Parcoursup piraté : 705 000 candidats d’Occitanie exposés, cinq mois de silence

Le module de gestion s’ouvre comme une porte qu’on n’a pas fermée à clé. L’attaquant entre avec les identifiants d’un agent de la région académique Occitanie ^[1]. Personne ne le voit. Il télécharge. Il repart. C’était en octobre 2025 ^[2].

LES ENJEUX

Détection tardive: cinq mois sans alerte

L'exfiltration date d'octobre 2025, le signalement est intervenu en mars 2026. Cinq mois durant lesquels un compte d'agent téléchargeait des fichiers sans déclencher d'alerte.

705 000 dossiers complets dans la nature

Identité, coordonnées, scolarité, statut boursier et, pour les mineurs, profession des parents. Le matériau idéal pour le phishing ciblé.

Procédure RGPD: 72 heures contre cinq mois

Le ministère se prévaut du délai de notification à compter du signalement. Mais l'obligation de sécurité (art. 32) couvre aussi la détection. La CNIL pourrait y voir un manquement distinct.

Une série noire, pas un accident isolé

Compas, ÉduConnect, France Titres, Parcoursup: plus de 12,6 millions de comptes cumulés. Même schéma, compte légitime, MFA absente.

Risques concrets pour les candidats

Crédit ouvert au nom de la victime, arnaques au Crous via le statut boursier, phishing parental ciblant les mineurs grâce aux données des responsables légaux.

Le ministère de l’Enseignement supérieur, de la Recherche et de l’Espace ^[3] s’en aperçoit cinq mois plus tard ^[4], en mars 2026 ^[5], après un signalement extérieur ^[6]. Entre les deux, les dossiers de 705 000 candidats ^[7] des sessions Parcoursup 2023 et 2025 ^[8] résidant ou ayant formulé des vœux en Occitanie ^[9] ont quitté le système. Sans bruit.

Le ministère parle d’une « usurpation frauduleuse » ^[10], d’une « exfiltration non autorisée de données à caractère personnel » ^[11]. Le vocabulaire est administratif. Le geste, lui, est trivial: un compte légitime, des identifiants qui marchent, un accès qui ne déclenche aucune alerte. « Aucune faille d’infrastructure n’a été exploitée: l’intrusion repose sur la compromission d’identifiants légitimes » ^[12], résume le cabinet juridique Leto, spécialiste RGPD.

Ce qui est parti

La liste est longue. Nom, prénom, nationalité, date de naissance ^[13]. Adresse postale, e-mail, numéro de téléphone ^[14]. Scolarité, statut de boursier, parcours de formation ^[15]. Et pour les mineurs, le lien de parenté et la catégorie socio-professionnelle des responsables légaux ^[16].

Concrètement: si vous avez validé un vœu en BTS à Montpellier ^[17] ou une licence à l’université de Toulouse Capitole ^[18] en 2023 ou 2025, vos données sont possiblement dans la nature. Le ministère assure avoir prévenu les candidats concernés ^[19].

Ce que risquent concrètement les candidats

L’addition de ces champs n’est pas neutre. Avec un état civil complet, une adresse postale et un téléphone, un fraudeur dispose de tout le nécessaire pour ouvrir un compte bancaire en ligne au nom de la victime, souscrire un crédit à la consommation ou contracter un abonnement téléphonique. Les arnaques sentimentales et les faux conseillers bancaires démarrent elles aussi à partir de ce socle.

Le statut de boursier est, lui, une cible classique des escroqueries aux aides sociales: un appel ou un mail prétendant régulariser un dossier Crous, demander un RIB pour « le versement d’un complément », et le piège se referme. Pour les mineurs, le risque se déplace vers les responsables légaux: la catégorie socio-professionnelle et le lien de parenté permettent un phishing parental d’une précision rare - un faux courrier d’un proviseur, un faux appel d’un conseiller d’orientation citant le prénom de l’enfant et son lycée. C’est exactement le type de matériau que les marchés noirs comme l’ex-BreachForums ^[20] revendent par lots, avec une décote pour les fichiers déjà publics et une prime pour les bases scolaires fraîches.

Cinq mois d’angle mort

L’attaque a eu lieu en octobre 2025 ^[21]. Le signalement est arrivé en mars 2026 ^[22]. Cinq mois ^[23] pendant lesquels personne, au ministère, ne s’est aperçu qu’un compte d’agent téléchargeait des fichiers de candidats par paquets. Le communiqué officiel parle d’« un signalement », sans préciser la source - probablement un chercheur en sécurité ^[6].

Le ministère a saisi la CNIL ^[24] et déposé plainte auprès de la procureure de la République de Paris ^[25]. Les équipes techniques ont anonymisé le module de gestion affecté pour toutes les sessions, session 2026 comprise ^[26], révisé les identifiants et durci les conditions d’accès ^[27].

Le 72 heures qui ne dit pas son nom

L’article 33 du RGPD impose au responsable de traitement de notifier une violation de données à l’autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » ^[28]. Le ministère affirme avoir respecté ce délai à compter du signalement de mars 2026 ^[5].

C’est ici que se loge la contradiction. Le décompte des 72 heures démarre, selon la lettre du texte, lorsque le responsable de traitement « prend connaissance » de la violation. Mais l’article 32 du même règlement impose, en amont, une obligation de sécurité: mettre en œuvre les mesures « techniques et organisationnelles appropriées » pour détecter les incidents. On se souvient que la jurisprudence européenne et la doctrine de la CNIL retiennent une lecture stricte: un responsable qui aurait dû savoir, parce qu’il aurait dû surveiller, ne peut se prévaloir d’avoir ignoré. En clair, cinq mois d’exfiltration silencieuse pourraient eux-mêmes constituer un manquement à l’article 32, indépendamment du délai de notification. Le délai de 72 heures, dans cette lecture, devient inopposable.

L’article 34 du RGPD ^[29] prend ensuite le relais: dès lors qu’un risque élevé pèse sur les droits et libertés des personnes concernées ^[30], la communication individuelle aux 705 000 victimes s’impose ^[31], avec nature de la violation, données concernées, conséquences probables, mesures prises et point de contact du DPO ^[32].

Aucune des sources consultées ne précise si la CNIL a ouvert une procédure formelle d’investigation à l’encontre du ministère, ni si elle lui a demandé des justifications sur le délai de détection de cinq mois. La commission a déjà sanctionné des acteurs publics pour des manquements de sécurité - on se souvient des mises en demeure adressées à plusieurs collectivités et établissements pour défaut de mesures de sécurité élémentaires sur des bases contenant des données scolaires ou sociales. Une saisine d’État, fût-elle d’un ministère, ne fait pas obstacle à une suite contentieuse.

Une série, pas un accident

Replacer Parcoursup dans le paysage récent change la lecture. Le portail RH Compas de l’Éducation nationale exposait les informations de 243 000 agents et stagiaires ^[33]. Le ministère de l’Éducation nationale a reconnu une cyberattaque visant ÉduConnect ^[34], partie elle aussi d’une usurpation d’identité d’un personnel habilité fin 2025 ^[35]. France Titres: 11,7 millions de comptes touchés ^[36]. Le cumul d’exposition pour ces seuls dossiers se chiffre en millions de comptes et de dossiers.

Le motif est identique à chaque fois. Un compte légitime compromis, pas de double authentification systématique ^[37], aucune supervision des téléchargements en masse depuis un compte d’agent, et des mois entre l’intrusion et la détection. Ce n’est pas un défaut technique isolé, c’est une politique d’authentification absente. Aucun audit inter-ministériel public ne vient, à ce stade, vérifier la généralisation de la MFA sur les comptes à privilèges des administrations gérant des données personnelles à grande échelle.

C’est dans ce paysage que la phrase de Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d’information (Anssi) ^[38], prend tout son poids: « personne n’est réellement à la hauteur » ^[39]. Elle ne décrit pas un incident, elle décrit un système.

Ce qu’on ne fait toujours pas

Une mesure simple aurait empêché la plupart de ces intrusions: la double authentification systématique sur les comptes des agents publics. Elle n’était pas en place sur les modules visés ^[37]. Le ministère de l’Éducation nationale dit l’avoir « engagée » après l’incident ÉduConnect ^[40]. Sur Parcoursup, le communiqué parle de « durcissement des conditions d’accès » ^[27], sans détailler.

Le ministère appelle « l’ensemble des usagers concernés à la vigilance sur d’éventuelles tentatives d’hameçonnage (phishing), d’escroquerie ou d’usurpation d’identité » ^[41]. Concrètement: ne pas cliquer sur un lien reçu par mail demandant des coordonnées bancaires ^[42], ne pas donner ses identifiants à un faux conseiller ^[43], et apposer un filigrane sur les pièces d’identité scannées via le service officiel du gouvernement ^[44].

Ce qui reste sans réponse

Aucune des sources consultées n’indique combien d’agents avaient accès au module compromis, ni si le compte usurpé l’a été par phishing, par fuite antérieure ou par revente d’identifiants sur un marché noir. La plainte au parquet de Paris ^[45] devra le dire.

Une chose est connue. Cette semaine, un hacker connu sous l’alias HexDex ^[46], soupçonné d’être derrière plusieurs attaques contre des services publics français - système d’information sur les armes du ministère de l’Intérieur ^[47], Agence Nationale de la Cohésion des Territoires ^[48], Choisir le service public ^[49] - a été arrêté en Vendée ^[50]. Le lien avec Parcoursup n’est pas établi.

Au bout du couloir du ministère, le module est anonymisé. Les identifiants sont changés. Les 705 000 dossiers, eux, sont déjà partis.