Des candidats animateurs, des directeurs de séjour et des familles en contact avec Croq' Vacances pourraient voir leurs pièces d'identité et leurs carnets de vaccination exposés. Selon la revendication publiée le 15 juillet 2026 sur un forum cybercriminel, près de 73 000 personnes figureraient dans l'extranet de l'association. Basée à Basse-Goulaine, en Loire-Atlantique, celle-ci organise des colonies de vacances pour enfants et adolescents.
Qui figure dans l'extranet de Croq' Vacances
L'outil en cause sert à gérer les candidatures et les comptes utilisateurs. Il rassemblerait trois publics : les candidats à des postes d'encadrement (animation avec le BAFA ou le BAFD, direction, surveillance de baignade), les familles et contacts, et les titulaires de comptes de connexion. Des informations relatives à des mineurs figureraient également dans le lot. L'association n'a pas confirmé publiquement ce piratage présumé à ce stade.
Des dossiers de candidature très complets
Au-delà de l'identité et des coordonnées (nom, adresse, téléphone, adresse électronique, date et lieu de naissance), le lot contiendrait plusieurs dizaines de milliers de documents joints aux candidatures : pièces d'identité, carnets de vaccination, CV, diplômes, photos. Les catégories recensées mentionnent aussi le numéro de sécurité sociale, des permis ou licences, un RIB et des éléments de dossier médical. Les mots de passe des comptes seraient présents sous forme hachée, et non en clair.
C'est la réunion de ces pièces qui rend le lot sensible. Une copie de pièce d'identité accompagnée d'une adresse, d'une date de naissance, d'un numéro de sécurité sociale et d'un RIB fournit de quoi tenter une usurpation d'identité dans des démarches administratives ou financières. Les carnets de vaccination et les informations médicales, eux, relèvent de l'intimité des candidats et ne peuvent pas être modifiés après leur diffusion.
Détails techniques :
- Extranet de gestion des candidatures et des comptes utilisateurs visé
- Environ 73 000 personnes annoncées : candidats, familles et contacts, comptes de connexion
- Plusieurs dizaines de milliers de documents joints annoncés
- Mots de passe des comptes présents sous forme hachée
Données concernées :
- Nom complet
- Adresse email et numéro de téléphone
- Adresse postale
- Date et lieu de naissance
- Pièce d'identité
- Numéro de sécurité sociale
- Numéro de permis ou de licence
- Mot de passe (haché)
- Rôle ou droits d'accès
- RIB
- Données de santé et dossier médical (dont carnets de vaccination)
- Données de mineurs
- Données d'emploi, de candidature et données professionnelles (CV, diplômes)
- Documents et photos
- Champs libres
Mentions :
Statut Fuites Infos : Revendiquée