Des personnes suivies en formation ou en insertion chez BatiPro33, dont des mineurs, pourraient voir leur numéro de sécurité sociale, leur parcours et des informations sur leur santé exposés après une cyberattaque présumée. D'après une revendication publiée le 26 juillet 2026 sur un forum cybercriminel, la base de l'application de gestion de cet organisme de formation girondin porterait sur environ 1 100 personnes.
Qui sont les stagiaires de BatiPro33 concernés
BatiPro33 forme aux métiers du bâtiment et est certifié Qualiopi. Il est implanté en Gironde sur cinq sites : Libourne, Langon, Belin-Béliet, Lesparre-Médoc et Saint-André-de-Cubzac. Les personnes concernées seraient des apprenants en formation ou en parcours d'insertion, dont certains mineurs, ainsi que les comptes du personnel de l'organisme.
Un dossier complet sur chaque personne
Le lot mis en ligne par un pirate viendrait d'une partie applicative du site de l'organisme et se présenterait en cinq fichiers, accompagnés d'un fichier de configuration. D'après la structure annoncée, il s'agirait d'un export direct des bases de l'application de gestion, et non d'un extrait partiel.
On y trouverait l'identité et les coordonnées des stagiaires (nom, date et lieu de naissance, adresse, téléphone, courriel), leur numéro de sécurité sociale, leur parcours de formation et leur suivi administratif. S'y ajouteraient des éléments de situation sociale, comme les dispositifs d'accompagnement ou la situation vis-à-vis de l'emploi, des informations sur le handicap ou la santé, et des signatures manuscrites relevées sur les feuilles d'émargement.
Ce type de dossier réunit ce qui permet d'usurper une identité : numéro de sécurité sociale, date et lieu de naissance, adresse, et même une signature. Les informations sur la santé, le handicap ou la situation sociale touchent en outre des personnes souvent en situation fragile, et la présence de mineurs accroît l'enjeu. Le fichier serait proposé au téléchargement, et l'organisme n'a pas confirmé publiquement ces éléments à ce stade.
Détails techniques :
- Base d'un sous-domaine applicatif, cinq fichiers SQL et un fichier de configuration
- Export direct des bases de l'application de gestion selon la structure annoncée
- Environ 1 100 personnes suivies en formation ou en insertion, dont des mineurs
- Signatures manuscrites d'émargement présentes
- Comptes du personnel avec mots de passe, dont versions hachées, jetons et clés d'API
Données concernées :
- Nom complet, prénom, nom et civilité
- Date et lieu de naissance
- Adresse postale, ville et code postal
- Numéro de téléphone et adresse email
- Numéro de sécurité sociale
- Signature
- Données scolaires et dossier de formation
- Données de mineurs
- Données de santé et de handicap
- Données d'aide sociale et situation familiale
- Données d'emploi et données professionnelles
- Rendez-vous, documents, contenu de messages et champs libres
- Montant et SIRET
- Identifiant interne, identifiant de connexion, mot de passe et mot de passe (haché)
- Jeton d'authentification, clé d'accès ou d'API, rôle ou droits d'accès
- Adresse IP et données d'appareil
Mentions :
Statut Fuites Infos : Revendiquée