Fuites de données : prisons vaudoises, banques, ANTS, ManoMano, les failles en cascade chez les tiers

Des cyberattaques récentes ont exposé des données personnelles via des comptes « professionnels » et des sous-traitants, touchant des acteurs publics et privés. L’ANTS a confirmé un accès non autorisé détecté le 15 avril 2026. ManoMano a alerté ses clients après le piratage, en janvier 2026, d’un prestataire de support client.

Pris séparément, chaque incident raconte une histoire classique de compromission de comptes, de droits d’accès trop larges et de détection tardive. Mis bout à bout, ils dessinent un motif plus préoccupant: les organisations ne se font plus seulement attaquer « chez elles », elles se font attaquer à travers leur écosystème. En clair, la surface d’attaque se déplace vers les intermédiaires, les habilitations et les chaînes de traitement, comme une fuite d’eau qui passe par le joint le plus fragile plutôt que par le tuyau principal.

La mécanique est souvent la même: un acteur tiers gère une partie du service (support client, traitement administratif, opérations). Il dispose d’identifiants et d’accès légitimes. Les attaquants n’ont plus besoin de « casser » un coffre-fort, ils cherchent la clé déjà existante, puis exploitent les autorisations attachées à ce compte.

ANTS: des comptes « professionnels » visés, données d’état civil et identifiants exposés

L’Agence nationale des titres sécurisés a confirmé un incident de sécurité, avec la détection d’un accès non autorisé le 15 avril 2026. L’attaque vise des comptes « professionnels », utilisés par des acteurs habilités à traiter des démarches, d’après la communication rapportée par la presse spécialisée ^[2].

Ce point est central: un compte professionnel n’est pas un compte « grand public ». Il sert de passerelle opérationnelle pour instruire des demandes, manipuler des dossiers et accéder à des champs de données utiles au traitement. Traduction: s’il est compromis, l’attaquant ne récupère pas seulement un nom ou une adresse, il peut mettre la main sur des éléments structurants de l’identité administrative.

Selon les informations publiées, les données concernées incluent des données d’état civil, des identifiants de connexion, des numéros d’habilitation ou d’agrément, ainsi que des coordonnées comme l’adresse postale ou le numéro de téléphone ^[2]. Ce mélange est explosif pour deux raisons. D’abord parce qu’il facilite des campagnes de phishing très ciblées, avec des informations suffisamment crédibles pour tromper. Ensuite parce qu’il peut servir de matière première à l’usurpation d’identité, ou à des fraudes « sur dossier » où la cohérence des informations compte plus que la possession d’un mot de passe.

Un autre signal fort ressort: l’incident a été signalé à la CNIL et une enquête judiciaire doit être ouverte par le parquet de Paris, selon les mêmes informations ^[2]. C’est le rappel que ces fuites ne relèvent plus du simple « incident IT », elles deviennent des dossiers de conformité et de pénal, avec une chaîne de réponse à incident sous contrainte.

ManoMano: un sous-traitant du support client piraté en janvier 2026

Dans le cas de ManoMano, le scénario est celui d’un sous-traitant en charge du support client compromis lors d’une attaque survenue en janvier 2026 ^[4]. L’intrusion a ciblé des comptes donnant accès aux informations des clients ayant contacté le service client, et des données personnelles ont été téléchargées illégalement avant que la faille ne soit détectée et colmatée ^[4].

Ce type d’attaque illustre un principe simple: la sécurité d’une marque visible dépend souvent d’acteurs invisibles. Un prestataire de relation client concentre des informations très « actionnables » (coordonnées, historiques d’échanges, contexte de litige). C’est la différence entre voler un annuaire et voler un carnet de conversations. Sur le papier, ce n’est « que » de la donnée personnelle. En pratique, c’est un kit de social engineering: les fraudeurs savent quoi dire, à qui, et avec quel vocabulaire.

Selon Clubic, ManoMano a précisé que les mots de passe et les coordonnées bancaires des clients ne figuraient pas dans le vol de données ^[4]. L’entreprise indique avoir identifié le compte compromis et l’avoir mis hors service, puis lancé une enquête interne et renforcé les accès chez le prestataire et chez d’autres sous-traitants ^[4].

Le risque immédiat, décrit dans l’article, est celui de sollicitations frauduleuses par e-mail, téléphone ou SMS imitant l’entreprise ^[4]. C’est la phase « monétisation » habituelle: après l’exfiltration, les attaquants passent de la collecte à l’exploitation, souvent via des campagnes de phishing calibrées sur des informations exactes. C’est comme passer d’un scan de réseau à une attaque au clavier: la seconde étape est plus ciblée, plus convaincante, et plus rentable.

Pôle Léonard de Vinci: accès à un serveur applicatif et données bancaires de type IBAN

RTL rapporte une cyberattaque visant le Pôle Léonard de Vinci, survenue un samedi 24 septembre au soir, avec un accès à un serveur applicatif contenant des données personnelles ^[5]. Les informations mentionnées incluent l’état civil, des coordonnées, des éléments relatifs à des informations bancaires, dont l’IBAN (mais pas les données de paiement par carte bancaire), des documents officiels et administratifs, et des données de parcours académiques ^[5].

Là encore, la valeur de la fuite tient à l’assemblage. Un IBAN seul ne permet pas de payer, mais il facilite des fraudes d’ingénierie sociale, des tentatives d’escroquerie au faux conseiller ou des changements de RIB frauduleux. Ajoutez des documents administratifs, et le dossier devient plus « complet » pour des usages malveillants. En clair, ce n’est pas une clé qui ouvre une porte, c’est un trousseau qui augmente les chances de trouver la bonne serrure.

RTL indique que l’établissement dit n’avoir connaissance d’aucune utilisation malveillante à ce stade, tout en recommandant de considérer les données comme exfiltrées ^[5]. Le média précise aussi que l’attaque n’aurait pas chiffré les informations ni demandé de rançon, les cybercriminels affirmant vouloir être rétribués pour avoir mis en lumière une faille, assimilée à une forme de « pentest » ^[5]. Cet argumentaire est fréquent: il cherche à déplacer l’acte du terrain criminel vers celui de la démonstration. Mais la différence entre un test d’intrusion et une intrusion, c’est l’autorisation et le cadre. Sans mandat, la « preuve » devient un préjudice.

L’établissement a contacté l’Anssi et l’OCLTIC, et une enquête a été ouverte par le parquet de Paris pour atteinte à un système de traitement automatisé de données et extorsion, selon RTL ^[5].

Le point commun: tiers, habilitations, et « surfaces d’attaque » qui débordent l’organisation

Entre un prestataire de support client, des comptes professionnels habilités, et un serveur applicatif exposé, le fil rouge est la gestion des accès et des privilèges. Les attaquants cherchent le chemin le plus court vers la donnée utile, pas le plus spectaculaire. Dans beaucoup d’organisations, le SI est segmenté, surveillé, et durci. Les accès tiers, eux, vivent parfois dans une zone grise: comptes partagés, habilitations larges « par confort », supervision inégale, ou dépendance à un prestataire dont les priorités ne sont pas celles du donneur d’ordre.

Cette logique ressemble à une architecture réseau mal cloisonnée: même si le cœur est protégé, un VLAN périphérique mal contrôlé peut servir de tremplin. Dans le monde des identités numériques, le « VLAN » s’appelle IAM (gestion des identités et des accès). Quand un compte a trop de droits, ou quand l’authentification n’est pas assez robuste, l’attaquant n’a plus qu’à se connecter.

Deux enseignements ressortent des cas récents décrits par les médias. D’abord, la donnée la plus dangereuse n’est pas toujours la plus « sensible » au sens juridique, mais celle qui rend une fraude crédible: état civil, coordonnées, historiques d’échanges, documents administratifs. Ensuite, la réponse à incident ne se limite pas à « colmater »: elle implique d’identifier le compte compromis, de cartographier les accès, de prévenir les personnes exposées, et d’activer les canaux réglementaires et judiciaires, comme on le voit avec les signalements et enquêtes mentionnés pour l’ANTS et le Pôle Léonard de Vinci ^{[2] [5]}.

Le sujet dépasse la seule cybersécurité: il touche à la gouvernance des sous-traitants et des habilitations. Tant que les organisations externaliseront des fonctions critiques sans imposer un niveau de contrôle équivalent sur les identités, la question ne sera pas de savoir si une fuite arrive, mais par quel maillon elle passera.

Panorama rapide des incidents récents

• ANTS: accès non autorisé détecté le 15 avril 2026, comptes professionnels ciblés, données d’état civil et identifiants concernés ^[2].
• ManoMano: sous-traitant support client piraté en janvier 2026, mots de passe et coordonnées bancaires non inclus selon l’entreprise ^[4].
• Pôle Léonard de Vinci: accès à un serveur applicatif, données personnelles incluant IBAN et documents administratifs, enquête ouverte selon RTL ^[5].

Dans ce contexte, les prochaines batailles se joueront moins sur des slogans que sur des pratiques concrètes: réduction des droits, traçabilité, et contrôle des prestataires au niveau des comptes et des journaux d’accès, là où l’attaque commence souvent, silencieusement.