Conservatoire national des arts et métiers (Cnam) : fuite confirmée côté auditeurs, volumes et base d'enseignants seulement revendiqués

Le 2 octobre 2026, un acteur se présentant sous le pseudonyme Syrv4x a mis en vente sur un forum cybercriminel une base de 882 918 lignes (environ 289 Mo) attribuée au Conservatoire national des arts et métiers, le Cnam, et diffusé gratuitement le même jour une seconde base de 15 984 lignes attribuée à ADAGE, le portail utilisé par l’établissement pour agréer ses enseignants et intervenants. L’annonce a été relayée dès le soir par Fuites Infos et Cyberattaque.org. Dans un courrier adressé à ses auditeurs, dont une capture a été publiée au plus tard le 7 octobre par Fuites Infos et Bonjour la fuite, le Cnam a reconnu un « incident de sécurité numérique » ayant entraîné des fuites de données. Il s’agit bien du Conservatoire et non de la Caisse nationale d’assurance maladie, qui partage le même acronyme sans lien avec l’affaire : le courrier porte l’en-tête « le cnam, Espace numérique de formation » et s’adresse aux personnes qui suivent ou ont suivi une formation.

Le point délicat de ce dossier tient à la frontière entre ce que le Cnam reconnaît et ce qui relève encore de la revendication. Le courrier ne donne aucun chiffre et ne mentionne ni les enseignants ni ADAGE : les volumes, le nom de l’acteur et le contenu de la seconde base reposent donc uniquement sur l’annonce du forum, et la base d’enseignants n’a reçu aucune confirmation officielle. Les 882 918 lignes de la première base ne correspondent pas à autant de personnes, puisque le champ d’identifiant interne compte 882 927 valeurs dont 773 306 uniques selon Cyberattaque.org et FrenchBreaches (un décompte lui-même revendiqué), le statut d’étudiant n’apparaissant pas dans chaque enregistrement selon FrenchBreaches. Pour ADAGE, Cyberattaque.org dénombre 15 983 profils distincts alors que le titre de Fuites Infos retient 14 842 enseignants et intervenants, un écart que personne n’explique.

Le Cnam indique que les données susceptibles d’avoir été divulguées sont le nom, le prénom, la date de naissance ainsi que le département et la ville de naissance, et précise qu’aucune donnée bancaire ni coordonnée personnelle (adresse, téléphone, courriel) n’a été divulguée. Selon la revendication, la première base comprendrait en plus des noms d’usage et des identifiants internes, ce que le courrier ne confirme pas formellement, tandis que la base ADAGE contiendrait des adresses, des e-mails, des numéros de téléphone, des diplômes, des parcours professionnels et des références de CV. Même sans coordonnées, l’association de l’identité complète avec la date et le lieu de naissance n’a rien d’anodin : ces éléments servent de vérification d’identité auprès de nombreux services, et leur croisement avec d’autres fuites contenant des adresses ou des numéros de téléphone facilite l’usurpation d’identité. Savoir qu’une personne suit ou a suivi une formation au Cnam offre en outre un contexte crédible pour de l’hameçonnage ciblé.

Dans son courrier, le Cnam explique que ses équipes ont pris dès la détection les mesures nécessaires pour sécuriser les systèmes, contenir l’incident et protéger les données, qu’une cellule de crise a été réunie et qu’une analyse technique est en cours pour identifier la source de la fuite. Le vecteur n’est donc pas communiqué, et rien ne permet de dire si les deux bases proviennent d’un même accès initial. Au 8 octobre, la page d’accueil du site du Conservatoire ne signalait aucun incident, aucune reprise par la presse généraliste n’a été trouvée et aucune notification à la CNIL ni plainte n’a été rendue publique : la confirmation repose ainsi sur la capture du courrier relayée par deux sites de veille.

Les personnes qui suivent ou ont suivi une formation au Cnam gagnent à appliquer les consignes du courrier : ne jamais communiquer d’identifiants, de mots de passe ou d’informations personnelles en réponse à une demande inhabituelle, vérifier l’adresse de l’expéditeur et chaque lien avant de cliquer, et rester vigilantes dans les prochaines semaines face aux courriels, SMS et appels se faisant passer pour le Cnam. Il est également prudent de surveiller toute demande de crédit ou de contrat à son nom, de déposer plainte en cas d’usurpation et de solliciter cybermalveillance.gouv.fr. Les enseignants et intervenants, dont les coordonnées figureraient dans la base ADAGE si la revendication se confirmait, ont intérêt à redoubler de prudence face aux sollicitations se réclamant de l’établissement.