Avantages Jeunes : fuite confirmée en janvier 2026, nouvelle revendication de 318 000 profils en octobre, mineurs concernés

Le 8 janvier 2026, date que le centre associe lui-même à l’attaque, un vendeur se faisant appeler « HexDex2 » a proposé sur le forum BreachForums un fichier de 282 906 entrées attribué à la carte Avantages Jeunes, la carte de réductions des moins de 30 ans de Bourgogne-Franche-Comté, gérée par Info Jeunes Bourgogne-Franche-Comté (le CRIJ) avec le soutien de la Région. Le CRIJ, alerté le 15 janvier, a indiqué avoir saisi la CNIL, et Le Ch’ni a révélé l’affaire le lendemain après avoir recoupé un échantillon d’environ 1 000 lignes auprès de mairies et de personnes concernées. Le 19 janvier, le centre a reconnu un incident de sécurité majeur et invité les titulaires par SMS à changer leur mot de passe, puis la Région a évoqué, le 21 janvier, un piratage du site de la carte.

Ce dossier recouvre trois épisodes qu’il convient de tenir séparés, aucun lien n’étant établi entre eux. Seul celui de janvier est reconnu, et le CRIJ ramène lui-même les 282 906 entrées vendues à 100 000 à 150 000 personnes, des noms revenant jusqu’à quatre fois. Le 9 février, FrenchBreaches a relevé une revendication du groupe DumpSec portant sur environ 480 000 personnes et 56 000 documents sensibles (copies de pièces d’identité, actes de naissance), sans nommer l’opérateur ni citer de confirmation ; le groupe a depuis été démantelé (sept interpellations le 9 juin 2026), mais les articles consultés ne citent pas Avantages Jeunes parmi ses victimes, ce qui n’établit ni n’exclut un lien. Le 1er octobre, un utilisateur nommé « Quantique » a publié une base de 318 000 profils attribuée à la même carte, en créditant « HexDex » pour la collecte, que Cyberattaque.org et FrenchBreaches disent avoir examinée sur 1 000 lignes. On ignore s’il s’agit d’une nouvelle extraction, d’une actualisation ou d’une republication de la base de janvier, rien n’établit que « HexDex » et « HexDex2 » soient le même acteur, et ces profils, qui cumuleraient plusieurs années, ne correspondent pas nécessairement à autant de personnes.

Le fichier de janvier contenait, selon la presse, le nom, le prénom, la date de naissance, l’adresse postale, l’adresse électronique, le téléphone, le statut scolaire ou professionnel et le mode de règlement, sans numéro de carte bancaire ni mot de passe d’après le CRIJ ; l’échantillon d’octobre y ajouterait le sexe, un numéro de profil, le point de vente et le tarif. Les mineurs constituent le point central : ICI relève leur présence dès janvier, et pour octobre Cyberattaque.org compte plus de la moitié de moins de 18 ans dans ses 1 000 lignes, tandis que FrenchBreaches évoque plusieurs mineurs, dont certains très jeunes, sans proportion, une part qu’aucun décompte ne permet d’étendre à toute la base. Cette combinaison d’identité, de date de naissance, d’adresse, de téléphone et de statut scolaire autorise un hameçonnage ciblé d’adolescents, du démarchage abusif et, plus gravement, leur repérage par des personnes malintentionnées, risque que France 3 a relayé. Les pièces d’identité de février ne sont rattachées à ce fichier par aucune source fiable, et la sévérité serait à relever si ce lien était établi.

En janvier, la réaction a suivi l’alerte : déclaration à la CNIL, appui du CSIRT-BFC, plainte annoncée, information des titulaires et maintien de l’accès aux offres. Le communiqué de la Région affirme toutefois qu’aucune donnée sensible n’est compromise et que les données se limitent à des informations d’identification, formulation à nuancer lorsque des mineurs sont exposés avec leur date de naissance, leur adresse et leur téléphone, et alors que le nombre de personnes touchées n’est pas chiffré. Pour février et octobre, aucune réaction n’a été trouvée au 8 octobre 2026 : ni Info Jeunes, ni la Région, ni la CNIL ne se sont exprimés, le site du réseau ne signale aucun incident et aucun média généraliste n’a repris la publication d’octobre parmi les sources consultées. Le statut confirmée ne vaut donc que pour l’épisode de janvier.

Les titulaires et, pour les mineurs, leurs parents peuvent changer sans attendre le mot de passe de l’espace personnel sur avantagesjeunes.com (ainsi que celui de tout service où il serait réutilisé), activer la double authentification sur leur messagerie, se méfier de tout message, SMS ou appel évoquant la carte, un remboursement ou la Région en vérifiant l’expéditeur par un canal officiel, et rappeler aux adolescents de ne jamais transmettre de pièce d’identité ni de code reçu par SMS. Les tentatives d’escroquerie peuvent être signalées sur Cybermalveillance.gouv.fr.