Nomad Education : 4,85 millions de lignes de comptes revendiquées dont de nombreux mineurs, cyberattaque évoquée par l'éditeur

Le 16 octobre 2026, un vendeur a mis en vente sur un forum cybercriminel une base présentée comme l’extraction des comptes de Nomad Education, application française de révision destinée aux collégiens, lycéens et étudiants. L’annonce a été relevée le 17 octobre par Cyberattaque.org et Fuites Infos, qui ont examiné l’échantillon de 1 001 lignes joint à la vente. Selon Fuites Infos, Nomad Education reconnaît dans une notification à ses utilisateurs un accès non autorisé à leurs données lors d’une cyberattaque du 16 octobre 2026, qu’elle dit avoir rapidement stoppée, et déclare avoir renforcé sa protection et alerté les autorités, dont la CNIL ; elle y cite le nom, le prénom, l’adresse électronique et la date de naissance. Cyberattaque.org, publié le 17 octobre à 7 h 48, indique que l’éditeur n’avait pas encore confirmé l’incident publiquement. Cette réaction n’est rapportée que par Fuites Infos (mise à jour le 23 octobre), le texte de la notification n’ayant pu être consulté ni recoupé par une seconde source, d’où le statut « alléguée ».

Le chiffre de 4 852 437 lignes provient uniquement de la revendication, que Nomad Education ne reprend pas et que ni Cyberattaque.org ni Fuites Infos n’ont pu vérifier faute d’avoir eu accès au fichier complet. Il s’agit de comptes cumulés depuis la création de l’application et non d’utilisateurs actifs : le vendeur dit lui-même qu’environ 500 000 adresses seraient des adresses de substitution ou des relais de messagerie Apple, et l’échantillon comprend 66 comptes techniques de profils familiaux, de sorte que le volume ne correspond pas à autant de personnes. Aucun nombre de victimes n’est donc retenu tant que l’éditeur n’a pas consolidé le périmètre.

Selon l’échantillon, chaque ligne comporte une adresse électronique et un nom d’utilisateur, la quasi-totalité un prénom, la grande majorité un nom, et 869 lignes sur 1 001 une date de naissance. Cyberattaque.org dénombre 323 mineurs parmi ces 869 profils, dont 16 de moins de 13 ans, le plus jeune ayant 6 ans, tandis que Fuites Infos évalue à plus d’un tiers la part des mineurs parmi les comptes qui indiquent une date de naissance ; cette proportion ne peut pas être étendue sans précaution aux 4,85 millions de lignes. L’échantillon contient aussi des identifiants de connexion Google (545 lignes) et Apple (82 lignes), 254 jetons de connexion, dont 138 portent une date d’expiration postérieure au 17 octobre 2026, et 13 champs de réinitialisation de mot de passe. Aucune des deux analyses n’a relevé de mot de passe ni d’empreinte de mot de passe, d’adresse postale, de téléphone ou de donnée bancaire. L’éditeur affirme, selon Fuites Infos, que les mots de passe ne sont pas touchés et que ces données ne permettent pas de se connecter à un compte, alors que l’échantillon contient des jetons de connexion que sa notification ne mentionne pas ; leur validité réelle ne peut pas être déterminée à partir du seul fichier, un jeton pouvant être révoqué côté serveur. La gravité est retenue à « critique » en raison de la présence de mineurs en nombre, y compris de très jeunes enfants, avec leur date de naissance et leur adresse électronique (plus d’un tiers des profils datés de l’échantillon), et elle pourrait être revue à la baisse si l’éditeur établissait que la part de mineurs est faible dans l’ensemble de la base.

Le principal risque est l’hameçonnage ciblé : connaître le nom, la date de naissance, l’adresse électronique et l’usage d’une application scolaire suffit à rédiger un faux message crédible sur un problème de compte, un abonnement ou une préparation d’examen, auquel un enfant ou un adolescent est moins armé pour résister. Fuites Infos signale que les enfants peuvent aussi être visés par des messages citant leur établissement ou leur classe, des champs que l’échantillon examiné par Cyberattaque.org ne mentionne pas, de sorte que leur présence n’est pas établie. Aucune source n’indique que la base provient d’une ancienne fuite remise en circulation, et les jetons récents de l’échantillon plaident pour une extraction récente. Le mode d’intrusion reste inconnu.

Les utilisateurs et les parents ont intérêt à changer le mot de passe du compte et celui de tout service où il était réutilisé, à activer la double authentification lorsqu’elle est proposée, à se déconnecter des appareils connectés et à passer par le site ou l’application officiels plutôt que par un lien reçu. Les courriels suspects peuvent être signalés à Signal Spam, les SMS frauduleux au 33700, et cybermalveillance.gouv.fr offre une assistance gratuite en cas de fraude avérée.