ésam Caen/Cherbourg : une intrusion vue treize jours après

Le 21 août 2026, quelqu’un est entré dans l’infrastructure d’hébergement internet de l’école supérieure d’arts & médias de Caen/Cherbourg. Le service informatique ne s’en est aperçu qu’à partir du 3 septembre. Entre les deux, l’école était fermée.

C’est l’établissement lui-même qui le dit, dans un communiqué mis à jour le 8 septembre sur son site.

Ce que l’ésam confirme

L’ésam Caen/Cherbourg est un établissement public de coopération culturelle, né en 2011 de la fusion des Beaux-Arts de Caen et de Cherbourg. Selon son site, elle forme 270 étudiants au DNA et au DNSEP, et ses ateliers grand public accueillent près de 1 000 enfants, adolescents et adultes.

Son communiqué décrit un « acte de cyber-malveillance » ayant « affecté son infrastructure d’hébergement internet ainsi que certaines des applications qui y sont liées », et entraîné « un accès non autorisé à des données stockées sur cette infrastructure » par une faille de sécurité. L’école a bloqué les accès concernés, renforcé sa sécurité, lancé des investigations « destinées à déterminer l’origine et l’étendue de l’incident », notifié la CNIL et porté plainte.

Sur les personnes, elle reste au conditionnel : des données « des usager·ères et collaborateur·ices de l’école sont susceptibles d’avoir été impactées ».

Fuite de données, vraiment ?

Le traqueur FrenchBreaches a classé l’alerte, le 10 septembre, en « fuite de données », statut « Confirmée ». L’étiquette va plus loin que les faits.

Ce qui est confirmé, c’est un accès non autorisé. Au sens du RGPD, il suffit à constituer une violation de données : l’article 4, point 12, vise explicitement « l’accès non autorisé », pas seulement la divulgation. D’où la notification à la CNIL.

Ce qui ne l’est pas : que des données personnelles aient réellement été consultées, copiées ou publiées. Fuites Infos note que l’exfiltration n’est pas confirmée. Cyberattaque.org ajoute qu’aucune base attribuée à l’école n’a été repérée en téléchargement et qu’aucun groupe n’est identifié. La fiche FrenchBreaches range elle-même la « confirmation d’exfiltration » parmi les informations manquantes. Au 14 septembre, nous n’avons trouvé aucune revendication.

Nous parlons donc d’une cyberattaque avec accès non autorisé, pas d’une fuite. Nous expliquions pourquoi la nuance compte dans ce qu’une alerte ne dit pas.

Restent inconnus le nombre de personnes, les catégories de données et la faille exploitée. L’école ne dit pas non plus si des mots de passe sont concernés : sa consigne de changer ceux qui sont réutilisés relève de la précaution.

Qui peut se sentir concerné

Dans une école d’art, « usagers » recouvre beaucoup de monde. Étudiants et élèves de la classe préparatoire, mais aussi participants aux ateliers grand public, ouverts dès 6 ans, dont les inscriptions courent jusqu’au 30 octobre. Le communiqué ne distingue pas ces publics.

Il ne mentionne pas les candidats. Pour le concours d’entrée 2026 en DNA, Parcoursup affiche 448 vœux confirmés pour 52 places, et l’école a organisé ses propres épreuves, avec dépôt de l’écrit sur une plateforme dédiée et convocations par courrier ou courriel. Elle détient donc des données de candidats. Rien n’indique qu’elles soient touchées, rien n’indique le contraire : la question peut être posée par écrit à l’adresse du communiqué.

Un calendrier qui profite aux fraudeurs

La classe préparatoire a fait sa rentrée le 31 août, les étudiants les 7, 8 et 9 septembre, et les ateliers grand public reprennent cette semaine. La nouvelle tombe au moment exact où chacun attend des messages de l’école sur les emplois du temps ou les paiements.

L’école l’a vu : sa première recommandation vise les communications « se présentant comme émanant de l’ésam Caen/Cherbourg ».

Et l’IA dans tout ça ?

Rien de public ne relie l’intelligence artificielle à cette intrusion. Nous ne le laisserons pas entendre.

Elle pèse sur la suite. Dans son Panorama de la cybermenace 2025, l’ANSSI observe que les capacités issues de l’IA permettent aux attaquants « d’améliorer le niveau, la quantité, la diversité et l’efficacité de leurs attaques ». Un faux courriel sur les frais d’atelier, rédigé sans faute avec le vocabulaire glané sur le site public de l’école, ne demande plus aucun talent d’écriture. Nous avons détaillé ce mécanisme à propos des données fiscales volées à la DGFiP.

La faute d’orthographe n’est plus un indice fiable. L’expéditeur et le canal, si.

Si vous étudiez, travaillez ou suivez un atelier à l’ésam

• Un message inattendu au nom de l’école réclame un paiement ou un identifiant : vérifiez par un canal que vous connaissiez avant, jamais par le lien fourni.
• Un appel sur l’incident doit vous alerter. L’école précise qu’elle ne donnera aucune information par téléphone, sur les réseaux sociaux ou à l’accueil.
• Changez les mots de passe identiques ou proches de celui d’un service de l’école, en commençant par votre messagerie.
• En cas d’usage frauduleux de vos données, 17Cyber.gouv.fr oriente les démarches ; la plainte peut se déposer en ligne via la plateforme THÉSÉE. Un SMS suspect se transfère au 33700.

Pour une petite structure qui ferme en août

Beaucoup de TPE, d’associations et d’organismes de formation ferment l’été. Une intrusion ne prend pas de congés.

• Qui lit les alertes de l’hébergeur quand le bureau est vide ? Une adresse consultée pendant les congés, ou un prestataire d’astreinte. Sinon, personne.
• Votre site vitrine porte-t-il aussi des applications qui traitent des données personnelles ? L’ésam décrit exactement cette configuration. Séparer le site public des données se décide avant l’incident.
• Le communiqué est-il prêt ? L’ésam a publié une page claire, avec des consignes concrètes et un canal unique pour les questions. C’est la partie à copier.

L’article 33 du RGPD fait courir les 72 heures de notification à partir du moment où l’on a connaissance de la violation. Le temps passé sans rien voir n’entre pas dans ce décompte, et c’est précisément ce temps-là qu’une petite structure maîtrise le moins.

Organiser la détection et la réponse avant la crise est l’objet de notre formation Réagir face à une cyberattaque ; les autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Une question à trancher avant le 1er août prochain : si quelqu’un entre sur votre site le 21, qui s’en apercevra, et quand ?

Sources

• ésam Caen/Cherbourg, « Communication suite à un acte de cyber-malveillance », mise à jour le 8 septembre 2026 ; pages « L’école » et « Grand Public », consultées le 14 septembre 2026.
• actu.fr, « Cyberattaque à l’Esam Caen/Cherbourg : des données personnelles potentiellement compromises », 10 septembre 2026.
• ICI Normandie, « Une école de Cherbourg victime d’un acte de cyber-malveillance, une plainte déposée », 11 septembre 2026.
• Cyberattaque.org, « L’ésam Caen/Cherbourg victime d’une cyberattaque en pleine rentrée universitaire », 10 septembre 2026.
• Fuites Infos, fiche « ésam Caen/Cherbourg », 10 septembre 2026, mise à jour le 11.
• FrenchBreaches, fiche « École supérieure d’arts & médias (ESAM) », 10 septembre 2026.
• Parcoursup, fiche de la formation DNA de l’ESAM (Caen), session 2026.
• ANSSI / CERT-FR, Panorama de la cybermenace 2025, 11 mars 2026.
• Règlement (UE) 2016/679 (RGPD), article 4, point 12, et article 33.
• Aucun article trouvé chez Ouest-France, Tendance Ouest ni France 3 Normandie au 14 septembre 2026.