Le Service national universel (SNU), dispositif public d’engagement des jeunes porté par le ministère de l’Éducation nationale, a informé les titulaires de comptes de sa plateforme d’une possible exposition de leurs données personnelles. Des vérifications sont en cours de son côté.
Des comptes de responsable de structure créés frauduleusement
Selon les services chargés de la sécurité des systèmes d’information du ministère, cités par le SNU, des individus malveillants auraient créé plusieurs comptes de responsable de structure sur la plateforme. Ces comptes leur auraient permis d’atteindre certaines informations des titulaires de comptes.
Le SNU évoque aussi une autre explication : il pourrait s’agir de la réutilisation d’une ancienne fuite de données, dans un contexte de divulgation de nombreuses bases. Il indique ne pas être en mesure, à ce stade, de confirmer si les données ont réellement été consultées ou diffusées.
Les informations citées
Le message du SNU énumère trois familles de données :
- l’identité et les coordonnées : nom, prénom, adresse e-mail, numéros de téléphone ;
- la localisation administrative du compte : région et département ;
- le suivi du compte : rôle, statut, dates de création, de dernière modification et de dernière activité, acceptation des conditions générales.
Certaines de ces données sont, selon le SNU, celles fournies à la création du compte. Le SNU n’a communiqué aucun volume, et son message ne précise pas quels profils de titulaires sont concernés.
Ce qu’ajoute le point de situation de l’ANSSI
Le 30 septembre 2026, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a publié un point de situation sur les violations de données touchant les services de l’État. Elle y indique avoir été informée dès le 7 septembre de la revendication d’une fuite de données sur un portail du SNU.
Selon l’agence, la fuite aurait été obtenue en exploitant une faille de type IDOR, que le rapport définit comme permettant d’accéder à un objet sans authentification ou identification préalable. Elle aurait exposé 275 000 utilisateurs, avec leurs identifiants, noms, adresses e-mail, numéros de téléphone, rôles, statuts, informations géographiques et données d’activité. Les investigations sont en cours.
Le rapport ne mentionne ni le message envoyé par le SNU, ni les comptes de responsable de structure créés frauduleusement. Les catégories citées recoupent largement celles du message, ce qui rend très probable qu’il s’agisse du même incident.
Un précédent en 2023
Ce n’est pas la première fois que la plateforme est visée. En décembre 2023, le ministère avait confirmé un vol de données touchant environ 150 000 personnes, soit quelque 62 500 volontaires et 87 000 parents, et le procureur de la République avait été saisi. Rien ne permet à ce stade de dire si les données de 2023 et celles citées aujourd’hui se recoupent.
Pourquoi rester vigilant
Un nom, une adresse e-mail et un numéro de téléphone suffisent à mener des sollicitations ciblées. Le rôle, la région ou la date de dernière activité d’un compte peuvent rendre crédible un faux message au nom du SNU ou du ministère, par e-mail comme par SMS. La fin programmée du dispositif offre un prétexte tout trouvé : clôture de compte, attestation d’engagement, régularisation de mission.
Données concernées :
- Nom et prénom
- Adresse e-mail
- Numéros de téléphone
- Rôle et statut du compte
- Région et département
- Dates de création, de modification et de dernière activité du compte
- Acceptation des conditions générales
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise