Cyberattaque des Hauts-de-France : la faille était chez les prestataires

En bref : le 3 octobre 2026, la Région Hauts-de-France a annoncé une fuite de données personnelles. Son propre système n'était pas en cause : l'attaque a visé deux plateformes que des prestataires géraient pour elle, Atexo pour les aides régionales et Docaposte pour la Carte Génération #HDF. Selon la Région, environ 545 000 personnes sont concernées, avec des RIB dans une partie des cas. C'est le schéma le plus banal des fuites de données : la donnée appartient à une organisation, mais elle vit chez quelqu'un d'autre. Si une agence, un éditeur ou un hébergeur fait tourner vos logiciels, la même question se pose chez vous. Voici les faits, ce que doivent faire les personnes concernées, et les questions à poser à votre prestataire.

---

Ce qu'on sait, et ce qu'on ne sait pas

Confirmé par la Région :

• 3 octobre. La Région annonce une cyberattaque « ayant permis un accès non autorisé à des données personnelles traitées pour son compte » chez deux prestataires, Atexo et Docaposte (filiale de La Poste). Les deux plateformes sont fermées (Next).
• Les données : chez Atexo, des noms, prénoms, adresses e-mail, types de bénéficiaires et habilitations. Chez Docaposte, surtout des contrats d'apprentissage et des RIB.
• 5 octobre. Xavier Bertrand chiffre l'incident à environ 545 000 personnes : au maximum 515 000 sur les 745 000 inscrits de la plateforme d'Atexo, et près de 30 000 bénéficiaires et partenaires de la Carte Génération. Pour Atexo, il n'est pas encore possible de savoir si les RIB « ont été consultés et ont pu être extraits » (AFP via Techniques de l'Ingénieur).
• Les suites : plainte déposée, ANSSI alertée, usagers en cours d'information. La Région précise que son système d'information interne n'a pas été touché. Le site de la Carte Génération a rouvert le 5 octobre à midi (Selectra).

Revendiqué, pas confirmé : sur un forum, un pirate affirme détenir les données de 708 068 personnes et 36 720 RIB. C'est l'origine du chiffre de « 700 000 victimes » repris par plusieurs médias. Le chiffre officiel est plus bas.

Inconnu : la façon dont l'attaquant est entré. La Région dit seulement que les prestataires ont identifié les failles et son mode opératoire, et qu'ils ont engagé des corrections.

Si vous êtes concerné

Le danger principal n'est pas l'e-mail volé, c'est la combinaison d'un RIB, d'un nom et d'une adresse, qui suffit à tenter un mandat de prélèvement frauduleux ou une arnaque bien ciblée. Les gestes utiles, détaillés par Selectra :

1. Dans votre banque en ligne, ouvrez la liste des créanciers autorisés (souvent sous « prélèvements » ou « mandats ») et révoquez tout nom inconnu.
2. Surveillez vos opérations, y compris les petits montants.
3. Contestez par écrit tout prélèvement non autorisé : vous avez en général 13 mois pour le faire.
4. Ne renvoyez jamais un RIB ou une pièce d'identité après un message qui mentionne la Carte Génération ou une aide régionale. Pour vérifier un dossier, tapez vous-même l'adresse du site de la Région.

Le vrai sujet : vos données vivent chez quelqu'un d'autre

Pour une collectivité comme pour une PME, le cas est le même. Un logiciel métier, un extranet clients, une plateforme de candidatures ou un outil de devis sont presque toujours développés, hébergés ou maintenus par un tiers. Juridiquement, vous restez responsable des données. Techniquement, leur sécurité dépend de choix que vous ne voyez pas : où tournent les serveurs, qui peut s'y connecter, où sont rangés les mots de passe, qui d'autre intervient dans la chaîne.

Ces questions se posent rarement à la signature, et presque jamais ensuite. Voici celles que nous poserions à n'importe quel prestataire, nous compris :

1. Où sont hébergées nos données ? Quel fournisseur, quel pays, quelle région.
2. Qui peut se connecter aux serveurs et à la base, et par quel chemin ? Si une page d'administration ou un outil de base de données est joignable depuis Internet, c'est une porte de plus.
3. Où sont stockés les mots de passe et les clés ? Dans le code ou un fichier de configuration, ils finissent un jour dans une archive ou un dépôt.
4. Quels sous-traitants interviennent derrière vous ? Hébergeur, prestataire de paiement, freelance : chaque maillon a un accès.
5. Comment les failles connues sont-elles corrigées, et à quel rythme ?
6. En cas d'incident, sous quel délai nous prévenez-vous, et avec quelles informations ? Le RGPD nous laisse 72 heures pour notifier la CNIL : si le prestataire met une semaine à nous alerter, ce délai est déjà dépassé.
7. Quelles sauvegardes existent, combien de temps sont-elles gardées, et une restauration a-t-elle déjà été testée ?
8. Si nous partons, que récupérons-nous ? Le code, la configuration, la documentation, ou seulement un export de la base.

Un prestataire sérieux répond à chacune par écrit. Nous avons détaillé la logique dans notre article sur l'hébergement par le prestataire, et la façon de traiter ces échanges avec un grand compte dans notre article sur le questionnaire de sécurité.

Nos réponses à ces questions

Nous hébergeons la plupart des logiciels que nous développons, donc ces questions nous sont posées. Voici nos réponses, telles que publiées sur notre page sécurité :

• Hébergement : Google Cloud, par défaut dans la région europe-west1, en Belgique. Les bases sont des instances PostgreSQL gérées, sauvegardées automatiquement chaque jour, avec une conservation de sept jours.
• Accès : les outils d'administration et l'accès aux bases ne sont joignables que depuis notre réseau privé Tailscale, jamais depuis Internet. Les serveurs n'ont pas d'adresse IP publique.
• Secrets : les identifiants vivent dans HashiCorp Vault et Google Secret Manager. Ils ne figurent jamais dans le code, dans un fichier de configuration ni dans le dépôt.
• Corrections : Dependabot surveille les dépendances, une analyse programmée repasse régulièrement sur chaque dépôt en service, et chaque modification passe des contrôles de sécurité automatiques qui bloquent la fusion en cas de problème.
• Traçabilité : toute l'infrastructure est décrite en code et ne change que par des modifications relues. On sait qui a changé quoi, et quand.
• Sortie : le code, la configuration de l'infrastructure et la documentation vous appartiennent, et c'est écrit dans le contrat. La plateforme peut être redéployée dans votre propre compte cloud.

Et ce que nous n'avons pas, parce qu'une liste sans limites ne vaut rien : nous ne sommes certifiés ni SOC 2 ni ISO 27001, nos sauvegardes quotidiennes ne permettent pas de revenir à une minute précise (nous le configurons quand un projet l'exige), et notre réseau privé tient l'administration hors d'Internet sans encore restreindre chaque personne à des services précis.

À lire aussi : notre page sécurité, faut-il confier l'hébergement à son prestataire, et le RGPD et l'IA face aux données personnelles.