Les étudiants et les candidats aux piscines du réseau d'écoles 42 sont concernés par une fuite de données issues de l'intranet de l'école. L'École 42 a elle-même informé ses étudiants et ses candidats d'une fuite pouvant toucher jusqu'à 140 000 personnes de plusieurs campus, dont elle a eu connaissance le 9 octobre 2026. Une revendication de vente d'une base présentée comme celle de tous les étudiants du réseau a par ailleurs été publiée le même jour sur un forum cybercriminel.
Annonce du 9 octobre 2026 sur un forum cybercriminel.
Ce que reconnaît l'École 42
Dans son courriel, l'école cite les noms, les prénoms, les adresses e-mail étudiantes, les identifiants de connexion, des informations pédagogiques (notes, level, cursus, wallets, coalitions) et des références d'URL de photos de profil. Elle indique qu'aucun mot de passe ne figure parmi ces données et qu'aucune donnée sensible n'a été identifiée à ce stade. Les étudiants de 42 Next ne sont pas concernés.
Selon ses premières investigations, les données ont été extraites de manière automatisée depuis l'intranet, à partir d'un compte utilisateur disposant d'un accès légitime pour collecter ces informations mais en contradiction avec les conditions générales d'utilisation, qui interdisent de telles pratiques. Elles ne semblent pas avoir été rendues publiques et l'école n'a constaté aucune utilisation détournée. L'école a déposé plainte auprès des services de police français, une notification à la CNIL est en cours et les liens vers les photos de profil ont été rendus inopérants.
Ce que montre l'échantillon publié par l'acteur
L'École 42 est une école d'informatique gratuite fondée à Paris, déployée en réseau de campus dans une trentaine de pays. L'acteur annonce 140 080 personnes et 94 427 photos de profil, sans prix affiché.
Selon l'analyse de Fuites Infos, l'échantillon publié par l'acteur compte 1 000 profils distincts, dont les liens renvoient à l'intranet de l'école, pour la plupart nominatifs, avec nom, adresse e-mail, campus, cursus, grade et, dans plus de deux tiers des cas, une photo de profil, auxquels se mêlent des comptes techniques, de personnel et de test.
Des candidats autant que des étudiants
L'échantillon est composé en majorité de candidats aux piscines d'admission, le cursus principal n'y apparaissant que marginalement. Il ne permet de vérifier ni le volume ni la composition annoncés, et le chiffre de l'école comme celui de l'acteur restent non vérifiables à ce stade.
Pourquoi les personnes concernées sont exposées
Un nom associé à une adresse e-mail et à une photo de profil suffit à rédiger des messages d'hameçonnage crédibles au nom de l'école, par exemple une fausse demande de reconnexion à un compte ou un faux message d'un campus. La photo permet aussi d'identifier une personne et de la rattacher à son campus, ce qui peut servir à la cibler ou à créer de faux profils à son nom.
Données concernées :
- Nom complet, prénom et nom
- Adresse e-mail
- Identifiant de connexion
- Photos de profil
- Données scolaires (campus, cursus, grade)
- Données d'adhésion
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise