Service National Universel : 275 083 comptes du portail des structures partenaires revendiqués

Le 7 septembre 2026, un acteur utilisant le pseudonyme « LunarisSec » a revendiqué une intrusion sur le portail d’administration du Service National Universel, en annonçant les données de 275 083 comptes, dont 5 062 appartenant à des responsables de structures. Le vecteur décrit est une faille de contrôle d’accès de type IDOR, associée à une gestion défaillante des rôles, qui aurait permis de consulter les enregistrements d’autres utilisateurs sans autorisation.

La qualification de l’incident dépend entièrement d’un point de périmètre, et il vaut la peine de s’y arrêter. Le SNU s’adresse à des jeunes de quinze à dix-sept ans, ce qui conduit naturellement à supposer que 275 000 comptes signifient 275 000 mineurs. Ce n’est pas le cas ici : la plateforme visée est celle réservée aux structures partenaires du dispositif, associations, communes, services d’incendie et de secours, Croix-Rouge ou Restos du Cœur, et à leurs responsables. Les comptes concernés sont donc très majoritairement ceux d’adultes intervenant à titre professionnel ou bénévole, ce que l’un des observatoires prend soin de préciser explicitement.

Cette distinction abaisse la sévérité retenue sans annuler le risque. Les données décrites, identité, adresse électronique, téléphone mobile, rôle, rattachement territorial et historique de connexion, constituent un annuaire opérationnel du tissu associatif et communal engagé dans un dispositif d’État. C’est une base de départ commode pour de l’hameçonnage ciblé se réclamant du ministère ou du dispositif lui-même, auprès d’interlocuteurs habitués à recevoir des sollicitations administratives.

L’un des observatoires indique avoir obtenu des échantillons dont le contenu, recoupé avec des sources publiques, rend la revendication crédible, avec des traces d’activité remontant à la veille de la publication. Aucune confirmation du ministère ni de la CNIL n’était disponible à la date de rédaction, ce qui maintient le statut « alléguée ». Le dispositif a par ailleurs connu d’autres incidents en 2026, distincts de celui-ci, notamment sur le portail RH Compas en mars.