1,557 million de photos d’élèves en vente sur le darknet après le piratage de l’UNSS

1,557 million de photos d’identité d’élèves, de la 6e à la terminale. Et 65 Go de données personnelles qui vont avec. Le tout proposé à la vente sur le darknet après le piratage du site de l’Union nationale du sport scolaire (UNSS), une structure sous tutelle de l’Éducation nationale. Le groupe DumpSec revendique l’attaque, datée de fin février.

Le truc, c’est que là on parle de mineurs. Pas de comptes de gamers ou d’adresses mail secondaires. Dans le lot, on retrouve des infos qui collent à la peau: nom, prénom, sexe, date de naissance, classe, établissement, adresse complète, assureur, photo type carte. Sur le papier, c’est « juste » une fuite. Dans la vraie vie, ça ouvre des portes à des embrouilles très concrètes.

Ce que contient la fuite UNSS, concrètement

Une photo d’identité, ça a l’air banal. Sauf que combinée à une date de naissance, une adresse et un établissement scolaire, ça devient une fiche quasi prête pour l’usurpation. Les données évoquées tournent autour d’un profil complet d’élève licencié: identité, scolarité, coordonnées, et même des éléments liés à l’assurance. On est loin du simple « nom + email » qu’on voit passer dans des leaks à la chaîne.

Le volume donne une idée de l’ampleur: 65 gigaoctets. Ça ne veut pas dire grand-chose pour toi, mais pour un attaquant, c’est un stock. Des centaines de milliers de fiches, des photos en série, des champs structurés. Et surtout une cible homogène: des collégiens et lycéens, donc des familles, des établissements, des secrétariats, des profs d’EPS, des associations sportives. Tout un écosystème à arroser derrière.

L’UNSS a indiqué que des liens permettant d’accéder aux images avaient été rendus inopérants. Bonne nouvelle, si ça coupe un accès direct. Mauvaise nouvelle, parce qu’une fois que les fichiers sont sortis, ils circulent. Le darknet fonctionne comme un marché gris: un vendeur met un extrait pour prouver qu’il a le « vrai » lot, puis ça se revend, ça se copie, ça se retrouve sur des forums. Et tu ne rappelles pas une fuite comme on rappelle un produit défectueux.

Harcèlement, arnaques: ce que ça change pour les familles

Le risque numéro un, c’est l’usurpation d’identité. Une photo d’identité + des infos d’état civil, ça sert à fabriquer un dossier crédible. Pas forcément pour ouvrir un crédit tout de suite, mais pour passer des contrôles basiques, contourner des vérifications, ou monter des comptes sur des services qui ne sont pas trop regardants. Et quand la victime est mineure, le problème peut dormir des mois avant de ressortir au pire moment.

Deuxième effet kiss cool: les arnaques ciblées. Imagine un SMS ou un mail qui cite le vrai établissement, la vraie classe, le vrai nom. Tu as déjà vu les messages « votre carte bancaire arrive à expiration » ou « mettez à jour votre dossier »? Là, tu peux recevoir la version premium, personnalisée, qui fait mouche parce qu’elle sonne vrai. Les pirates n’ont pas besoin d’être des génies, ils ont juste besoin de données propres pour faire du social engineering au kilomètre.

Et puis il y a le harcèlement. Une adresse complète associée à une photo, ça peut suffire à déclencher des saloperies: doxxing, moqueries, menaces, faux profils. Le souci, c’est que les ados vivent déjà une partie de leur vie en ligne, et qu’un leak de ce type peut devenir une arme dans une cour de récré ou sur un groupe privé. On peut te dire « ça n’arrive qu’aux autres », sauf que là, la base de victimes est énorme.

Pourquoi l’UNSS est une cible, et ce qui doit changer

L’UNSS, c’est un point de passage massif: des élèves, des établissements, des inscriptions, des licences, des compétitions. Donc une base de données centrale, alimentée partout en France. Pour un groupe comme DumpSec, c’est le genre de cible qui coche toutes les cases: gros volume, données sensibles, et un impact médiatique assuré. Et quand un groupe revendique publiquement, c’est aussi un message aux autres organisations du secteur.

La fédération a parlé de renforcement des procédures d’authentification. Tant mieux, mais soyons honnêtes: renforcer après coup, c’est souvent ce qu’on fait quand la porte a déjà été forcée. Le vrai sujet, c’est l’hygiène de base: accès limités, journalisation, segmentation, mises à jour, contrôle des prestataires, et surtout minimisation des données. Est-ce qu’on a vraiment besoin de conserver une adresse complète et une photo sur la même fiche, accessible via un portail en ligne?

Côté familles, tu ne peux pas « réparer » la fuite, mais tu peux réduire la casse. Surveille les messages suspects qui parlent de l’école, de l’UNSS, d’une assurance ou d’un dossier à mettre à jour. Ne clique pas dans l’urgence, appelle l’établissement si besoin. Et si ton enfant est concerné, garde une trace des démarches et des alertes, parce que les conséquences peuvent arriver plus tard, au moment d’une inscription, d’une demande de document, ou d’un changement d’établissement. On va aussi regarder si d’autres structures scolaires se prennent la même vague, parce que ce genre d’affaire donne des idées.