Piratage d’e-campus : ce qui a réellement fuité sur les agents de la police nationale
chiffres confirmés, chiffres revendiqués et suites judiciaires.
Trois éléments majeurs sont arrivés depuis la première publication. L’attaque a été revendiquée par un profil connu sous le pseudonyme HexDex. Une personne a été interpellée en Vendée en avril 2026. Et une seconde fuite, sans lien technique, a touché en juin la fédération sportive de la police nationale.
Ce qui est confirmé, ce qui ne l’est pas
La distinction est essentielle dans ce dossier, parce que les chiffres qui circulent proviennent de sources de nature très différente et n’ont pas la même valeur.
Ce que la direction générale de la police nationale a confirmé publiquement : une intrusion sur e-campus, plateforme de formation à distance administrée par un prestataire externe pour le compte du ministère de l’Intérieur, les 17 et 18 mars 2026. Des données d’identification de policiers actifs, de personnels administratifs et d’agents contractuels ont été consultées par un acteur malveillant. Des mesures correctives ont été prises dès la détection pour sécuriser les accès et évaluer l’ampleur de la compromission.
Une précision institutionnelle a son importance, et elle a été formulée explicitement : ces données ne sont pas issues des fichiers de police. Il ne s’agit donc pas d’informations provenant des applications métier ni des bases d’enquête, mais de données périphériques liées à l’environnement de formation.
Ce qui n’a pas été confirmé officiellement : le nombre exact de personnes concernées, le périmètre définitif de la fuite et le mode d’intrusion. La communication institutionnelle est restée sur ce point volontairement prudente, ce qui est habituel tant qu’une enquête judiciaire est en cours.
D’où vient le chiffre de 170 000
Le nombre repris partout mérite d’être retracé, parce qu’il a changé de nature en circulant.
Il provient de deux sources distinctes. La première est le hacker éthique connu sous le pseudonyme SaxX, de son nom Clément Domingo, qui a relayé publiquement l’alerte adressée aux agents et évoqué les données de plus de 170 000 personnes mises en vente. La seconde est l’attaquant lui-même : le profil HexDex, revendiquant la compromission sur un forum spécialisé, affirmait détenir une base de 176 317 profils uniques.
Le détail qui change tout se trouve dans la composition de cette base. Selon la revendication, elle ne concernait pas uniquement des policiers, mais aussi des gendarmes, des fonctionnaires et des personnels administratifs de l’État. Parler de « 170 000 policiers » est donc doublement imprécis : le chiffre n’est pas officiel, et il recouvre une population plus large que les seuls effectifs de la police nationale.
Un point de méthode explique une partie de ces écarts. Un volume de profils extraits d’une plateforme ne correspond pas au nombre de personnes réellement identifiables : une base peut contenir des comptes de test, des doublons, des comptes désactivés ou des enregistrements incomplets. À l’inverse, un décompte institutionnel se limite souvent aux personnes qu’il faut notifier, ce qui produit un chiffre plus bas. Les deux peuvent être exacts et ne pas mesurer la même chose.
Certains comptes rendus de presse spécialisée ont d’ailleurs retenu des ordres de grandeur nettement inférieurs, autour de 17 000 agents, signe que le périmètre réel restait indéterminé au moment des premières publications. La prudence reste de mise : un volume revendiqué par un attaquant sert aussi sa réputation sur les forums où il opère.
Quelles données ont fuité
Les descriptions publiées diffèrent sur le détail, ce qui invite à distinguer le noyau confirmé des éléments rapportés par des tiers.
- Données d’identification : noms, prénoms, adresses de messagerie professionnelles. C’est le noyau confirmé par l’institution.
- Éléments de localisation : ville, pays, fuseau horaire selon plusieurs comptes rendus, certains évoquant également des adresses de résidence.
- Données d’usage de la plateforme : dates de première et de dernière connexion, modules de formation suivis, certifications ou badges obtenus, outils et portails consultés.
- Ce qui n’est pas concerné, selon la direction générale : les fichiers de police, les applications métier et les bases d’enquête.
Un mot sur les divergences entre comptes rendus, qui ne relèvent pas de la négligence. Dans les premières semaines suivant une fuite, les descriptions circulent à partir de trois canaux distincts : le courrier officiel adressé aux personnes concernées, l’annonce publiée par l’attaquant sur un forum, et l’examen d’un échantillon diffusé publiquement. Ces trois canaux ne décrivent pas exactement le même ensemble, et aucun ne donne le fichier complet. Le périmètre définitif n’est généralement établi qu’à l’issue des investigations techniques.
La partie la plus sous-estimée est la troisième. Des noms et des adresses professionnelles circulent déjà largement dans d’autres fuites ; leur valeur marginale est faible. Un historique de formation, en revanche, dit quelque chose de la spécialité d’un agent, de son niveau d’habilitation et de son parcours. C’est précisément ce type d’information qui transforme un message d’hameçonnage générique en message crédible.
Un courriel évoquant un module précis suivi trois mois plus tôt n’a rien à voir, en taux de clic, avec un message générique. C’est le mécanisme central du risque dans cette affaire.
La chronologie complète
Le dossier ne s’est pas arrêté à la découverte de la fuite. Il a connu une suite judiciaire rapide, largement absente des premiers comptes rendus.
Les 17 et 18 mars 2026, l’intrusion se produit sur e-campus. Elle passe inaperçue plusieurs semaines. Le 30 mars, le parquet de Paris saisit la brigade de lutte contre la cybercriminalité de la préfecture de police. À la mi-avril, la revendication apparaît sur un forum spécialisé, puis la direction générale confirme publiquement le piratage et un courriel d’alerte est adressé aux agents.
La suite intervient le 20 avril 2026, certains comptes rendus retenant le lendemain : un homme né en 2004 est interpellé en Vendée, alors qu’il s’apprêtait selon les enquêteurs à publier un nouveau jeu de données volées. Placé en garde à vue, il a reconnu l’utilisation du pseudonyme HexDex. Son matériel informatique a été saisi. Les enquêteurs relient ce profil à une centaine de signalements de piratages depuis la mi-décembre 2025.
L’enquête est pilotée par la brigade de lutte contre la cybercriminalité et la section spécialisée du parquet de Paris, avec le concours de l’office français de lutte contre la cybercriminalité. Le cadre pénal mobilisé repose sur les infractions d’accès et de maintien frauduleux dans un système de traitement automatisé de données et de recel, avec des peines pouvant atteindre cinq ans d’emprisonnement et 375 000 euros d’amende. La présomption d’innocence s’applique intégralement.
Pourquoi cette fuite est particulière
Une base de contacts professionnels qui fuite est un incident courant. Une base concernant des agents des forces de l’ordre change de catégorie, pour trois raisons cumulatives.
La première tient à l’hameçonnage ciblé. Une adresse professionnelle associée à un parcours de formation permet de rédiger un message qui reprend le vocabulaire interne, mentionne un module réellement suivi et paraît provenir du service concerné. Le contexte général n’aide pas : notre analyse relative aux courriels malveillants représentant déjà une part considérable du trafic montre à quel point le volume de tentatives est élevé même sans donnée personnalisée.
La deuxième tient au recoupement. Une fuite isolée a une valeur limitée ; croisée avec d’autres bases circulant déjà, elle permet de reconstituer un profil beaucoup plus complet, associant identité professionnelle, coordonnées personnelles et parfois localisation. C’est ce mécanisme d’agrégation, plus que la fuite elle-même, qui inquiète les spécialistes.
Une quatrième dimension mérite d’être mentionnée, plus lente et moins visible : la durée de vie des données. Une adresse professionnelle change rarement, un matricule jamais, un historique de formation reste exact indéfiniment. Contrairement à un numéro de carte bancaire que l’on remplace en quelques jours, ces éléments gardent leur valeur pendant des années. Une base revendue trois fois sur des forums différents continue d’alimenter des campagnes bien après que l’incident a disparu de l’actualité.
La troisième tient à la nature des personnes concernées. Identifier des agents, reconstituer des affectations ou préparer une démarche d’intimidation relève d’un risque qui dépasse largement la protection des données. Les autorités elles-mêmes l’ont souligné en appelant à une vigilance individuelle renforcée, y compris pour l’entourage des agents.
Une série, pas un incident isolé
Traiter cette affaire isolément revient à en manquer l’essentiel. Elle s’inscrit dans une séquence dense, documentée sur l’ensemble de l’année 2026.
- Mars 2026 : compromission signalée sur les systèmes du ministère de l’Éducation nationale, avec des données d’agents revendues en ligne, revendication attribuée au même profil.
- Mars 2026 : intrusion sur e-campus, objet du présent dossier.
- Avril 2026 : interpellation en Vendée, après une centaine de signalements de piratages reliés au même pseudonyme depuis décembre 2025, visant notamment une quinzaine de fédérations sportives et le système d’information sur les armes.
- Juin 2026 : la fédération sportive de la police nationale reconnaît une compromission de sa base de licenciés, survenue autour des 19 et 20 juin, sans lien technique établi avec l’affaire e-campus.
- Juillet 2026 : revendication portant sur les adhérents d’une association liée à la police, de bien plus faible ampleur.
Le cas de juin mérite un développement. Les données concernées couvriraient une période allant de 2012 à 2026, soit quatorze années d’archives, pour un volume avancé de 224 076 enregistrements, très supérieur au nombre de licenciés actuels. Y figureraient identité, matricule, service d’affectation, coordonnées, certificats médicaux et anciennes convocations. La fédération a déposé plainte et saisi la CNIL. L’attaquant revendique l’exploitation d’une faille de contrôle d’accès élémentaire, où la simple modification d’un identifiant dans une adresse donne accès aux données d’un autre compte. Ces éléments restent revendiqués et non vérifiés indépendamment.
Cette accumulation prolonge une tendance déjà mesurée, décrite dans notre analyse des fuites de données massives touchant la France et dans celle des attaques visant désormais les collectivités de toutes tailles.
La leçon de la chaîne des prestataires
Le point commun de plusieurs de ces affaires n’est pas la sophistication de l’attaque. C’est le choix de la cible : non pas l’institution elle-même, mais l’outil externalisé qui détient ses données.
Le raisonnement de l’attaquant est simple. Un ministère dispose de moyens de défense, d’équipes dédiées et de procédures. Une plateforme métier confiée à un prestataire dispose souvent d’un budget de sécurité sans commune mesure, alors qu’elle héberge exactement les mêmes données. Le maillon le plus faible commande le niveau de protection réel de l’ensemble.
Trois défaillances reviennent dans les analyses publiées. Le délai de détection, ici de plusieurs semaines, qui laisse à l’attaquant tout le temps d’exfiltrer et de revendre. La supervision du prestataire, rarement outillée pour repérer une extraction massive depuis un compte légitime. Et le niveau technique requis, souvent modeste : plusieurs de ces intrusions reposent sur des erreurs de conception connues plutôt que sur des techniques avancées.
Le cadre réglementaire évolue en réponse. La directive européenne sur la sécurité des réseaux et des systèmes d’information étend les obligations aux fournisseurs, avec une transposition française encore inachevée, et le régulateur des données prépare des exigences renforcées, sujet traité dans notre article sur les nouvelles règles annoncées par la CNIL. Le secteur public reste par ailleurs, année après année, l’une des cibles les plus visées en Europe, comme le montre notre analyse des attaques contre l’administration publique. L’agence nationale de sécurité indiquait avoir traité 3 586 événements de sécurité en 2025, dont 1 366 incidents avérés.
Les réflexes pour les personnes concernées
Une donnée sortie ne revient pas. Ce qui reste actionnable, c’est la difficulté qu’aura un attaquant à l’exploiter.
- Traiter comme suspect tout message évoquant une formation suivie, un badge obtenu ou un outil interne, même s’il paraît provenir du service concerné.
- Ne jamais cliquer depuis le message : rejoindre le service ou le portail par le chemin habituel, saisi manuellement.
- Activer l’authentification à double facteur partout où elle est disponible, en privilégiant une application dédiée ou une clé physique plutôt que le message texte.
- Changer les mots de passe réutilisés ailleurs, la réutilisation étant le principal multiplicateur de dégâts après une fuite.
- Signaler toute tentative, y compris celles qui ont échoué : c’est le seul moyen pour l’institution de mesurer la campagne en cours.
- Prévenir l’entourage proche, régulièrement visé par des approches indirectes après ce type de compromission.
- Surveiller les demandes inhabituelles par téléphone : la crédibilité d’un appel repose souvent sur un détail exact tiré d’une base volée.
Une remarque enfin sur le calendrier. Les données diffusées en mars circulent toujours, et rien n’indique que leur exploitation soit terminée. Les campagnes d’hameçonnage exploitant une base fuitée s’étalent souvent sur plusieurs mois, parfois davantage, une fois la base revendue à d’autres acteurs. La vigilance ne se relâche pas avec la fin de la couverture médiatique.
Le signal le plus fiable reste l’urgence. Un message qui exige une action immédiate, sous peine de conséquence administrative, relève presque toujours de la manipulation, quelle que soit la qualité de sa mise en forme.
Ce qu’on nous demande le plus souvent.
Que s’est-il passé exactement ?
La plateforme de formation à distance e-campus, administrée par un prestataire externe pour le compte du ministère de l’Intérieur, a été compromise les 17 et 18 mars 2026. Des données d’identification de policiers actifs, de personnels administratifs et de contractuels ont été consultées par un acteur malveillant. L’intrusion est restée inaperçue plusieurs semaines.
Combien de personnes sont réellement concernées ?
Le nombre exact n’a pas été confirmé officiellement. Le chiffre de 170 000 provient d’une alerte relayée par un chercheur en sécurité, et l’attaquant revendiquait de son côté une base de 176 317 profils incluant policiers, gendarmes et fonctionnaires. Certains comptes rendus ont retenu des ordres de grandeur bien inférieurs.
Les fichiers de police ont-ils été touchés ?
Non, selon la direction générale de la police nationale, qui a précisé explicitement que les données concernées ne sont pas issues des fichiers de police. Il s’agit d’informations périphériques liées à l’environnement de formation, pas des applications métier ni des bases d’enquête.
Quelles données ont fuité ?
Le noyau confirmé porte sur des données d’identification : noms, prénoms, adresses de messagerie professionnelles. S’y ajoutent, selon les comptes rendus, des éléments de localisation et des données d’usage de la plateforme : dates de connexion, modules de formation suivis, certifications obtenues et outils consultés.
L’auteur présumé a-t-il été identifié ?
Un homme né en 2004 a été interpellé en Vendée le 20 avril 2026, alors qu’il s’apprêtait selon les enquêteurs à publier un nouveau jeu de données volées. Il a reconnu l’utilisation du pseudonyme sous lequel l’attaque avait été revendiquée. L’enquête est conduite par la brigade de lutte contre la cybercriminalité et le parquet de Paris. La présomption d’innocence s’applique.
Quel est le risque concret pour les agents ?
Principalement l’hameçonnage ciblé. Un historique de formation permet de rédiger un message crédible, reprenant le vocabulaire interne et un module réellement suivi. S’y ajoute le risque de recoupement avec d’autres fuites, qui permet de reconstituer un profil plus complet.
D’autres fuites ont-elles touché la police depuis ?
Oui. En juin 2026, la fédération sportive de la police nationale a reconnu une compromission de sa base de licenciés, sans lien technique établi avec l’affaire e-campus. Le volume avancé s’élève à 224 076 enregistrements couvrant la période 2012 à 2026. Une plainte a été déposée et la CNIL saisie.
Que faire si l’on est concerné ?
Traiter comme suspect tout message évoquant une formation ou un outil interne, ne jamais cliquer depuis le message mais rejoindre le service par le chemin habituel, activer l’authentification à double facteur, changer les mots de passe réutilisés ailleurs et signaler chaque tentative, y compris celles qui ont échoué.
- Communication de la direction générale de la police nationale relative à la compromission de la plateforme e-campus, avril 2026.
- Courriel d’alerte adressé aux agents concernés, relayé publiquement par le chercheur en sécurité connu sous le pseudonyme SaxX.
- Revendication publiée sur un forum spécialisé sous le pseudonyme HexDex, mentionnant 176 317 profils uniques.
- Comptes rendus de presse spécialisée sur l’interpellation intervenue en Vendée le 20 avril 2026 et sur le périmètre de l’enquête conduite par la brigade de lutte contre la cybercriminalité et le parquet de Paris.
- Communiqué de la fédération sportive de la police nationale du 21 juin 2026 et comptes rendus associés.
- Panorama annuel de l’agence nationale de la sécurité des systèmes d’information portant sur les événements traités en 2025.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Les éléments confirmés par les institutions, les revendications d’attaquants et les estimations de tiers sont ici distingués explicitement ; les procédures évoquées sont en cours et la présomption d’innocence s’applique. Pour aller plus loin : les sites réalisés sur mesure, les avis clients ou nous écrire directement.
Qui détient les données de vos salariés et de vos clients ?
Un outil externalisé mal supervisé expose exactement les mêmes données que votre système interne. Parlons-en.