Le 3 octobre 2026, la Région Hauts-de-France a annoncé que deux de ses prestataires, Atexo et Docaposte, avaient été victimes d’une cyberattaque donnant accès à des données personnelles traitées pour son compte. Le 5 octobre, le président de la Région, Xavier Bertrand, a évoqué environ 545 000 personnes concernées, avec des RIB potentiellement exposés. Le système d’information de la Région n’a pas été touché : c’est la chaîne de sous-traitance qui a cédé. Un cas d’école pour toutes les organisations qui confient des données à des prestataires.
Ce qui s’est passé
Selon les informations communiquées par la Région et reprises par l’AFP :
- Atexo gérait la plateforme des aides régionales. Jusqu’à 515 000 des 745 000 personnes inscrites pourraient être concernées. Les données exposées comprennent les noms, prénoms, adresses électroniques, le type de tiers et les habilitations. Le 5 octobre, il n’était pas encore possible de savoir si les RIB avaient été consultés et extraits.
- Docaposte gérait la carte Génération #HDF, une aide destinée aux lycéens et apprentis. Les données de près de 30 000 bénéficiaires et partenaires auraient fuité, principalement des contrats d’apprentissage et des RIB.
La Région a indiqué que l’incident était « désormais résolu », que les deux plateformes avaient été fermées, que l’ANSSI avait été informée et qu’une plainte avait été déposée. Les prestataires ont identifié les failles et le mode opératoire de l’attaquant, et engagé des corrections. Les usagers concernés ont commencé à être informés.
Sur un forum cybercriminel, une personne revendiquant l’attaque affirmait détenir les données de plus de 700 000 personnes (708 068 selon le décompte relayé par Next). Ce chiffre n’a pas été confirmé par la Région, qui retient le total d’environ 545 000.
Pourquoi un RIB qui fuite n’est pas anodin
On entend souvent qu’un RIB « ne craint rien » puisqu’on le donne à son employeur ou à son bailleur. C’est en partie vrai : il ne permet pas de vider un compte. Mais, combiné à un nom, une adresse électronique et un contexte crédible (une aide régionale, une carte jeune), il permet :
- de tenter des prélèvements frauduleux en signant un mandat au nom de la victime ;
- de monter des hameçonnages ciblés : « Votre aide Génération #HDF est suspendue, merci de confirmer vos coordonnées » ;
- de nourrir la fraude au faux conseiller bancaire, où l’escroc cite des informations exactes pour gagner la confiance.
Le public touché ici compte beaucoup de jeunes, lycéens et apprentis, souvent moins méfiants face à ce type de message.
Les bons réflexes si vous êtes concerné
La fiche publiée par la CNIL et Cybermalveillance.gouv.fr lors du Cybermois 2026 donne une marche à suivre claire. Pour un RIB exposé, retenez surtout :
- Informer sa banque que des coordonnées bancaires ont fuité.
- Activer les notifications de paiement si la banque le propose.
- Ne signer aucun mandat de prélèvement dont l’origine est douteuse.
- Si la banque le permet, mettre en place une « liste blanche » des créanciers autorisés à prélever.
- Contester rapidement toute opération non autorisée et demander son remboursement.
- Se méfier des courriels, SMS et appels qui évoquent l’aide régionale ou la carte Génération #HDF : se connecter uniquement via le site officiel, jamais via un lien reçu.
La vraie leçon : vos données vivent chez vos prestataires
La Région insiste sur un point : son propre système n’a pas été compromis. Pour les personnes concernées, cela ne change rien. Leurs données ont fuité, et c’est la Région, responsable du traitement, qui leur devait la protection. Le RGPD le dit clairement : le responsable du traitement doit choisir des sous-traitants qui présentent des garanties suffisantes, et rester capable de le démontrer.
Pour une PME, une collectivité ou une association, cela se traduit très concrètement :
- Cartographier qui héberge et traite quoi : logiciel de paie, CRM, plateforme de prise de rendez-vous, outil de signature, prestataire de site web.
- Exiger des clauses de sécurité dans les contrats : délai de notification d’incident, chiffrement, double authentification des comptes d’administration, journalisation, droit d’audit.
- Limiter les données confiées : un prestataire qui n’a pas besoin des RIB ne doit pas les stocker.
- Prévoir la fin du contrat : suppression ou restitution des données, et preuve de cette suppression.
- Tester le scénario : qui prévient qui, en combien de temps, si le prestataire annonce une fuite un samedi ?
Ce dernier point n’est pas théorique : ici, l’annonce est tombée un samedi, et les chiffres se sont précisés deux jours plus tard, en séance plénière. Une organisation qui a préparé ses messages et sa liste de contacts à l’avance gagne un temps précieux.
Un contexte régional déjà chargé
Ce n’est pas la première fois que des systèmes liés à la Région sont visés : Next rappelle qu’en octobre 2025, l’équipement informatique des lycées des Hauts-de-France avait déjà subi une cyberattaque. L’AFP souligne de son côté que la France figure parmi les pays les plus ciblés, et que les données volées sont souvent revendues pour alimenter des escroqueries.
Vous voulez évaluer vos propres réflexes face à ce type de situation ? Notre quiz RGPD passe en revue les obligations de base d’un responsable de traitement.
Sources
- Techniques de l’Ingénieur (dépêche AFP), « Cyberattaque dans les Hauts-de-France : plus de 500.000 personnes touchées, selon la région », 5 octobre 2026 : https://www.techniques-ingenieur.fr/actualite/breves-afp/cyberattaque-dans-les-hauts-de-france-plus-de-500-000-personnes-touchees-selon-la-region-164436/
- Next, « Fuite de données à la région Hauts-de-France, avec « potentiellement des RIB » », 5 octobre 2026 : https://next.ink/brief-article/fuite-de-donnees-a-la-region-hauts-de-france-avec-potentiellement-des-rib/
- CNIL et Cybermalveillance.gouv.fr, « Violation de données personnelles : que faire en 3 étapes clés », octobre 2026 : https://www.cnil.fr/sites/default/files/2026-10/violationdedonnees.pdf
