Centrales nucléaires EDF : le hacker Angel_Batista revendique 93,7 Go de données volées via Axyon Ingénierie

La revendication est tombée sur BreachForums ^[1]. Un utilisateur signant Angel Batista ^[2] y a publié, en accès libre, un dataset présenté comme une fuite liée à six centrales nucléaires françaises exploitées par EDF ^[3]. Volume annoncé: 93,7 Go ^[4] de documents. Les fichiers remonteraient à septembre 2025 ^[5].

LES ENJEUX

Supply chain nucléaire: le maillon faible

La revendication ne vise pas EDF directement mais son sous-traitant Axyon Ingénierie. Les centrales sont mieux protégées que leurs prestataires d'ingénierie.

CyberVadis: une médaille qui ne protège pas des stealers

La certification CyberVadis affichée par Axyon repose sur un questionnaire auto-déclaratif; elle n'audite pas la résistance aux voleurs d'identifiants, vecteur privilégié de Batista.

Un pirate franco-biélorusse récidiviste

Angel Batista, actif depuis deux ans sur BreachForums, a déjà publié plus d'une quarantaine de fuites visant opéras, fédérations et collectivités françaises.

Cadre pénal: jusqu'à 5 ans et 375 000 euros

Le Code pénal prévoit 5 ans de prison et 150 000 euros pour extraction frauduleuse (art. 323-3), et 375 000 euros pour recel de données piratées (art. 321-1).

Authenticité à vérifier: la grille des chercheurs

Hash des fichiers, métadonnées EXIF, recoupement nominatif: les chercheurs appliquent une grille éprouvée, avec en mémoire le bluff Varun/EDF Prime Énergie de 2025.

Selon les éléments compilés par Cyberattaque.org, le lot actuellement diffusé ne serait qu’un extrait: environ 2 491 fichiers ^[6] et 6 Go d’images ^[7] de centrales, prélevés dans un ensemble plus large de 93,7 Go ^[8] obtenu en septembre 2025 ^[9] auprès d’un sous-traitant nommé Axyon Ingénierie ^[10]. Les sites cités par le pirate: Cruas, Gravelines, Bugey, Saint-Laurent, Dampierre, Tricastin.

Le maillon faible: un sous-traitant d’ingénierie

Axyon Ingénierie revendique 30 ans d’expertise en ingénierie ^[11], basée à Collégien ^[12], en Seine-et-Marne. Selon les informations relayées par la base française d’alertes FrenchBreaches, une fuite baptisée « AXYON » impliquerait également, au-delà d’EDF, les donneurs d’ordres Eiffage, Bouygues, Engie et Renault - information à traiter avec prudence en l’absence de confirmation des entreprises citées.

La PME affiche sur son site une médaille d’or CyberVadis ^[13] pour sa performance en cybersécurité - un paradoxe que la revendication d’Angel Batista vient brutalement interroger.

Ce que vaut (vraiment) une médaille CyberVadis

Il faut ici rappeler ce qu’est CyberVadis: non pas un audit technique intrusif de type pentest, mais un dispositif d’évaluation fondé sur un questionnaire auto-déclaratif rempli par l’entreprise, suivi d’une revue documentaire par des analystes. Le référentiel couvre essentiellement la gouvernance, les politiques de sécurité et la conformité organisationnelle. Il ne simule pas d’attaque, n’inspecte pas les postes de travail des salariés et ne mesure pas la résistance réelle aux stealers - ces logiciels voleurs d’identifiants qui constituent justement, de l’aveu même de Batista, son vecteur privilégié. Une médaille d’or CyberVadis signifie donc qu’une entreprise a documenté des procédures; elle ne garantit nullement que le poste d’un ingénieur, infecté par un stealer via un téléchargement anodin, ne livrera pas un accès VPN complet au bureau d’études. Le décalage entre la certification affichée et la fuite alléguée illustre la limite structurelle des labels déclaratifs face aux vecteurs modernes.

Ce que personne ne dit sur cette affaire: le scandale n’est pas qu’un pirate ait annoncé détenir des plans de centrales. C’est que, pour y parvenir, il n’a même pas eu besoin de s’attaquer à EDF. Il lui a suffi de viser un bureau d’études privé de Seine-et-Marne, prestataire dans la supply chain nucléaire française. Un maillon dont la défense périmétrique n’a rien à voir avec celle d’un opérateur d’importance vitale.

Qui est « Angel Batista »

Le pseudonyme est une référence au personnage de la série Dexter, « Angelo Juan Marcos Batista » ^[14], policier fictif. Derrière l’alias se présente un acteur franco-biélorusse ^[15], actif depuis deux ans ^[16] sur BreachForums ^[17]. Il a déjà revendiqué des fuites visant l’Opéra national de Paris ^[18], la Fédération Française de Rugby, le CPF, Hospitalis et Le Livre Scolaire ^[19], ainsi que le piratage du Département de l’Aude ^[20]. Il en aurait publié plus d’une quarantaine ^[21].

Interrogé par Zataz ^[22], le pirate confirme que les stealers sont son passe-partout ^[23]: « 90% du temps c’est plus rapide d’utiliser un log que de trouver une faille » ^[24]. Les failles les plus fréquentes qu’il exploite? « Pas de MFA, gestion des accès qui me permet de dump en étant un simple utilisateur » ^[25]. À la question des négociations avec les victimes, sa réponse est sèche: 0 % ^[26]. « Je n’ai jamais eu de contact même lorsque je leur demandais de me contacter » ^[27].

Dans un entretien publié par FrenchBreaches, il assume: « Je le fais à la fois par amusement et par appât du gain. Avec le temps, c’est devenu une forme d’addiction » ^[28]. Certains hackers organisés atteignent 10 000 euros par mois ^[29] de revenus.

EDF, BreachForums et l’historique des coups de bluff

EDF a déjà été confronté à des revendications aux contours douteux. En janvier 2025, un pirate nommé Varun ^[30] affirmait avoir volé les données de 6,3 millions de personnes ^[31] inscrites à la base EDF Prime Énergie - un chiffre qui varie toutefois selon les sources, certaines évoquant jusqu’à 9,3 millions ^[32]. L’électricien avait démenti toute fuite de données massive ^[33], tout en reconnaissant « une centaine de connexions illicites » ^[34] par réutilisation d’identifiants - un credential stuffing ^[35] caractérisé. Le site Prime Énergie avait été suspendu le 3 février ^[36]. Cette fois, la revendication Axyon est d’une autre nature: elle ne cible pas un portail grand public mais un prestataire technique.

Authenticité: les signaux à surveiller

Sur BreachForums, une revendication n’est pas une preuve. Les chercheurs indépendants qui s’attèlent actuellement à disséquer le dump Axyon appliqueront une grille désormais classique: analyse des hash des fichiers pour détecter d’éventuels doublons avec des leaks antérieurs; vérification des métadonnées EXIF des images pour recouper dates, géolocalisation et appareils photo avec les sites cités; échantillonnage aléatoire des documents techniques pour confronter jargon, nomenclature et références internes aux standards connus du nucléaire français; enfin, tentative de recoupement nominatif avec des annuaires professionnels ou des pages LinkedIn d’Axyon.

Le précédent Varun / EDF Prime Énergie sert de mètre-étalon: en janvier 2025, un échantillon de 100 000 lignes avait été brandi comme preuve, avant que l’analyse ne révèle qu’il s’agissait d’identifiants issus d’un credential stuffing, et non d’une intrusion dans le système EDF. Les coups de bluff sur BreachForums ne sont donc pas l’exception. À l’inverse, la présence de 6 Go d’images ^[7] et de 2 491 fichiers ^[6] diffusés librement constitue un signal de crédibilité relatif: publier gratuitement un tel volume a un coût réputationnel pour le pirate si le dump s’avère bidon. Le verdict appartient aux chercheurs - pas au forum.

Le cadre juridique: des peines qui montent vite

On se souvient que, en France, l’article 323-1 du Code pénal sanctionne l’intrusion dans un système de traitement automatisé de données, depuis la loi du 24 janvier 2023, par 3 ans d’emprisonnement et 100 000 euros d’amende selon plusieurs sources. En cas de modification, suppression ou extraction frauduleuse (articles 323-2 et 323-3), la peine monte à 5 ans de prison et 150 000 euros d’amende ^[37]. Le recel de données piratées (article 321-1) est passible de 5 ans d’emprisonnement et 375 000 euros d’amende ^[38]. Côté entreprises, un manquement au RGPD peut déclencher des sanctions de 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel ^[39].

Angel Batista estime lui-même risquer « 5 ans de prison ferme et 300 000 € d’amendes » ^[40], et répond « Je ne pense pas » ^[41] à la question de savoir s’il peut rester anonyme durablement. L’estimation de Batista (300 000 €) dépasse toutefois le plafond légal de l’article 323-3 (150 000 €): elle pourrait refléter un cumul de chefs d’inculpation incluant le recel (375 000 € au titre de l’article 321-1) ou, plus prosaïquement, une méconnaissance du droit pénal français.

Supply chain: un mode opératoire qui n’a rien d’inédit

On se souvient de l’affaire SolarWinds, en décembre 2020: en compromettant un éditeur logiciel américain fournissant plusieurs agences fédérales, des attaquants avaient pu, via une mise à jour piégée, pénétrer jusqu’au Trésor, au Département de la Défense et au Département de l’Énergie des États-Unis. Le schéma est exactement celui qui se joue - à une toute autre échelle - dans l’affaire Axyon: ne pas attaquer la forteresse, mais le fournisseur qui en détient les plans. L’attaque Triton de 2017, visant les systèmes de sécurité industriels d’une usine pétrochimique saoudienne, avait également démontré la vulnérabilité des équipementiers en charge des environnements critiques. Le signal envoyé par la revendication Axyon est le même: la supply chain industrielle française demeure un angle mort.

La voix qui manque

Aucune des sources consultées ne contient, à ce stade, de démenti public d’EDF ni d’Axyon Ingénierie concernant spécifiquement le lot de 93,7 Go revendiqué ^[4]. Aucune confirmation non plus de l’ANSSI ^[42] ou de la CNIL ^[43], qui devraient enquêter. Cet unanimisme du silence interroge.

Pourquoi maintenant: la supply chain, angle mort du nucléaire

Le calendrier n’est pas anodin. Depuis dix-huit mois, les fuites françaises s’enchaînent: 243 000 agents de l’Éducation nationale ^[44] le 15 mars ^[45], 11 à 15 millions de Français chez Cegedim ^[46], 1,5 million d’élèves à l’UNSS ^[47], 774 000 étudiants au Crous ^[48]. Clément Domingo, chercheur en cybersécurité connu sous le pseudonyme SaxX ^{[49] [50]}, affirme que « les données de huit Français sur dix circulent déjà dans cet écosystème » ^[51]. Et l’usurpation de numéros de téléphone a bondi de 517 % ^[52] sur un an.

Le contentieux cyber représente déjà environ 100 milliards d’euros ^[53] en France. Statista chiffrait le coût global des cyberattaques à plus de 129 milliards de dollars pour 2024 ^[54]. La revendication Axyon n’est pas un événement isolé: c’est la pointe visible d’une bascule stratégique, où les attaquants ont compris que les OIV (opérateurs d’importance vitale) se protègent correctement - mais pas leurs sous-traitants.

► Lire aussi: HexDex arrêté: comment la BL2C a fait tomber le hacker qui monétisait les données des Français

Le précédent HexDex, dont l’enquête a conduit à l’interpellation de deux suspects âgés de 20 et 17 ans ^[55] mis en examen le 19 mars 2026 ^[56] par la Brigade de lutte contre la cybercriminalité ^[57], montre que les enquêteurs français savent désormais remonter la piste. Reste à voir si Angel Batista, qui reconnaît lui-même que son anonymat ne tiendra pas ^[41], sera la prochaine interpellation.