En bref
- Ce qui s'est passé. Le 2 octobre 2026, le Cnam a été victime d'un acte malveillant ayant entraîné une fuite de données, après la compromission de certains de ses systèmes d'information. L'établissement a publié un communiqué, mis à jour le 8 octobre.
- Qui est concerné. Les élèves et anciens élèves inscrits depuis 10 ans au plus, et les enseignants référencés dans la plateforme Adage des centres Cnam en région depuis 2017. Les personnes concernées ont été informées individuellement.
- Que faire :
- méfiez-vous des e-mails, SMS et appels qui citent cet incident ou se présentent au nom de l'organisation, surtout s'ils réclament un paiement, un code ou des coordonnées bancaires ;
- en cas de doute, ne cliquez pas : contactez l'organisation par son site ou son numéro officiel ;
- activez la double authentification sur vos comptes importants (messagerie, banque) ;
- le Cnam rappelle qu'il ne demande jamais de mot de passe, de code de vérification ou de coordonnées bancaires par e-mail, SMS ou téléphone ;
- surveillez vos comptes et relevés dans les semaines qui viennent ; en cas d'escroquerie, appuyez-vous sur cybermalveillance.gouv.fr.
Détail technique
Données concernées
Pour les élèves : nom, prénoms, date de naissance, département et ville de naissance. Pour les enseignants référencés dans Adage : nom, prénoms, date et lieu de naissance, coordonnées électroniques et téléphoniques, informations sur le parcours académique et professionnel. Selon le Cnam, aucune donnée bancaire n'a été compromise.
Périmètre
L'incident date du 2 octobre 2026. Les investigations n'ont pas mis en évidence, à ce stade, d'autres données concernées. L'origine de l'attaque est en cours d'analyse.
Mesures annoncées par l'organisation
Une cellule de crise a été mobilisée, accompagnée d'un prestataire spécialisé en réponse à incident. La CNIL a été saisie, une plainte va être déposée et les dispositifs de sécurité sont renforcés. Une communication dédiée accompagne les personnes concernées.
Ce qu'une équipe IT peut vérifier
- pour les organismes de formation, vérifiez qui peut exporter les fichiers d'inscrits et d'intervenants, et activez la double authentification sur ces comptes ;
- date et lieu de naissance servent souvent de questions de sécurité : évitez-les comme moyen de vérification d'identité dans vos propres processus ;
- préparez un message type pour vos apprenants en cas d'hameçonnage se réclamant de l'établissement.