Hauts-de-France : 545 000 personnes touchées selon la Région

Un bilan officiel remplace le chiffre non vérifié de 700 000

Le 3 octobre, la Région avait confirmé qu’un accès non autorisé à des données personnelles traitées pour son compte avait visé deux prestataires : ATEXO et Docaposte. Elle ne pouvait alors pas indiquer combien de personnes étaient concernées. Deux jours plus tard, lors d’une séance du conseil régional, Xavier Bertrand a donné un premier bilan chiffré repris par BFMTV : près de 545 000 personnes sont concernées au total.

Ce chiffre est différent des plus de 700 000 personnes évoquées les premiers jours par des publications sur un forum cybercriminel. Cette différence compte. Le premier est un bilan communiqué par la collectivité à partir de ses investigations. Le second reste une revendication : il peut compter des lignes techniques, des doublons ou des fichiers qui ne correspondent pas à autant de personnes distinctes. Il ne faut donc plus présenter le chiffre de 700 000 comme le bilan de la Région.

Deux prestataires et deux périmètres de données

Sur la plateforme gérée par ATEXO, la Région indique que les informations de 515 000 personnes au maximum ont fuité parmi les 745 000 personnes enregistrées. Les catégories citées sont les noms, prénoms, adresses e-mail, le type de tiers et les habilitations. Une habilitation peut indiquer le rôle ou le niveau d’accès associé à un compte ; elle ne donne pas, à elle seule, un accès à ce compte.

Le second périmètre concerne Carte Génération #HDF, une plateforme hébergée par Docaposte qui sert notamment à des lycéens et apprentis pour des aides régionales. Selon le bilan rapporté par BFMTV, près de 30 000 bénéficiaires et partenaires y seraient concernés. Xavier Bertrand a évoqué principalement des contrats d’apprentissage et des RIB pour cette partie de l’incident. La formulation reste prudente : la Région n’avait pas encore établi si les RIB avaient été consultés et extraits.

L’incident concerne les prestataires, pas le système interne régional

La Région a expliqué que son système d’information interne n’avait pas été touché. L’accès non autorisé concerne des données traitées par ses prestataires. Ce point ne réduit pas les conséquences possibles pour les personnes concernées : lorsqu’une collectivité confie une plateforme ou un traitement à un tiers, les données qui y sont gérées peuvent être exposées même si les autres systèmes de la collectivité ne sont pas atteints.

Les dates du mécanisme technique ne sont pas entièrement publiques. 01net rapporte que l’attaque aurait commencé le 25 septembre et n’aurait été détectée que le 1er octobre. La Région a déclaré l’incident résolu, fermé les plateformes touchées, déposé plainte et indiqué avoir averti l’ANSSI ainsi que les autorités compétentes. Les personnes concernées doivent aussi être informées par la Région.

Ce que ces informations permettent à un escroc

Nom, prénom et adresse e-mail permettent déjà de fabriquer un message beaucoup plus crédible qu’un envoi massif. Un fraudeur peut se faire passer pour la Région, Carte Génération #HDF, une banque ou un organisme lié à une aide régionale et citer un détail réel pour pousser sa cible à cliquer, appeler un faux numéro ou donner un code de validation.

Si la présence de RIB était confirmée pour une personne donnée, la vigilance sur les prélèvements et les démarches prétendument bancaires deviendrait encore plus importante. Cela ne prouve pas qu’une fraude est en cours, ni qu’un RIB permet à lui seul de vider un compte. En revanche, il peut rendre une usurpation plus convaincante. Les mots de passe ne font pas partie des catégories confirmées dans le bilan régional : les changer par principe ne répond donc pas au risque documenté ici.

Les réflexes utiles pendant les notifications

Ne répondez pas à un e-mail, un SMS ou un appel inattendu qui évoque votre dossier, une aide ou un remboursement, même s’il contient votre identité. Ne donnez jamais un code reçu par SMS ou dans une application bancaire pour « sécuriser » une démarche. Une demande urgente n’est pas une preuve d’authenticité.

Pour vérifier une information, retrouvez vous-même le site de la Région, de votre banque ou de l’organisme cité. N’utilisez ni le lien ni le numéro transmis dans le message reçu. Surveillez également vos opérations bancaires habituelles et contactez votre banque par ses coordonnées connues si vous constatez un prélèvement ou une opération que vous ne reconnaissez pas.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier, dossier par dossier, quelles données ont été consultées ou extraites. La présence de RIB dans le périmètre ATEXO n’est pas confirmée, et pour le périmètre Docaposte la Région indiquait encore devoir établir s’ils avaient été consultés puis extraits. Nous ne pouvons pas non plus confirmer si chaque personne inscrite sur les plateformes a reçu une notification individuelle.

Les revendications observées par FrenchBreaches évoquent 782 583 enregistrements, environ 708 000 personnes et 90 011 documents. Ces volumes, l’authenticité de tous les fichiers, leur date et leur rattachement intégral à l’incident confirmé ne sont pas établis par la Région. Le vecteur technique de l’attaque n’a pas été rendu public.

Sources : BFMTV ↗ · 01net ↗ · DNA ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.