La région Hauts-de-France a confirmé le 3 octobre 2026 qu’une cyberattaque visant deux de ses prestataires, Atexo et Docaposte, avait donné « un accès non autorisé à des données personnelles » traitées pour son compte. Le 5 octobre, son président Xavier Bertrand a évalué à près de 545 000 le nombre de personnes concernées. L’affaire illustre une fragilité des services publics locaux : la protection des données des habitants dépend aussi de leurs sous-traitants.
Deux portails d’aides aux habitants visés
Selon la région, citée par Next, Atexo, un éditeur de logiciels destinés aux collectivités, gérait le portail des aides régionales, et Docaposte, la filiale numérique de La Poste, la carte Génération #HDF. D’après Clubic, cette carte permet aux lycéens et aux apprentis de bénéficier d’une aide pour leurs manuels ou leur équipement. Selon Next, les deux sites ont été fermés et, d’après la région, les prestataires ont repéré les failles exploitées ainsi que la méthode employée par l’attaquant, puis engagé des corrections.
La collectivité assure que son propre système d’information n’a pas été atteint et juge l’incident « désormais résolu », selon la dépêche de l’AFP publiée par Techniques de l’Ingénieur. Elle a informé l’ANSSI et déposé plainte auprès des autorités compétentes.
Un bilan encore mouvant
Devant le conseil régional réuni en séance plénière le 5 octobre, Xavier Bertrand a précisé que la fuite concernerait au maximum 515 000 des 745 000 personnes inscrites sur la plateforme d’Atexo, auxquelles s’ajouteraient près de 30 000 bénéficiaires et partenaires de la carte gérée par Docaposte, toujours selon l’AFP. Côté Atexo, les informations exposées sont les noms, prénoms, adresses électroniques, le type de tiers et les habilitations. Côté Docaposte, il s’agirait surtout de contrats d’apprentissage et de relevés d’identité bancaire. À cette date, la région ignorait encore si des RIB avaient été consultés ou copiés sur la plateforme d’Atexo.
Le pirate qui revendique l’attaque, sous le pseudonyme ChimeraZ, avance des volumes plus importants, que la région n’a pas vérifiés. Ses revendications, signalées par les sites FrenchBreaches et Cyberattaque.org et reprises par Clubic, évoquent une base de 782 583 lignes où apparaîtraient 708 068 personnes, ainsi que 48 Go de données et 90 011 fichiers PDF. FrenchBreaches dit avoir compté 36 720 RIB dans les fichiers revendiqués ; le pirate affirme en outre détenir 15 118 attestations d’hébergement et 37 585 contrats d’apprentissage. La collectivité refuse de reprendre ces chiffres à son compte : elle se dit incapable, à ce stade, de confirmer le volume réellement extrait.
Le maillon des prestataires
Il ne s’agit pas d’une intrusion au cœur de l’informatique régionale, mais d’une compromission chez des entreprises qui traitent des données pour le compte de la région. Le risque est documenté : dans son point de situation du 30 septembre sur les fuites touchant l’État, l’ANSSI range la sous-traitance parmi les vulnérabilités récurrentes, un prestataire piraté pouvant laisser fuir par rebond des données de son client.
La région n’en est pas à sa première attaque. En octobre 2025, le rançongiciel Qilin avait paralysé environ 80 % de ses lycées, rappelle Clubic, en précisant qu’aucun lien technique n’a été établi entre les deux épisodes.
Quels risques pour les personnes concernées ?
Les usagers concernés ont commencé à être prévenus, indique Next. Selon Clubic, la région s’engage à informer chaque personne si l’enquête confirme l’extraction d’autres données, RIB compris. Le site rappelle qu’un nom, une adresse et un IBAN ne suffisent pas pour entrer dans un compte bancaire. Le danger principal est ailleurs : muni de ces éléments, un escroc peut se faire passer de façon crédible pour une banque ou une administration et réclamer des codes de sécurité.
Les conseils diffusés vont dans ce sens : vérifier l’expéditeur de tout message qui se réclame de la région, recontacter un organisme par ses coordonnées officielles en cas de doute, changer un mot de passe utilisé sur d’autres services et surveiller ses relevés pour signaler à sa banque tout prélèvement inconnu. La région rappelle qu’elle ne réclame par courriel ni mot de passe ni coordonnées bancaires.
Questions fréquentes
Qui est concerné par la fuite de données des Hauts-de-France ?
Les personnes inscrites sur le portail des aides régionales géré par Atexo et les bénéficiaires ou partenaires de la carte Génération #HDF gérée par Docaposte. La région a commencé à prévenir les usagers concernés et estime qu’aucune démarche particulière n’est nécessaire auprès d’elle à ce stade, selon Clubic.
Un RIB volé permet-il de vider un compte bancaire ?
Non, un RIB seul ne donne pas accès au compte. Il peut en revanche rendre plus crédibles des tentatives d’hameçonnage. Surveiller ses relevés et signaler tout prélèvement non reconnu reste la précaution de base.
Cette attaque est-elle liée à celle qui a visé les lycées en 2025 ?
Aucun lien technique n’a été établi à ce jour avec l’attaque par rançongiciel Qilin d’octobre 2025, d’après les informations rapportées par Clubic.
Sources
- Une cyberattaque frappe les Hauts-de-France et expose potentiellement des RIB — Clubic, 2026-10-04
- Cyberattaque dans les Hauts-de-France : plus de 500 000 personnes touchées selon la région (AFP) — Techniques de l'Ingénieur / AFP, 2026-10-05
- Fuite de données à la région Hauts-de-France, avec « potentiellement des RIB » — Next, 2026-10-05
- REACTIV – Point de situation, septembre 2026 (document PDF) — CERT-FR / ANSSI, 2026-09-30