Parcoursup Occitanie : fuite de données personnelles affectant 705 000 anciens candidats des sessions 2023 et 2025 confirmée par le ministère suite à une cyberattaque en octobre 2025, enquête CNIL et plainte au parquet

Le ministère de l’Enseignement supérieur a confirmé qu’une vaste fuite de données a touché le fichier Parcoursup d’Occitanie, affectant 705 000 anciens candidats. Selon le communiqué transmis jeudi 23 avril, les informations concernent des personnes ayant participé aux sessions 2023 et 2025 et ont été dérobées lors d’une cyberattaque survenue en octobre 2025.

Étendue et nature des données compromises

Les éléments dérobés comprennent des informations personnelles sensibles : noms et prénoms, nationalités, dates de naissance, adresses postales et électroniques, ainsi que des numéros de téléphone. Le ministère précise également que des données liées au parcours scolaire ont été prises — mentions du statut de boursier, éléments relatifs à la scolarité et au parcours de formation des candidats.

Pour les mineurs, la fuite inclut des renseignements complémentaires : le lien de parenté avec les responsables légaux et la catégorie socio‑professionnelle de ces derniers, lorsque les candidats résidaient en Occitanie ou y avaient formulé des vœux pendant les sessions 2023 ou 2025. Le périmètre annoncé rassemble donc à la fois des données d’identification et des informations socio‑éducatives qui peuvent présenter des risques accrus en cas d’usage malveillant.

Comment l’attaque a-t-elle été possible ?

Le ministère attribue l’incident à une utilisation frauduleuse d’un compte donnant accès à un module de gestion des données Parcoursup, module qui, d’après le communiqué, est normalement réservé aux personnels de la région académique Occitanie. L’alerte a été signalée aux équipes ministérielles courant mars, puis formalisée par le communiqué publié le 23 avril.

Le recours à un compte légitime compromis (technique parfois qualifiée de « compromission d’identifiants ») est une méthode fréquente dans les intrusions visant des systèmes administratifs : elle permet à un acteur malveillant d’exploiter des autorisations déjà existantes, plutôt que de chercher à percer des défenses réseau plus robustes. Le ministère n’a toutefois pas détaillé dans son annonce les conditions exactes de la compromission (phishing, réutilisation de mot de passe, attaque interne, etc.), ni le ou les acteurs potentiellement responsables.

Face à cette découverte, les autorités indiquent avoir saisi la Commission nationale de l’informatique et des libertés (CNIL) et déposé plainte auprès du parquet de Paris. Ces démarches visent à lancer une enquête judiciaire et à garantir l’application des procédures de protection et d’information des personnes concernées, conformément au Règlement général sur la protection des données (RGPD) et au droit français.

Le communiqué ministériel ne précise pas, en revanche, si des mesures d’accompagnement individuelles (courriels d’alerte, recommandations de protection d’identité, offres de surveillance du crédit, etc.) ont déjà été diffusées aux personnes touchées, ni si des actions techniques complémentaires — changement des accès, audits ou renforcement des contrôles d’accès — ont été menées pour prévenir de nouvelles exfiltrations.

Compte tenu de la nature des données exfiltrées, les risques exposés vont de la réception de sollicitations frauduleuses (hameçonnage, usurpation d’identité) à des usages plus ciblés des informations personnelles et familiales. Les mineurs et leurs familles, dont certains éléments socio‑professionnels ont été divulgués, constituent une catégorie particulièrement vulnérable en cas d’exploitation malveillante des données.

Le ministère n’a pas détaillé de calendrier précis sur la communication à venir ni sur l’avancement des investigations. La saisine de la CNIL implique, en principe, l’ouverture d’une procédure d’instruction administrative qui pourra conduire à des sanctions ou recommandations si des manquements aux obligations de protection des données sont établis.

Évaluation de la fiabilité des sources citées : le texte original se fonde principalement sur un communiqué du ministère de l’Enseignement supérieur. En tant que source officielle, un communiqué ministériel constitue une source primaire et généralement fiable pour l’annonce d’un incident et des mesures initiales prises par l’administration. La mention de la saisine de la CNIL et du dépôt de plainte renforce la traçabilité administrative de l’affaire.

Cependant, le communiqué présente des limites d’information : il ne fournit pas de détails techniques sur la méthode d’accès frauduleux, ni sur les preuves quant à l’identité ou aux motivations des auteurs. À ce stade, il s’agit d’une information institutionnelle crédible mais partielle — utile pour confirmer l’incident et ses conséquences générales, mais insuffisante pour comprendre l’ampleur opérationnelle, les vulnérabilités exploitées et les remèdes techniques appliqués. L’absence de sources indépendantes ou d’éléments d’expertise externe dans le texte original réduit la profondeur d’analyse possible.

Pour une compréhension plus complète, il faudra suivre les communiqués suivants du ministère, les conclusions éventuelles de la CNIL et les informations rendues publiques par le parquet de Paris. Ces documents permettront de confirmer les circonstances exactes de l’intrusion, les responsabilités et les mesures correctives prises pour protéger les personnes concernées.