En bref
- Ce qui s'est passé. Après la mise en vente de profils issus de son intranet, l'École 42 a indiqué que ses premières investigations mettaient en évidence une extraction automatisée de données depuis l'intranet, à partir d'un compte utilisateur disposant d'un accès légitime.
- Qui est concerné. Des étudiants, anciens élèves, candidats et membres du personnel du réseau 42, en France et dans d'autres pays. L'école indique avoir informé les campus et les personnes concernées.
- Que faire :
- méfiez-vous des e-mails, SMS et appels qui citent cet incident ou se présentent au nom de l'organisation, surtout s'ils réclament un paiement, un code ou des coordonnées bancaires ;
- en cas de doute, ne cliquez pas : contactez l'organisation par son site ou son numéro officiel ;
- si vous aviez un compte et réutilisez ce mot de passe ailleurs, changez-le sur les autres services et activez la double authentification quand elle est proposée ;
- méfiez-vous des messages au nom de l'intranet de 42 ou de faux recruteurs qui citent votre cursus ou votre niveau : saisissez vous-même l'adresse de l'intranet dans votre navigateur ;
- si votre photo de profil est utilisée sur un compte que vous n'avez pas créé, signalez-le à la plateforme concernée ;
- surveillez vos comptes et relevés dans les semaines qui viennent ; en cas d'escroquerie, appuyez-vous sur cybermalveillance.gouv.fr.
Détail technique
Données concernées
L'école confirme qu'environ 90 000 photos de profil ont été téléchargées. Elle ne publie pas la liste des autres champs extraits des profils.
Périmètre
Selon l'école, aucune exploitation d'une faille technique dans ses systèmes n'a été identifiée à ce stade. Les conditions d'utilisation du compte restent à établir ; son usurpation demeure une hypothèse.
Mesures annoncées par l'organisation
Les anciennes URL des photos de profil ont été désactivées dès le 9 octobre 2026. L'école a déposé plainte auprès des autorités françaises et prépare une notification à la CNIL.
Ce qu'une équipe IT peut vérifier
- pour toute plateforme avec annuaire interne, limitez le nombre de profils consultables par compte et par minute, et alertez sur les consultations massives ;
- protégez les comptes étudiants et personnels par la double authentification ;
- servez les photos de profil derrière une authentification, avec des liens non prévisibles.