposition de personnes.
L’État lui-même n’est pas en reste, et c’est la leçon la plus dérangeante du cas américain. La même agence dont les agents se masquent contre le doxxing pratique la reconnaissance faciale de masse (application Mobile Fortify, contrat avec Clearview AI), photographie les visages et les plaques d’immatriculation des observateurs citoyens et les interpelle par leur nom. Une habitante du Maine a filmé un agent lui répondant « on a une jolie petite base de données, et maintenant tu es considérée comme terroriste domestique ». Chaque camp doxxe l’autre en invoquant la responsabilisation. Chaque camp dénonce le doxxing de l’autre comme du terrorisme. On retrouve ici Weber, transposé. L’État tente d’établir dans le champ numérique l’équivalent de son monopole de la violence, un monopole de la visibilité légitime, le droit de voir sans être vu.
Ce monopole se plaide désormais devant les tribunaux. L’État de New York interdit depuis fin juin aux forces de l’ordre d’opérer masquées, le ministère fédéral de la Justice attaque la loi, et un projet de loi fédéral (VISIBLE Act Washington Times, 23 juin 2026 ; News10, juin 2026 ; PIX11) exigerait l’identification claire des agents.
Le droit est devenu le champ de bataille d’une seule question. Qui a le droit de voir qui ?
Le lecteur français notera que son droit a déjà tranché, à sa manière. Ici, pas d’agents sans visage : le masque est l’exception réservée à quelques unités d’intervention, l’anonymat des enquêteurs est strictement encadré par la loi, et chaque policier ou gendarme porte un numéro d’identification individuel, le RIO, qui le rend anonyme pour la foule mais traçable pour l’institution et ses inspections. Le débat français ne porte donc pas sur le principe de l’identification, mais sur son effectivité, le Conseil d’État ayant dû enjoindre à l’État, en 2023, de faire respecter le port du RIO. Deux pays, deux stades du même conflit : l’Amérique se dispute sur la règle, la France sur son application.
Le lieu vide et la cible
Il faut tenir ensemble les deux lectures de ce phénomène, car chacune dit une part du vrai. Le doxxing des forces de l’ordre est bien un contre-pouvoir. Là où l’institution refuse l’identification de ses agents sur le terrain, comme le montre le cas américain, la demande de comptes emprunte les chemins qu’on lui laisse. Mais ce contre-pouvoir ne corrige pas l’institution. Il frappe des corps, un par un, et installe la peur au domicile de ceux qui la servent. La question n’est donc pas de choisir entre les deux récits. Elle est de mesurer ce que leur affrontement détruit, c’est-à-dire la frontière elle-même, celle qui séparait la fonction de la personne, l’espace public du foyer, l’État du réseau. Claude Lefort disait de la démocratie qu’elle est le régime où le lieu du pouvoir reste vide, occupé par personne. Le doxxing prétend remplir ce lieu d’un visage, d’un nom et d’une adresse. Or un pouvoir qui a une adresse n’est plus une institution. C’est une cible. Et une société où chacun, agent comme militant, devient la cible de quelqu’un a déjà perdu ce que les deux camps prétendent défendre.
Que retenir du doxxing pour la communauté cyber ?
La première est un déplacement de périmètre. Dans les deux affaires qui ouvrent cet article, l’État n’a pas été percé par son cœur mais par sa périphérie. Une fédération sportive, des fuites anciennes, des données publiques. Les données personnelles des agents publics sont devenues des actifs critiques, et leur protection ne peut plus s’arrêter aux systèmes des ministères. Elle englobe les mutuelles, les amicales, les fédérations, tout ce tissu qui détient des fichiers d’agents sans avoir les moyens de les défendre.
La deuxième est une leçon de temps. L’homme de Grenade n’a exploité aucune faille récente. Il a agrégé des fuites vieilles de plusieurs années. Une donnée exposée ne se rattrape jamais, elle attend. Chaque brèche doit donc être évaluée non pour ce qu’elle permet aujourd’hui, mais pour ce qu’elle permettra une fois combinée aux suivantes.
La troisième est peut-être la seule issue du face-à-face des deux anneaux. Le dilemme du masque n’a pas de solution binaire, mais le modèle du pseudonyme opposable, celui que la France a institutionnalisé avec le RIO, trace une voie. Anonyme pour la foule, identifiable pour l’institution, à condition que le canal de responsabilité soit crédible et réellement appliqué. Car le doxxing prospère là où la demande de comptes ne trouve pas de canal. Construire et entretenir ce canal, c’est assécher sa justification sans livrer personne à la meute. Le lieu vide dont parlait Lefort ne se défend ni par des masques ni par des meutes. Il se défend par des institutions qui répondent.