Andy Garcia · dev freelance
FRENES
Retour au blog
Sécurité

Une région française dit que deux prestataires piratés ont exposé près de 545 000 personnes. Son portail d'aides est resté fermé

19 octobre 2026 7 min de lecture

Le samedi 3 octobre, la région Hauts-de-France a indiqué dans un communiqué que deux de ses prestataires, Atexo et Docaposte, avaient subi une cyberattaque « ayant permis un accès non autorisé à des données personnelles traitées pour son compte ». Atexo, éditeur de logiciels pour les acteurs publics, gérait et hébergeait la plateforme régionale des aides. Docaposte, la filiale numérique de La Poste, exploitait la plateforme derrière Carte Génération #HDF, la carte avec laquelle la région verse une aide financière aux lycéens et aux apprentis.

Le lundi 5 octobre, le président de la région, Xavier Bertrand, a donné les premiers chiffres lors d'une séance plénière du conseil régional, selon l'AFP. Les données de près de 545 000 personnes ont fuité : au plus 515 000 des 745 000 personnes inscrites sur la plateforme d'Atexo, et près de 30 000 bénéficiaires et partenaires de Carte Génération.

J'ai une raison directe de lire celle-ci de près. J'ai construit BidForge, une IA qui lit les dossiers d'appels d'offres publics français pour les petites entreprises, et plusieurs des plateformes d'acheteurs d'où elle télécharge ces dossiers tournent sur le logiciel de marchés publics d'Atexo. Je suis donc clair sur ce que les sources établissent. La région nomme sa plateforme d'aides. Rien de publié ne dit que les plateformes de marchés publics d'Atexo ont été touchées, et rien de ce qui suit ne doit se lire ainsi.

Ce que la région a confirmé

Le communiqué du 3 octobre, relayé par l'AFP, franceinfo et France 3, citait parmi les données susceptibles d'être compromises des noms, des prénoms, des adresses électroniques, « potentiellement » des coordonnées bancaires et d'autres données d'identification. Les coordonnées bancaires, ici, ce sont des RIB, le relevé d'identité bancaire qui porte l'IBAN. La région ne pouvait pas encore donner le nombre de personnes concernées, ni dire si d'autres catégories de données avaient été consultées ou extraites. Les plateformes touchées ont été fermées, une plainte a été déposée et l'ANSSI, l'agence nationale de cybersécurité, a été alertée.

Selon franceinfo, les utilisateurs avaient été informés dès le vendredi 2 octobre, et un troisième service, la plateforme de la Maison des entrepreneurs Hauts-de-France, était aussi touché, avec un incident « désormais résolu ». La région a dit que les prestataires avaient identifié « les failles ainsi que le mode opératoire de l'attaquant » et engagé les corrections, et l'AFP a rapporté que le système d'information interne de la région n'était pas touché.

Le 5 octobre, Bertrand a été plus précis. Pour la plateforme d'Atexo, les données qui ont fuité sont « noms, prénoms, mails, type de tiers, habilitations ». Il n'était pas encore possible de savoir si des coordonnées bancaires « ont été consultées et ont pu être extraites ». Pour Docaposte, a-t-il dit, il s'agirait surtout de contrats d'apprentissage et de RIB.

Remarque ce qu'est ce chiffre de 545 000 : un plafond pour une plateforme, plus une estimation pour l'autre. Ce n'est pas un décompte.

Ce qui n'est que revendiqué

Un pirate qui se fait appeler ChimeraZ revendique beaucoup plus. Selon Cyberattaque.org, et selon Clubic, qui cite aussi le tracker FrenchBreaches, ChimeraZ a publié deux messages le 3 octobre. Le premier est une base de données de 782 583 lignes couvrant 708 068 personnes, censée provenir du site régional des aides, du site Carte Génération et d'un site d'accompagnement des entreprises. Le second est un lot de 48 Go de documents, 90 011 fichiers, surtout des PDF, censé provenir du portail partenaires de Carte Génération : parmi eux 37 585 contrats d'apprentissage, 36 720 RIB, 15 118 justificatifs de domicile et 127 extraits d'immatriculation d'entreprise. ChimeraZ affirme aussi avoir trouvé des mots de passe saisis dans le champ du téléphone mobile.

La région n'a rien repris de tout cela à son compte. Le 3 octobre, elle a déclaré : « Nous ne sommes pas en mesure aujourd'hui de confirmer le volume et les autres catégories de documents extraits. » Cyberattaque.org note lui-même que rien de public ne permet d'attribuer toutes les données revendiquées à la compromission d'Atexo. Je traite ces chiffres comme une revendication, et toi aussi. Le même nom est revenu le samedi 17 octobre : FrenchBreaches a signalé un nouveau message de ChimeraZ sur 1 066 élèves et parents de PRREL Ambition, un dispositif de soutien scolaire, tout en précisant que ce message seul ne montre pas que les systèmes de la région ont été piratés.

Le mot qui compte, c'est « habilitations »

La plupart des titres que j'ai lus ouvraient sur les RIB. C'est légitime : les coordonnées bancaires sont ce qui fait peur aux familles. Pour un lecteur du monde de l'entreprise, la liste du 5 octobre est plus utile.

Ma lecture, en développeur qui construit sur des plateformes du secteur public français : dans l'administration française, un « tiers » est la partie à laquelle un dossier appartient (une personne, une entreprise, une association, une commune), et les « habilitations » consignent qui peut agir pour qui. La page d'Atexo décrit son produit de subventions comme couvrant les subventions aux associations, aux communes et aux entreprises, ainsi que les aides individuelles. Mets les champs bout à bout et tu obtiens une liste des personnes qui gèrent des dossiers de subventions, leur adresse e-mail, et le type d'organisation pour laquelle elles agissent.

Ce n'est pas la clé d'un compte bancaire. C'est la matière première d'un e-mail convaincant. Celui que je m'attendrais à voir : « Suite à l'incident de sécurité, votre dossier d'aide doit être complété. Merci de déposer à nouveau vos coordonnées bancaires ici. » Il serait plausible précisément parce qu'une partie est vraie : la plateforme est fermée, et la région a promis un traitement rétroactif pour les demandes qui n'ont pas pu être déposées.

Si l'affirmation sur les mots de passe dans le champ du téléphone est vraie, elle porte une seconde leçon pour ceux qui construisent. Un champ de texte libre qui accepte n'importe quoi finira, sur des centaines de milliers de comptes, par stocker des choses qu'il n'était pas censé contenir. Vérifier la forme de ce que tu stockes est un contrôle de sécurité, pas un luxe.

Un produit, pas un cas isolé

Atexo vend ce type de plateforme à d'autres acteurs publics. Son site présente un produit de subventions, ATEXO SUB ou LOCAL TRUST SUB, avec « plus de 2 milliards d'euros » versés par an, « plus de 100 000 utilisateurs en collectivités » et « plus d'un million de bénéficiaires ». Il se présente aussi comme le leader français de la dématérialisation des marchés publics.

La région n'a pas dit quel logiciel d'Atexo faisait tourner sa plateforme, et rien de ce que j'ai lu ne dit qu'un autre client d'Atexo a été touché. Le 19 octobre, la page d'actualités d'Atexo ne contenait aucun article sur l'incident ; son billet le plus récent datait du 1er juin. Si je dirigeais un organisme public sur une plateforme hébergée de subventions ou de marchés, ma première question serait maintenant simple : notre instance est-elle séparée des autres, et comment le saurions-nous ?

Deux semaines guichet fermé

Le 19 octobre, la plateforme régionale des aides, aides.hautsdefrance.fr, affichait encore une page de maintenance. Elle disait que la plateforme « est temporairement fermée pour un audit de sécurité approfondi, réalisé par précaution suite à l'incident de la semaine dernière. Elle rouvrira une fois celui-ci conclu. Les demandes en cours sont conservées et la rétroactivité s'appliquera aux demandes qui n'ont pas pu être déposées. » Un autre portail régional, fse.hautsdefrance.fr, affichait ce jour-là un avis similaire.

C'est le coût d'une fuite que l'on oublie le plus facilement au moment de choisir un prestataire. L'annonce prend une journée. Le guichet fermé dure des semaines, et chaque association ou petite entreprise qui attend de déposer une demande de subvention attend avec lui.

Pour les prestataires, le RGPD pose déjà le cadre. L'article 33 oblige le sous-traitant à notifier son client « dans les meilleurs délais » après avoir pris connaissance d'une violation, et oblige le client, en tant que responsable du traitement, à notifier l'autorité de contrôle dans les 72 heures si possible, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes. L'article 28 exige que le contrat de traitement oblige le sous-traitant à « permettre la réalisation d'audits » par le client ou par un auditeur qu'il mandate, et à y contribuer. Les communiqués que j'ai lus mentionnent l'ANSSI et une plainte auprès des autorités. Ils ne mentionnent pas la CNIL, ce qui ne veut pas dire qu'aucune notification n'a été faite.

En tant que CTO d'une LegalTech, je lis le communiqué de la région comme un aperçu de la pire journée d'un prestataire : le client te nomme dans son premier communiqué de presse, et la clause d'audit que tu as signée devient un service fermé.

Ce que je vérifierais

Si ton entreprise ou ton association a un compte sur une plateforme publique d'aides ou de marchés :

  1. Sache quelle adresse e-mail est enregistrée, et à qui appartient cette boîte. Si elle appartient à quelqu'un qui est parti, tu ne verras pas non plus la vraie notification.
  2. Utilise un mot de passe que tu n'utilises nulle part ailleurs. Si tu l'as réutilisé, change-le d'abord sur les autres services.
  3. Vérifie toute demande de coordonnées bancaires ou de documents par les coordonnées officielles de l'organisme, jamais par le lien que tu as reçu. Selon Clubic, le courrier de la région aux usagers indique qu'elle ne demandera jamais de mot de passe ni de coordonnées bancaires par e-mail, et qu'aucune démarche particulière n'est nécessaire auprès de la région à ce stade.

Quant à BidForge, il télécharge les dossiers d'appels d'offres sur les plateformes de marchés de façon anonyme : il n'y détient ni compte ni mot de passe. En lisant cette histoire, c'est une ligne de conception que je garderais.

Les noms et les e-mails fuitent chaque semaine. Une liste de qui agit pour quelle organisation, sur quel argent public, vaut plus pour le prochain appelant.

Sources

Un projet du même genre ?

Je conçois et déploie des produits comme celui-ci. Parlons-en.

Discutons