Piratage de la plateforme e-campus : les données de plus de 170 000 policiers exposées

Une alerte qui tombe avec un mois de retard

On vient d’apprendre que la plateforme de formation de la Police nationale a été victime d’un piratage majeur à la mi-mars 2026. Ce qui interpelle tout de suite, c’est le délai de communication de l’administration. Il aura fallu attendre le 15 avril, soit quasiment un mois après les faits, pour que la DGPN admette l’intrusion. Le chiffre est pour le moins vertigineux : 176 317 agents seraient concernés selon les revendications du pirate. « Nom, prénom, mail professionnel, résidence administrative, formations suivies… des informations qui, une fois recoupées avec d’autres fuites, peuvent mettre en danger les policiers et leurs familles. » Cette phrase résume à elle seule l’inquiétude qui gagne les commissariats. Ce n’est pas juste un problème technique, c’est une faille humaine potentielle.

Les coulisses de l’intrusion sur e-campus

Tout se joue durant les journées des 17 et 18 mars 2026. L’intrus s’est glissé dans les serveurs d’e-campus, cet outil de formation à distance devenu indispensable pour les flics, les administratifs et les contractuels. La plateforme n’est pas gérée directement en interne mais par un prestataire extérieur, ce qui pose déjà beaucoup de questions sur la chaîne de sécurité. Officiellement, la DGPN parle d’un « incident de sécurité » où des données ont été consultées. Pour être explicite, le hacker a eu accès à tout ce qui permet de dresser le profil d’un agent.

On y trouve l’identité complète, la ville ou le pays de résidence administrative, et l’adresse mail, qu’elle soit professionnelle ou personnelle. Plus gênant encore, le pirate a pu lister les intitulés des e-formations, les modules validés, les badges obtenus et même les historiques de connexion. L’administration tente de rassurer en précisant qu’aucun fichier opérationnel, comme des enquêtes en cours ou des dossiers judiciaires, n’a été touché.

La signature d’HexDex sur le darkweb

Celui qui fait trembler l’institution signe sous le pseudo de HexDex. Ce hacker n’a pas perdu de temps pour faire parler de lui sur les forums spécialisés du darkweb. Preuves à l’appui, avec des captures d’écran explicites, il affirme détenir 176 317 profils uniques. Ce n’est pas une simple frime de pirate, car les données sont déjà en vente ou diffusées. Le vrai problème ici, c’est le contexte. En 2026, on ne compte plus les fuites massives. En récupérant ces fichiers, des personnes mal intentionnées peuvent très facilement croiser les informations avec celles qui ont fuité récemment, comme celles de l’Éducation nationale, d’un opérateur mobile, des impôts, d’une salle de sport, de la restauration rapide, etc. C’est un puzzle géant qui se construit, et chaque pièce supplémentaire rend les agents plus vulnérables.

La riposte tardive de la DGPN

Face à l’ampleur du désastre, la Police nationale a dû réagir, même si beaucoup jugent que le mal est déjà fait. Dès que l’intrusion a été repérée, des mesures correctives ont été lancées pour boucher les trous et sécuriser les accès. La plateforme a été placée en maintenance forcée, le temps de faire le ménage et d’évaluer les dégâts réels. Ce matin, l’accès au service semble toujours à l’arrêt. En parallèle, des investigations ont été ouvertes. Les enquêteurs cherchent à comprendre comment le prestataire a pu se faire déborder et si les protocoles de sécurité élémentaires étaient bien respectés. En interne, on essaie de calmer le jeu, mais le mail envoyé aux personnels montre bien que la situation est prise très au sérieux.

Une année noire pour la cybersécurité publique

Ce piratage n’est cependant pas un cas isolé. On est en plein milieu d’une véritable vague de cyberattaques qui s’abat sur la France en ce printemps 2026. Juste avant la police, c’était l’Éducation nationale qui se ramassait avec environ 243 000 agents dont les données se sont retrouvées dans la nature. Le Crous et d’autres organismes publics ont aussi goûté à la médecine d’HexDex ou de ses confrères. Le point commun entre toutes ces affaires ? Souvent des prestataires privés qui gèrent des données sensibles avec des niveaux de protection discutables. Entre les délais de détection trop longs et une communication qui manque de transparence, les fonctionnaires se sentent un peu comme des cibles mouvantes face au doxing et au phishing ciblé.

Pourquoi ces informations sont une mine d’or pour les malveillants

On pourrait se dire que savoir qu’un policier a suivi une formation sur le code de la route ou la gestion du stress n’est pas bien grave. Erreur. Dans le monde du cybercrime, c’est de l’or en barre. Avec le mail professionnel et le nom de la résidence administrative, un escroc peut monter une campagne de phishing ultra-crédible. Imaginez un mail qui semble venir de la hiérarchie, mentionnant précisément une formation que vous venez de finir. On clique sans réfléchir.

Mais il y a pire : le doxing. En recoupant ces infos avec les réseaux sociaux ou d’autres bases de données, il devient possible de trouver l’adresse personnelle d’un agent. Pour des policiers qui traitent parfois des dossiers sensibles, le risque de harcèlement ou de menaces physiques sur eux et leurs proches devient soudainement très concret. La vigilance est donc de mise : il faut changer ses mots de passe, activer l’authentification double partout où c’est possible et ne faire confiance à aucun mail, même s’il paraît officiel.

Un système à bout de souffle ?

Cette énième affaire soulève des questions qui fâchent. Comment une institution comme la Police nationale peut-elle confier des données aussi sensibles à un prestataire dont la sécurité semble si friable ? On parle tout de même de l’identité de ceux qui sont censés nous protéger. Le retard d’un mois pour prévenir les victimes est aussi difficile à avaler. Ce manque de réactivité casse la confiance. Si l’État n’est pas capable de sécuriser ses propres outils de formation, comment peut-il garantir la cybersécurité du pays ? Il y a manifestement un décalage entre les discours officiels sur la souveraineté numérique et la réalité du terrain où l’externalisation à bas coût semble encore la norme.

La vulnérabilité chronique du secteur public

En fin de compte, ce piratage d’e-campus est un symptôme de plus d’une fragilité persistante. Les systèmes RH et les plateformes de formation sont souvent les parents pauvres de la sécurité informatique, perçus comme moins critiques que les fichiers opérationnels. Pourtant, ils contiennent les clés de l’identité des agents. La leçon est dure, mais elle est claire : la protection des données ne peut plus être une option ou un sujet traité avec retard. Tant que la communication ne sera pas plus rapide et la sécurisation des prestataires plus drastique, les fuites continueront de nourrir le darkweb. Alors que les cybermenaces se multiplient, la protection des données des agents de l’État devient un enjeu majeur de sécurité intérieure.