Une partie des utilisateurs de France VAE a reçu le 13 août 2026 une notification officielle signalant un incident de sécurité. Selon cette communication, la plateforme publique de validation des acquis de l'expérience a été touchée le 10 août 2026, et des informations d'identité ainsi que des éléments du parcours de VAE ont été exposés.
Ce que France VAE indique dans sa notification
Le portail vae.gouv.fr, géré par la Délégation générale à l'emploi et à la formation professionnelle (DGEFP), accompagne les personnes qui cherchent à faire reconnaître leur expérience par une certification professionnelle. D'après la notification, les données exposées comprennent l'identité complète et les coordonnées : civilité, nom et prénom, adresse électronique, téléphone, adresse postale, date et lieu de naissance, pays et nationalité. Elles incluent aussi des informations propres au parcours de VAE, notamment les certifications professionnelles visées et le financement du parcours.
Le nombre de personnes concernées n'est pas communiqué. L'entité indique avoir sécurisé ses systèmes et travailler avec des experts en cybersécurité. Elle ne précise pas la cause technique et ne confirme pas avoir notifié la CNIL.
Pourquoi les données des candidats à la VAE sont sensibles
Une date et un lieu de naissance, une nationalité et une adresse réunis dans une même fiche forment un socle d'identité complet, recherché pour usurper une identité ou engager des démarches au nom d'autrui. Les informations sur la certification visée et sur le financement du parcours ajoutent un contexte précis : elles permettraient de rédiger des messages crédibles se réclamant d'un organisme de formation, d'un financeur ou du service public, par exemple pour réclamer un paiement ou des justificatifs.
Ce qu'ajoute le point de situation de l'ANSSI
Le 30 septembre 2026, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié un point de situation sur les violations de données touchant les services de l'État. Il confirme l'incident de France VAE et en donne la cause.
Selon l'agence, le portail a été compromis le 8 août 2026, deux jours avant la date d'incident indiquée aux utilisateurs, par l'exploitation d'une vulnérabilité de Metabase, un outil de statistiques. Elle a donné à l'attaquant un accès privilégié. L'intégralité des données des utilisateurs a été exfiltrée : identité, coordonnées, certifications, qualifications, expériences, évaluations et financement des parcours.
L'instance vulnérable a été mise à jour et les mots de passe de l'ensemble des comptes renouvelés. Le nombre de personnes concernées n'est toujours pas communiqué.
Détails techniques :
- Incident survenu le 10 août 2026, notification envoyée le 13 août 2026
- Portail géré par la DGEFP
- Compromission le 8 août 2026 via une vulnérabilité de Metabase, selon l'ANSSI
- Exfiltration de l'intégralité des données utilisateurs, selon l'ANSSI
- Notification à la CNIL non confirmée, volume non communiqué
Données concernées :
- Civilité, nom et prénom
- Adresse email et numéro de téléphone
- Adresse postale et pays
- Date et lieu de naissance
- Nationalité
- Données professionnelles (certifications professionnelles visées)
- Données scolaires et de parcours (dont financement du parcours de VAE)
- Qualifications, expériences et évaluations (selon l'ANSSI)
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise