À Lyon, le principal auteur du piratage massif ayant visé Adecco en 2022 a été condamné à six ans de prison ferme. Une sanction exemplaire au regard de l’ampleur des données volées et des escroqueries en cascade qui en ont découlé.
Un procès inédit par son ampleur
Trois ans après le piratage des bases de données d’Adecco, la justice a rendu son verdict. Vendredi 26 septembre, le tribunal correctionnel de Lyon a condamné à six ans de prison ferme Timothée Lhomond, considéré comme l’organisateur principal. Il n’avait que 20 ans au moment des faits et enchaînait déjà les escroqueries depuis l’adolescence. Le procès, qui s’était tenu en juin dernier, avait mobilisé plus de 360 avocats et rassemblé près de 6 000 parties civiles.
Des millions de données détournées
Le piratage avait débuté par le biais d’un employé d’Adecco, approché sur le darknet. Âgé de 19 ans, il avait livré ses identifiants donnant accès à une base regroupant plusieurs millions de candidats à l’intérim. L’exploitation de ces données a permis la mise en place de centaines d’arnaques en ligne : faux profils, usurpations d’identité, petites escroqueries bancaires répétées. Les enquêteurs estiment que près de 100 000 personnes ont été touchées, avec des préjudices allant du simple vol de données à des détournements financiers de grande ampleur. La Caisse des Dépôts, par exemple, a signalé une perte de plus de 2,2 millions d’euros.
Des condamnations exemplaires
Outre le « cerveau » du réseau, treize complices, pour la plupart très jeunes, ont été condamnés à des peines de prison ferme allant de six mois à trois ans, parfois aménageables sous bracelet électronique. Le salarié d’Adecco impliqué a écopé de deux ans de prison dont un avec sursis. Le tribunal a par ailleurs reconnu un préjudice moral d’anxiété pour certaines victimes, lié à la diffusion de leurs données personnelles sur le darknet.
Des suites encore ouvertes
La question des indemnisations n’est pas close. Les demandes des victimes, d’Adecco France et d’organismes publics seront examinées lors d’une audience civile fixée au 30 novembre 2026. En attendant, six des condamnés ont été tenus d’indemniser directement plusieurs particuliers pour des montants forfaitaires allant de 49 à 500 euros.
Un signal fort pour l’écosystème cyber
Pour la justice comme pour les acteurs de la cybersécurité, ce dossier marque un tournant. D’une part, par la lourdeur de la sanction infligée à un jeune cybercriminel dont les activités se sont prolongées jusque derrière les barreaux. D’autre part, par la reconnaissance explicite des préjudices moraux causés aux victimes de vols de données. Un rappel brutal que l’exploitation criminelle d’informations personnelles peut avoir des conséquences durables, tant économiques que psychologiques.
