Familea attaqué : cinq communes sans portail famille

Réserver la cantine, inscrire son enfant au centre de loisirs, transmettre un certificat médical : dans des centaines de communes, tout cela passe par un portail famille. Le 14 septembre 2026, plusieurs de ces portails se sont arrêtés en même temps.

La commune de Bruguières, en Haute-Garonne, l’a dit sans détour : les serveurs de son portail famille Familea font l’objet d’une cyberattaque. Le prestataire a décidé de couper l’ensemble des accès externes.

Ce qui est établi, et rien de plus

Une cyberattaque, une coupure préventive, des services interrompus. Voilà le périmètre de ce qui est documenté au 16 septembre.

Des perturbations ont été signalées à partir du 14 septembre par plusieurs communes : Draguignan dans le Var, Saint-Chamas dans les Bouches-du-Rhône, Le Cheylas en Isère, Brindas dans le Rhône et Bruguières en Haute-Garonne. La liste n’est sans doute pas exhaustive : elle recense les collectivités qui ont communiqué, pas celles qui sont touchées.

Aucune exfiltration de données n’est confirmée. Les investigations se poursuivent pour déterminer si des systèmes ont été atteints avant l’isolement, et quelles informations ont pu être concernées. Nous n’écrirons donc pas le mot « fuite » : ce serait répéter l’erreur que nous avions relevée à propos de Joigny, où des tentatives d’intrusion bloquées circulaient sous cette étiquette.

Le RGPD apporte tout de même une nuance utile. Son article 4, point 12, définit la violation de données comme couvrant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé. Des données rendues indisponibles peuvent constituer une violation sans qu’aucun fichier ne soit sorti. Interruption ne veut pas dire fuite ; elle ne veut pas dire non plus qu’il ne s’est rien passé au sens du règlement.

Qui est Familea

Abelium Collectivités a rejoint le groupe JVS en février 2026 avant de prendre le nom de Familea. L’éditeur équipe environ 1 600 collectivités, associations et structures privées, avec plus de 5 000 licences déployées.

Ses solutions centralisent ce qui fait fonctionner un service enfance : dossiers familles, inscriptions scolaires, réservations, présences, facturation, documents transmis par les parents, menus, régimes alimentaires et alertes médicales.

Cette dernière liste mérite d’être relue. Un régime alimentaire peut révéler une allergie, une conviction religieuse ou une pathologie. Une alerte médicale attachée à un enfant est une donnée de santé au sens de l’article 9 du RGPD, dont le traitement relève des catégories particulières.

Répétons-le : rien n’indique aujourd’hui que ces données aient été consultées. Mais si l’enquête établissait un accès, le niveau de sensibilité ne serait pas celui d’un fichier de contacts.

Ce que la commune doit faire, pas le prestataire

C’est le point que les collectivités concernées ont intérêt à trancher tout de suite.

La commune est responsable du traitement au sens de l’article 4, point 7, du RGPD. L’éditeur est sous-traitant au sens du point 8. L’article 33, paragraphe 2, oblige le sous-traitant à alerter le responsable dans les meilleurs délais. Mais la notification à la CNIL sous 72 heures après prise de connaissance, prévue à l’article 33, paragraphe 1, et l’information des personnes en cas de risque élevé, prévue à l’article 34, incombent à la commune. Pas à Familea.

Autrement dit : le compteur de 72 heures a commencé à courir, pour chaque collectivité, au moment où elle a appris l’incident. Attendre les conclusions de l’éditeur pour décider s’il faut notifier n’est pas prévu par le texte. La CNIL admet une notification initiale suivie d’un complément, précisément pour les situations où l’ampleur n’est pas encore connue.

Ce que chaque commune concernée devrait demander par écrit :

quelle est la nature de l’attaque, et à quelle date les systèmes ont-ils été isolés ?
nos données figurent-elles dans le périmètre examiné, et quelles catégories ?
quels journaux d’accès subsistent, et pouvez-vous nous transmettre ceux qui concernent notre collectivité ?
Familea a-t-il notifié la CNIL en son nom, et cette notification couvre-t-elle nos administrés ?

Continuer sans portail

Pendant ce temps, les parents ne peuvent plus réserver un repas ni inscrire un enfant à une activité. Ils appellent la mairie.

La continuité d’un service enfance sans son logiciel se prépare avant, pas pendant. Nous avions décrit la même mécanique lors de la rentrée dégradée de l’académie de Toulouse.

Quatre décisions à prendre le premier jour :

Figer une règle de facturation dégradée. Sans données de présence, la commune ne peut pas facturer au réel. Décidez maintenant si vous reportez, lissez ou régularisez, et dites-le aux familles. Une facture surprise dans six semaines coûte plus cher en temps d’accueil qu’une annonce aujourd’hui.
Basculer les réservations sur un canal simple, formulaire papier ou courriel dédié, avec une date limite claire.
Sécuriser les alertes médicales. Si les fiches sanitaires ne sont plus consultables, les équipes d’animation doivent disposer d’une version de secours pour les enfants concernés. C’est la seule urgence qui ne peut pas attendre le rétablissement.
Publier un avis sur un canal indépendant du service coupé, et y écrire ce que la commune ne demandera jamais pendant l’incident : un paiement en ligne, un identifiant, des coordonnées bancaires.

Ce dernier point n’est pas théorique. Un portail famille indisponible crée une attente que des escrocs savent exploiter : un message « régularisez votre inscription » envoyé au bon moment se lit comme une réponse à un problème réel. Cybermalveillance.gouv.fr recommande de toujours recontacter l’organisme par ses coordonnées officielles plutôt que par celles du message reçu.

Décider qui coupe quoi et qui prévient qui dans les premières heures, c’est l’objet de notre journée Réagir face à une cyberattaque : organisation et gestion de crise ; nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Nous mettrons cet article à jour si Familea ou les communes concernées communiquent sur l’ampleur de l’incident. En attendant, une question pour les élus : si votre logiciel enfance s’arrêtait demain matin, sauriez-vous dire, avant midi, quels enfants ont une allergie ?

Sources

Commune de Bruguières (Haute-Garonne), annonce du 14 septembre 2026 sur la cyberattaque visant les serveurs du portail famille Familea, relayée par Cyberattaque.org.
Cyberattaque.org, « Familea victime d’une cyberattaque : les portails familles inaccessibles », 14 septembre 2026 : communes concernées (Draguignan, Saint-Chamas, Le Cheylas, Brindas, Bruguières), coupure des accès externes par le prestataire, périmètre fonctionnel des solutions, absence de fuite confirmée.
FrenchBreaches, alerte « Familea », 15 septembre 2026.
Familea (ex-Abelium Collectivités, groupe JVS depuis février 2026) : environ 1 600 structures équipées et plus de 5 000 licences, chiffres repris des relevés publics cités ci-dessus.
RGPD (règlement (UE) 2016/679), articles 4, 9, 33 et 34.
CNIL, « Notifier une violation de données personnelles », consultée le 16 septembre 2026, sur la possibilité d’une notification initiale complétée ensuite.
Cybermalveillance.gouv.fr, fiche « Hameçonnage », consultée le 16 septembre 2026.
Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.