Région Hauts-de-France : cyberattaque chez les prestataires Atexo et Docaposte, jusqu'à 545 000 personnes concernées selon la Région

Le 2 octobre 2026, la Région Hauts-de-France a informé des usagers qu’un de ses prestataires, Atexo, avait subi une cyberattaque exposant leurs noms, prénoms et adresses électroniques. Atexo est un éditeur de logiciels pour les pouvoirs publics, qui gérait et hébergeait la plateforme des aides régionales. Le lendemain, un communiqué de la Région relayé par l’AFP a étendu le périmètre à un second prestataire, Docaposte, filiale de La Poste chargée de la plateforme de la carte Génération #HDF, qui sert à verser une aide financière aux lycéens et aux apprentis. Selon franceinfo, la Maison des entrepreneurs Hauts-de-France a également été touchée, un incident que la Région dit résolu et dont le prestataire n’est pas nommé dans les sources consultées. Les plateformes concernées ont été fermées, une plainte a été déposée, l’ANSSI a été alertée, et la Région affirme que son système d’information interne n’a pas été atteint.

Le point le plus délicat tient à l’écart entre le plafond officiel et les revendications de l’attaquant. Le 5 octobre, Xavier Bertrand, président de la Région, a évoqué « un maximum de 515 000 personnes » sur les 745 000 inscrites côté Atexo, auxquelles s’ajoutent environ 30 000 bénéficiaires et partenaires côté Docaposte, soit près de 545 000 personnes, alors que le communiqué du 3 octobre reconnaissait ne pas pouvoir indiquer le nombre exact de personnes concernées. Ce plafond n’étant pas un décompte de victimes avérées, cette fiche ne le retient pas comme nombre de personnes touchées. Parallèlement, un acteur nommé ChimeraZ par Cyberattaque.org a diffusé le 3 octobre une base de 782 583 lignes, dont il tire 708 068 personnes (Fuites Infos en estime environ 695 000 distinctes), et propose à la vente 90 011 documents. Lignes, comptes, personnes et documents ne sont pas des unités comparables, et ni la Région ni Atexo n’ont confirmé de lien entre cette base et l’un ou l’autre des prestataires.

Sur la cause, la seule description détaillée provient d’un courrier qu’Atexo aurait adressé le 6 octobre aux usagers de la plateforme, que seul Fuites Infos rapporte et que nous n’avons pas consulté directement : l’entreprise s’y reconnaît responsable, dit avoir découvert le piratage le 1er octobre et l’attribue à un compte utilisateur piraté combiné à une faille logicielle exploitée à l’aide d’un robot. Aucun vecteur n’est communiqué pour Docaposte. À la date du 8 octobre, aucune des sources consultées ne fait état d’une autre collectivité cliente d’Atexo ayant notifié un incident, et Mégalis Bretagne, qui utilise la salle des marchés publics éditée par Atexo, indique sur son portail qu’après échange avec l’éditeur aucune application de ses utilisateurs n’est concernée.

Les données reconnues sont le nom, le prénom et l’adresse électronique, auxquels le président de Région ajoute, côté Atexo, le type de tiers et les habilitations, et côté Docaposte surtout des contrats d’apprentissage et des RIB. La Région parle de RIB « potentiellement » concernés, tandis qu’Atexo affirme dans son courrier que ni pièces de dossiers, ni coordonnées bancaires, ni mots de passe n’ont été exposés : ces deux positions ne sont pas réconciliées. L’attaquant revendique en outre des justificatifs de domicile et des copies de pièces d’identité, sans confirmation. Même limitée à l’identité et à l’e-mail, cette exposition d’usagers d’une aide régionale permet des messages d’hameçonnage très crédibles, annonçant par exemple le versement ou la régularisation d’une aide, et des RIB associés à une identité faciliteraient des prélèvements ou des changements de coordonnées frauduleux.

La Région a déposé plainte, alerté l’ANSSI et commencé à informer les usagers, et Fuites Infos indique qu’elle a notifié la CNIL, sans date et sans autre source pour le confirmer. Atexo n’a, à notre connaissance, pas publié de communiqué public, son courrier aux usagers étant la seule communication rapportée. Les usagers de la plateforme d’aides, de la carte Génération #HDF ou de la Maison des entrepreneurs ont intérêt à se méfier de tout message évoquant leur dossier d’aide, à passer par le site officiel de la Région plutôt que par un lien reçu et à ne jamais communiquer de code ou d’information bancaire par courriel ou par téléphone. Ils peuvent aussi surveiller leurs relevés, contester sous treize mois tout prélèvement non autorisé et changer le mot de passe réutilisé ailleurs.