Alliance Police Nationale : le syndicat informe ses adhérents d'un accès non autorisé à leurs données, périmètre et nombre de personnes non communiqués

Le samedi 24 octobre 2026, Cyberattaque.org puis Clubic ont rendu public un courrier par lequel Alliance Police Nationale, syndicat représentant notamment des policiers nationaux, informe ses adhérents d’un incident de sécurité informatique ayant entraîné un « accès non autorisé à certaines données personnelles ». Intitulé « Information relative à la protection de vos données », le message indique que des investigations ont été lancées avec l’aide de spécialistes pour déterminer l’origine de la compromission et son étendue. Cyberattaque.org dit s’être procuré une copie du courrier, tandis que Clubic en attribue l’obtention à FrenchBreaches, dont l’article n’a pas été consulté. Le syndicat reconnaît ainsi l’incident dans un document adressé à ses adhérents, ce qui justifie le statut de fuite confirmée, mais les deux articles reposent sur ce seul courrier et aucune communication publique du syndicat n’a été trouvée.

L’ampleur de l’incident n’est pas documentée : le courrier ne donne ni le nombre d’adhérents concernés, ni la date de l’intrusion, ni les catégories de données consultées, et aucune revendication de l’intrusion n’a été relevée par Cyberattaque.org ni par Clubic. Aucun chiffre de personnes n’est donc retenu. Le contexte immédiat comprend une attaque par déni de service revendiquée par le groupe Dark Storm contre le site du syndicat quelques jours avant le courrier, dans une vague visant plusieurs services français ; les deux médias précisent qu’aucun élément ne relie ce déni de service, qui sature un site, à une intrusion dans un système contenant des données. Alliance avait par ailleurs subi en décembre 2018 le piratage de son application de permutations, qui avait exposé les données de 498 policiers adhérents (identités, courriels, téléphones, parfois l’affectation) selon Siècle Digital, une enquête de la DGSI ayant suivi selon Cyberattaque.org, mais l’incident de 2026 n’est présenté comme lié à celui-ci par aucune source.

La nature des données touchées reste à établir. La sévérité « élevée » est retenue plutôt que « critique », faute de volume et de champs connus : le simple fait d’être adhérent d’un syndicat révèle une appartenance syndicale, catégorie de données dont l’article 9 du RGPD encadre strictement le traitement, et les personnes concernées sont des policiers. Cyberattaque.org décrit le formulaire d’adhésion 2026 (Clubic n’en reprend qu’une partie), qui demande l’identité, la date et le lieu de naissance, l’adresse personnelle, le courriel, le téléphone, le matricule, le grade, la ville et le service d’affectation, l’ancienneté, la qualité d’OPJ et, pour les adhésions en couple, des informations sur le conjoint, ainsi qu’un mandat SEPA et un RIB en cas de prélèvement. Rien n’indique que ces champs figurent dans le périmètre compromis, et la gravité serait relevée à « critique » si le syndicat confirmait un volume important ou ces champs, ou abaissée si seules des données limitées sont en cause. Si l’adresse personnelle et l’affectation étaient concernées, l’exposition ouvrirait la voie à des messages d’hameçonnage très crédibles se faisant passer pour le syndicat ou l’administration, mais aussi à du doxxing, du harcèlement ou des menaces visant des agents et leurs proches, risque que Cyberattaque.org signale expressément.

Côté réaction, Alliance indique avoir engagé les démarches nécessaires pour comprendre l’origine de l’incident, en mesurer les conséquences et renforcer la protection de ses informations, et son bureau national promet, selon Clubic, de tenir les adhérents informés. Aucune des deux sources ne mentionne de dépôt de plainte, ni de notification à la CNIL, dont la réalisation n’est donc pas établie à ce jour.

Aux adhérents, le syndicat recommande de se méfier des courriels, SMS ou appels inhabituels réclamant des informations personnelles ou bancaires. En pratique, il est préférable de ne répondre à aucune sollicitation se réclamant d’Alliance, d’un service des ressources humaines ou d’un organisme partenaire sans la vérifier en rappelant soi-même un numéro connu, de surveiller les prélèvements bancaires si un RIB a été transmis, de signaler les courriels suspects à Signal Spam et les SMS ou appels frauduleux au 33700, et de consulter cybermalveillance.gouv.fr en cas de fraude avérée. Les adhérents qui craignent pour leur sécurité personnelle peuvent aussi s’adresser à leur hiérarchie ou au service de sécurité de leur administration.