Hauts-de-France piratée : quand l’État confie ses secrets aux prestataires et perd la bataille
Le 3 octobre 2026, la Région Hauts-de-France a confirmé une cyberattaque sans précédent. La compromission concerne 782 000 enregistrements via deux prestataires informatiques, Atexo et Docaposte, entreprises responsables de la gestion informatique régionale.
Les chiffres sont vertigineux. Selon FrenchBreaches, 782 000 enregistrements et 48 Go de documents sensibles ont été volés, exposant lycéens, apprentis et entrepreneurs à des risques d’usurpation d’identité et de fraude bancaire. Une base entière, capturée en quelques heures par une infrastructure publique supposée protéger les plus vulnérables.
L’architecture du désastre
Ce piratage met en lumière une pratique commune mais dangereuse : viser les prestataires informatiques plutôt que les infrastructures régionales. Les attaquants ont contourné les défenses supposément renforcées de la Région en ciblant les maillons faibles de sa chaîne d’approvisionnement numérique. Cet incident met en lumière la vulnérabilité des institutions publiques dépendantes de prestataires externes, dont les failles de sécurité peuvent engendrer des brèches majeures.
Ce modèle d’externalisation, présenté comme une solution d’économies et de spécialisation, s’avère être un nid d’amphibologie sécuritaire. Les collectivités versent leurs données critiques chez des tiers, puis acceptent les promesses de conformité sans audits réels. Le résultat : plusieurs prestataires exposés comme des passoires numériques.
Données confidentielles sur le marché noir
Revendiquée par un hacker qui opère sous le pseudo de ChimeraZ, la base de données contiendrait des dizaines de milliers de RIB, des contrats d’apprentissage, mais aussi des noms, des prénoms, et des copies de pièces d’identité. Le pirate a publié son butin sur un forum cybercriminel dès le 3 octobre, trois jours avant la confirmation officielle.
Pire encore : le pirate assure avoir trouvé des mots de passe saisis par erreur dans le champ prévu pour le numéro de portable. Ces informations bancaires et identitaires constituent un matériel premium pour la fraude. Un fraudeur qui connaît le nom de sa cible et son numéro de téléphone peut se faire passer pour la Région, une banque ou un organisme public.
La réaction administrative : tard et insuffisante
Le 2 octobre, la Région a commencé à informer les usagers de l’incident et a déposé plainte le lendemain. Les plateformes Atexo et Docaposte ont été suspendues pour permettre des investigations. Une cadence administrative classique face à une urgence qui ne l’attendait pas.
Aucune communication proactive auprès des victimes. Aucun audit public des défaillances. Aucune explication sur les failles qui ont permis l’exfiltration de 90 000 fichiers distincts. La Région s’en tient au minimum légal : notification tardive, enquête interne, promesses de renforcement.
Ce piratage n’est que le dernier symptôme d’une malade chronique : l’État français confie sa transformation numérique à des prestataires insuffisamment contrôlés, puis découvre la brèche trop tard. Les collégiens et apprentis de Hauts-de-France, eux, auront les cicatrices.
