L’école 42 fait l’objet d’une revendication portant sur 140 080 profils et 94 427 photographies. L’auteur de l’annonce, publiée le 9 octobre 2026, affirme avoir collecté ces informations la veille. Il évoque une extraction automatisée, ou scraping, depuis l’environnement numérique du réseau. Ces chiffres constituent une revendication, pas un décompte indépendant des personnes touchées.
Les informations décrites comprennent des noms, des adresses électroniques, des identifiants et le campus fréquenté. Des éléments de parcours, de niveau ou de cursus figureraient également dans cet ensemble. Leur combinaison peut donner de la crédibilité à une fausse sollicitation scolaire ou professionnelle.
École 42 : un périmètre encore à préciser
Un courriel attribué à l’établissement fait état d’un incident pouvant concerner jusqu’à 140 000 personnes de plusieurs campus. Il évoque une collecte depuis un compte autorisé, contraire aux conditions d’utilisation, et l’absence de mots de passe parmi les données concernées. Le document original n’a toutefois pas pu être consulté directement lors de la préparation de cet article.
Il faut donc distinguer cette communication rapportée de la précision affichée par le vendeur. Le nombre de profils ne permet pas, à lui seul, de compter les étudiants actuellement inscrits. Les descriptions disponibles mentionnent aussi des candidats aux périodes de sélection, des anciens et des comptes de personnel ou techniques.
À lire aussi
Même réserve pour les photographies : disposer d’une adresse renvoyant vers une image ne prouve pas que le fichier correspondant a été téléchargé. Le total annoncé ne suffit donc pas à établir combien de portraits ont effectivement été récupérés.
Enfin, les champs appelés « wallets » désignent ici des crédits pédagogiques virtuels. Leur présence ne démontre aucune exposition de comptes bancaires. Les éléments consultés ne permettent pas davantage de conclure à une intrusion dans les serveurs.
Le parcours scolaire peut rendre une arnaque crédible
Le risque tient à la précision du contexte. Un message qui cite le bon campus et le bon cursus peut sembler venir d’un interlocuteur légitime. Il pourrait, par exemple, inviter un candidat à actualiser son dossier sur une fausse page de connexion. Il s’agit d’un scénario possible, pas d’une campagne constatée dans cette affaire.
Le même procédé peut imiter une offre de stage ou un premier contact de recrutement. Pour une entreprise qui embauche des profils débutants, l’enjeu consiste à rendre ses échanges vérifiables : une adresse professionnelle identifiable et un interlocuteur joignable par un canal déjà connu réduisent l’ambiguïté.
Ces mécanismes rejoignent les risques de fraude par manipulation pour les entreprises. La connaissance d’informations exactes sur une personne ne garantit jamais l’identité de celui qui la contacte.
Cybermalveillance.gouv.fr recommande de vérifier directement l’interlocuteur, en utilisant les coordonnées officielles de l’organisme. Pour une demande inhabituelle, mieux vaut ouvrir soi-même le service habituel que suivre le lien reçu.
Les annuaires internes méritent aussi un contrôle
Cette affaire pose une question concrète aux organisations : quelles informations un compte ordinaire peut-il consulter sur les autres utilisateurs ? Un annuaire facilite les échanges. Mais des droits trop larges peuvent aussi accroître les conséquences d’un usage abusif.
La CNIL préconise de limiter les habilitations aux besoins réels. Elle recommande notamment de revoir régulièrement les accès et de retirer les autorisations devenues inutiles. Ce principe concerne aussi les espaces de formation, les communautés professionnelles et les portails de partenaires.
Pour un responsable informatique, vérifier la portée des accès permet d’identifier les données inutilement visibles avant un incident. Pour les équipes RH, un canal de recrutement clairement annoncé aide ensuite les candidats à contrôler les sollicitations. Le sujet rejoint celui de la réutilisation durable des données personnelles dérobées.
Le prochain élément décisif sera un bilan vérifiable : catégories de personnes concernées, informations réellement extraites et portée de la collecte des photographies. Ces précisions permettront d’adapter l’information des utilisateurs sans confondre une base de profils avec l’ensemble des étudiants du réseau.
À lire également sur Business Times
