Le 5 octobre 2026, le président de la région Hauts-de-France a annoncé en session plénière que des données concernant près de 545 000 personnes avaient fuité après la cyberattaque visant deux prestataires de la collectivité, selon BFM. Deux jours plus tôt, le 3 octobre, la région avait indiqué à l’AFP avoir été victime d’une cyberattaque ayant entraîné la diffusion d’informations personnelles ainsi que, potentiellement, des relevés d’identité bancaire, sans pouvoir en préciser l’ampleur exacte, d’après 20 Minutes avec AFP. Les dispositifs concernés relèveraient d’aides régionales, dont un dispositif destiné aux lycéens et aux apprentis. La collectivité annonce avoir déposé plainte, fermé les plateformes concernées, informé l’Agence nationale de la sécurité des systèmes d’information et commencé à informer les usagers ; son système d’information interne n’aurait pas été touché et l’incident serait désormais résolu, toujours selon ces mêmes sources.
Ces chiffres restent à stabiliser : la région dit elle-même ne pas connaître le nombre exact de personnes concernées et ne pas savoir à ce stade si les relevés d’identité bancaire ont été consultés ou extraits, tandis que le chiffre de plus de 700 000 personnes avancé en ligne par un site qui recense ce type d’annonces demeure invérifié. Aucune responsabilité n’est établie à ce jour et seul le juge pourrait la trancher. Cet article explique, à partir des seuls faits rapportés par la presse nationale, les réflexes utiles pour les personnes dont les données sont compromises, puis les obligations de l’organisme attaqué et les voies d’indemnisation ouvertes aux victimes.
I. Données et RIB compromis après une cyberattaque : que faire dans les premiers jours ?
D’après les déclarations rapportées par BFM, les données en cause seraient, pour la première plateforme, les noms, prénoms, adresses électroniques, types de tiers et habilitations d’un maximum de 515 000 personnes sur 745 000 enregistrées, et, pour la seconde, essentiellement des contrats d’apprentissage et des relevés d’identité bancaire d’environ 30 000 bénéficiaires et partenaires. La question de savoir si les RIB ont été effectivement consultés et extraits reste ouverte. Deux risques distincts doivent être traités sans attendre : l’utilisation frauduleuse des coordonnées bancaires et l’hameçonnage ciblé rendu possible par la connaissance de vos nom, prénom et adresse électronique. Les paragraphes qui suivent détaillent les démarches pratiques, avant d’examiner dans la seconde partie les responsabilités et les recours.
A. Faut-il faire opposition, changer de RIB et surveiller ses comptes ?
Un relevé d’identité bancaire n’est pas un moyen de paiement : il ne permet pas à lui seul de retirer de l’argent. En revanche, la combinaison d’un IBAN, d’un nom et d’une adresse rend possibles des tentatives de prélèvements SEPA fondés sur de faux mandats, ainsi que des escroqueries par téléphone, SMS ou courrier électronique particulièrement crédibles. La première mesure consiste donc à surveiller attentivement ses relevés de compte, ligne par ligne, pendant plusieurs mois, et à interroger sa banque sur les protections disponibles : alerte sur chaque opération, révocation des mandats de prélèvement douteux, voire changement d’IBAN lorsque la situation le justifie. Si vous perceviez des aides versées sur le compte dont le RIB a pu être compromis, rapprochez-vous de l’organisme verseur pour savoir s’il y a lieu de lui communiquer de nouvelles coordonnées bancaires.
Le droit bancaire protège le payeur contre les opérations non autorisées, à condition de signaler rapidement. L’article L133-24 du code monétaire et financier dispose : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » (article L133-24 du code monétaire et financier). Le délai maximal de treize mois ne doit pas inciter à attendre : plus le signalement est précoce, plus la contestation est simple à établir.
Une fois l’opération non autorisée signalée, la banque est tenue de rembourser vite. L’article L133-18 du même code prévoit que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. » (article L133-18 du code monétaire et financier). Conservez donc chaque relevé faisant apparaître une opération contestée, la date et l’heure de votre signalement à la banque, ainsi que ses réponses écrites : ces pièces conditionnent le remboursement et, le cas échéant, l’indemnisation complémentaire évoquée en seconde partie.
Le second réflexe concerne la messagerie : votre adresse électronique étant exposée, changez sans attendre les mots de passe des comptes sensibles, activez la double authentification partout où elle existe et redoublez de vigilance face aux messages qui exploiteraient la fuite. Un courrier électronique qui cite votre nom, votre statut de bénéficiaire d’une aide régionale ou votre lycée n’est pas pour autant authentique : vérifiez l’expéditeur, ne cliquez sur aucun lien transmis par un message inattendu et connectez-vous en tapant vous-même l’adresse du site de votre banque ou de l’organisme. Les tentatives qui suivent ce type de fuite peuvent caractériser une escroquerie au sens de l’article 313-1 du code pénal : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » et « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. » (article 313-1 du code pénal). Chaque message frauduleux reçu doit être conservé : il pourra servir de preuve.
B. Où signaler la fuite et comment garder des preuves qui comptent ?
Lorsque vous recevez un courrier ou un message vous informant que vos données sont compromises, conservez-le précieusement : il indique quelles catégories de données seraient concernées, quelles mesures l’organisme dit avoir prises et quels contacts il met à disposition. Cette information individuelle n’est pas une simple politesse : lorsqu’une violation de données est susceptible d’engendrer un risque élevé pour vos droits et libertés, le responsable du traitement doit vous la communiquer dans les meilleurs délais, comme le prévoit l’article 34 du règlement européen sur la protection des données : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. » et cette communication « décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et mesures visées à l’article 33, paragraphe 3, points b), c) et d). » (articles 33 et 34 du règlement (UE) 2016/679). Si vous êtes concerné par la fuite ici commentée et que vous n’avez reçu aucune information, écrivez au délégué à la protection des données de l’organisme pour demander si vous figurez parmi les personnes touchées et quelles données précisément sont en cause. Pour une démarche générale après réception d’un tel courrier, notre guide dédié détaille chaque étape : courrier de notification de fuite de données reçu : que faire, CNIL, juge et réparation.
Signalez ensuite les faits dans les bons circuits. Déposez plainte auprès d’un commissariat ou d’une brigade de gendarmerie, ou par courrier au procureur de la République, en joignant la notification reçue et un récit chronologique : la plainte fait constater l’infraction par l’autorité et ouvre la voie à l’action civile. L’article 2 du code de procédure pénale dispose en effet : « L’action civile en réparation du dommage causé par un crime, un délit ou une contravention appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction. » (article 2 du code de procédure pénale). Parallèlement, vous pouvez saisir la Commission nationale de l’informatique et des libertés par une plainte en ligne : la CNIL peut contrôler l’organisme, le mettre en demeure et, en cas de manquements persistants, prononcer des sanctions dont la seconde partie montre l’ampleur possible. Signalez enfin toute tentative d’escroquerie qui exploiterait vos données sur la plateforme gouvernementale de signalement des arnaques en ligne, en conservant les récépissés de chaque démarche.
La qualité de vos preuves déterminera vos chances d’indemnisation. Constituez dès maintenant un dossier daté : notification reçue, relevés bancaires avant et après l’incident, copies des messages frauduleux avec leurs en-têtes, récépissés de plainte et de signalements, factures des frais engagés pour sécuriser vos comptes, attestations de votre employeur si vous avez dû vous absenter pour accomplir ces démarches, et journal précis du temps passé. Faites constater par écrit, auprès de votre banque, chaque opération contestée et chaque refus éventuel de remboursement. Un dossier similaire avait dû être constitué par les victimes d’une précédente cyberattaque massive contre un organisme de formation, qui avait touché près de 1,7 million de personnes : données personnelles piratées après la cyberattaque visant l’Afpa, que faire, plainte et indemnisation.
II. Cyberattaque visant vos données : qui est responsable et comment obtenir réparation ?
Trois catégories d’acteurs doivent être distinguées : les auteurs de l’attaque, inconnus à ce jour, qui s’exposent à des sanctions pénales ; l’organisme dont les traitements ont été atteints à travers ses prestataires, soumis aux obligations du droit des données personnelles ; et les prestataires eux-mêmes, dont le rôle exact reste à établir. Selon 20 Minutes avec AFP, la région a cité deux de ses prestataires comme ayant été victimes de la cyberattaque ayant permis un accès non autorisé à des données traitées pour son compte. Les lignes qui suivent exposent le cadre applicable à chacun, en rappelant qu’aucune faute n’est à ce stade établie et que les qualifications juridiques définitives appartiendraient au juge.
A. Quelles obligations pour l’organisme attaqué et ses prestataires ?
Le droit européen impose une réaction rapide et documentée. L’article 33 du règlement (UE) 2016/679 prévoit : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. » (article 33 du règlement (UE) 2016/679). Et le même texte ajoute : « Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. » Dans la configuration décrite par la presse, où l’attaque aurait visé des prestataires traitant des données pour le compte de la collectivité, cette double notification – du prestataire vers l’organisme, puis de l’organisme vers la CNIL – constitue le cœur de la conformité à vérifier.
Au-delà de la notification, c’est la sécurité des traitements qui est examinée. L’article 226-17 du code pénal punit : « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-17 du code pénal). Les mesures visées incluent la sécurité du traitement, c’est-à-dire les protections techniques et organisationnelles appropriées contre l’accès non autorisé. Côté administratif, la CNIL peut prononcer des sanctions pécuniaires considérables : par une délibération du 21 janvier 2019, sa formation restreinte avait infligé à une grande société du numérique « une sanction pécuniaire de 50 000 000 d’euros à raison de manquements aux articles 6, 12 et 13 du RGPD », sanction confirmée par le Conseil d’État qui a jugé : « Article 2 : La requête de la société Google LLC est rejetée. » (Conseil d’État, 10e et 9e chambres réunies, 19 juin 2020, n° 430810, décision n° 430810 sur Légifrance). Toute plainte déposée auprès de la CNIL après la fuite ici commentée s’inscrirait dans ce cadre de contrôle, sans préjjuger de son issue.
Du côté de l’organisme, plusieurs éléments rapportés par la presse joueraient en sa faveur s’ils étaient confirmés : dépôt de plainte auprès des autorités compétentes, fermeture des plateformes concernées, information de l’agence nationale de la sécurité des systèmes d’information, début d’information des usagers, système d’information interne préservé et incident présenté comme résolu. Ces mesures, si elles sont avérées, traduiraient une réaction conforme à ce qu’attendent les textes, mais elles ne permettraient pas à elles seules de conclure à l’absence de manquement antérieur : seule une instruction, administrative ou judiciaire, pourrait établir si les mesures de sécurité étaient appropriées avant l’attaque et si les notifications ont été effectuées dans les délais. Quant aux prestataires, leurs contrats avec l’organisme détermineraient le partage des obligations de sécurité, de notification et, éventuellement, d’indemnisation entre eux, sans que le contenu de ces contrats soit connu du public.
B. Comment chiffrer son préjudice et agir pour être indemnisé ?
Le préjudice d’une fuite de données se compose de plusieurs postes qu’il faut identifier séparément. Le poste financier d’abord : toute opération de paiement non autorisée débitée après la fuite doit être contestée auprès de la banque dans les conditions décrites en première partie, avec remboursement au plus tard à la fin du premier jour ouvrable suivant le signalement. Le poste moral ensuite : angoisse durable liée à l’exposition de ses données et de son RIB, temps considérable consacré à la surveillance des comptes, au changement des mots de passe et aux démarches, correspondances anxiogènes reçues, voire usurpation d’identité avérée. Le principe de la réparation est posé par l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil). Encore faut-il prouver la faute, le dommage et le lien entre eux : c’est là que le dossier de preuves constitué dès les premiers jours prend toute sa valeur, en particulier pour démontrer que l’organisme n’aurait pas mis en oeuvre les mesures de sécurité requises ou n’aurait pas notifié et informé dans les délais.
Avant tout procès, adressez une demande indemnitée chiffrée et motivée à l’organisme, par lettre recommandée avec accusé de réception, en joignant vos justificatifs : relevés, factures, attestations, estimation du temps passé valorisé à un taux explicite. Cette mise en demeure interrompt les délais et ouvre souvent une négociation ; vérifiez aussi vos contrats d’assurance, qui comportent parfois une garantie de protection juridique couvrant les honoraires d’avocat. Si la voie amiable échoue, l’action en responsabilité civile peut être portée devant le tribunal judiciaire, et les victimes d’une infraction pénale disposent de l’action civile définie à l’article 2 du code de procédure pénale cité plus haut. Sur le plan pénal, les auteurs encore inconnus s’exposeraient, s’ils étaient identifiés, à l’article 323-1 du code pénal : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du code pénal). La Cour de cassation donne à ce texte une portée large : « En effet, se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie » (Cass. crim., 2 septembre 2025, n° 24-83.605, arrêt n° 24-83.605 sur courdecassation.fr). L’extraction et la diffusion de données relèveraient pour leur part de l’article 323-3 du code pénal : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-3 du code pénal).
Reste la question des délais pour agir. En matière civile, l’article 2224 du code civil dispose : « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. » (article 2224 du code civil). Le point de départ court donc en principe du jour où vous avez connu la fuite et ses conséquences, ce qui, pour les faits ici commentés, renvoie aux annonces d’octobre 2026 et à la notification individuelle que vous auriez reçue. Ce délai de droit commun n’épuise pas la question : d’autres délais particuliers peuvent s’appliquer selon la voie choisie, et une déchéance peut résulter d’un signalement tardif à la banque, comme le montre le délai de treize mois de l’article L133-24. Dans tous les cas, n’attendez pas que le préjudice s’aggrave : chaque semaine sans démarche complique la preuve du lien entre la fuite et le dommage allégué.
Conclusion
La cyberattaque rapportée par la presse au début du mois d’octobre 2026 aurait compromis les données de plus d’un demi-million de personnes, avec une incertitude persistante sur les relevés d’identité bancaire et un chiffre circulant en ligne qui reste invérifié. Pour les personnes concernées, l’urgence est pratique : surveiller les comptes, signaler sans tarder toute opération suspecte, sécuriser la messagerie et constituer un dossier de preuves. Pour l’indemnisation, tout repose sur la démonstration d’un manquement, d’un dommage et d’un lien entre eux, dans des délais stricts. À la date de rédaction, aucune intrusion au-delà de ce que les sources rapportent, aucun dommage précis ni aucune responsabilité ne sont établis, et les conditions de votre banque comme les courriers que vous avez personnellement reçus priment sur toute analyse générale ; seul le juge, saisi des faits et des pièces, pourrait trancher. Les démarches détaillées dans notre guide après réception d’un courrier de notification et le retour d’expérience de la cyberattaque visant l’Afpa complètent utilement cette analyse.