Collège Saint-Michel : une fuite belge comptée en France

Le fichier pèse 105 kilo-octets. Il porte le nom d’un collège, il a été mis en ligne le 3 septembre 2026 par le pseudonyme ChimeraZ, et il figure depuis le lendemain dans un fil de veille consacré aux fuites françaises.

Le domaine auquel il est attribué se termine par .be.

Ce détail décide du reste : l’autorité qui instruit, le délai qui court, l’âge à partir duquel un élève consent seul. Nous avons décrit ailleurs les six alertes publiées ce jour-là. Celle-ci se range au mauvais endroit.

L’établissement, et ce qui est revendiqué

moodlestmichel.be s’annonce comme la « Plateforme numérique du Centre Scolaire Saint-Michel », avec la mention « Fourni par Moodle » en pied de page. L’établissement est à Etterbeek, en Région de Bruxelles-Capitale.

L’alerte de FrenchBreaches reprend la revendication de ChimeraZ : 1 836 personnes, 1 838 enregistrements, un CSV d’environ 105 Ko contenant identifiants, noms, prénoms, adresses de courriel et informations de localisation. Diffusé gratuitement plutôt que mis en vente. Aucune méthode d’intrusion décrite, aucun mot de passe mentionné. Et rien de confirmé : nous avons consulté le 4 septembre moodlestmichel.be, cssm.education et secondaire.cssm.education, aucun n’affiche d’avis de sécurité.

Un ordre de grandeur, à prendre pour ce qu’il vaut : Wikipédia avance 2 260 élèves et 250 membres du personnel, chiffres de 2008. S’ils tiennent encore, 1 836 comptes ne seraient pas un extrait, mais presque toute la base.

Les colonnes ressemblent à une table Moodle

La table mdl_user de Moodle contient, entre autres, username, firstname, lastname, email, city, country, lang et timezone (documentation développeur de Moodle, User fields). C’est mot pour mot la description faite du fichier.

Hypothèse, pas constat : ces champs existent ailleurs et l’établissement n’a rien confirmé. Mais si elle tient, il ne s’agit pas d’une intrusion dans le système d’information d’une école. Il s’agit de l’export d’une table d’une plateforme d’apprentissage. Ni la même enquête, ni les mêmes journaux à relire.

APD ou CNIL : la différence n’est pas administrative

L’article 33 du RGPD fait notifier la violation à « l’autorité de contrôle compétente conformément à l’article 55 », dans les meilleurs délais et si possible sous 72 heures. Et l’article 55, paragraphe 1, ne laisse pas de marge : chaque autorité est compétente « sur le territoire de l’État membre dont elle relève ».

L’établissement est à Etterbeek. L’autorité est l’Autorité de protection des données, à Bruxelles. La CNIL n’a pas ce dossier à instruire. L’APD n’accepte d’ailleurs les notifications que par son portail, et prévient que celles envoyées par courriel ne seront pas traitées.

Le fond change aussi, pas seulement le guichet. L’article 8 du RGPD laisse aux États un seuil de majorité numérique compris entre treize et seize ans. La Belgique a retenu treize ans, la France quinze. Même règlement, deux réponses opposées à la question « cet élève de quatorze ans consentait-il valablement ? »

Une nuance, souvent perdue dans l’autre sens : l’article 77 permet de saisir l’autorité de sa « résidence habituelle », de son lieu de travail ou du lieu de la violation. Une famille française dont l’enfant serait scolarisé à Bruxelles peut donc écrire à la CNIL. Cela n’en fait pas l’autorité chargée du dossier : elle transmet.

Comment une fuite étrangère entre dans un décompte national

Rien, dans l’intitulé de l’alerte, ne dit « Belgique ». « Collège Saint-Michel » sonne parfaitement français, et il existe des établissements de ce nom en France. Le fil s’appelle fuites françaises. Le classement suit le fil.

Le tri automatisé fait le reste. Agréger vingt alertes et en produire un résumé quotidien est devenu trivial ; un modèle de langage lit le titre, le volume, la date, et reprend la catégorie du flux. Il ne s’arrête pas sur une extension de domaine, parce que personne ne lui a demandé de le faire. L’erreur n’est pas dans le modèle, elle est dans la question qu’on a omis de poser.

D’où une règle : lire le domaine avant le nom de l’organisation. C’est à peu près le seul élément d’une alerte que l’attaquant n’a pas rédigé lui-même, et le prolongement des trois questions que nous proposions pour lire une alerte de fuite de données.

Ce que risque une école, précisément

Un annuaire scolaire ne se revend pas cher. Sa valeur est ailleurs : il dit quel enfant est dans quel établissement, et à quelle adresse celui-ci écrit à ses parents. De quoi rendre crédible un message annonçant le solde d’un voyage scolaire, un changement de compte pour les frais, ou un accès à rétablir sur « la plateforme ». Des courriels que les familles attendent réellement.

Le maillon se répète. En mai 2026, La DH rapportait que huit établissements d’enseignement belges figuraient parmi les victimes de la compromission de Canvas revendiquée par ShinyHunters. Autre outil, autre échelle, même angle mort : la plateforme pédagogique, installée une fois et rarement auditée.

Deux vérifications

Si vous dépouillez des alertes, ajoutez un champ à votre grille. Domaine, pays, autorité compétente, dans cet ordre, avant de compter quoi que ce soit.

Si vous dirigez un établissement ou une petite structure, sortez votre plateforme d’apprentissage de l’angle mort : version installée, comptes administrateurs actifs, comptes d’anciens élèves ou professeurs jamais désactivés, dernier correctif. C’est la matière de notre formation Sécurité de l’information et protection du patrimoine.

Précision constante : DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480, et aucun financement OPCO ou France Travail n’est mobilisable à ce jour.

Nous mettrons cet article à jour si le Centre Scolaire Saint-Michel s’exprime. Reste une question qui dépasse cette école : combien d’alertes avez-vous lues cette année sans jamais regarder ce qui suit le dernier point du nom de domaine ?

Sources

• FrenchBreaches, alerte « Collège Saint-Michel », publiée le 4 septembre 2026 (revendication ChimeraZ du 3 septembre) : volume, champs, taille du fichier, domaine attribué, absence de confirmation indépendante.
• moodlestmichel.be, page d’accueil consultée le 4 septembre 2026 : « Plateforme numérique du Centre Scolaire Saint-Michel », mention « Fourni par Moodle », aucun avis de sécurité.
• cssm.education et secondaire.cssm.education, consultés le 4 septembre 2026 : aucune communication relative à un incident.
• Wikipédia, « Collège Saint-Michel (Bruxelles) » : 2 260 élèves et 250 membres du personnel, chiffres datés de 2008.
• Documentation développeur de Moodle, User fields : colonnes de la table user.
• RGPD, articles 8, 33, 55 et 77.
• Autorité de protection des données (Belgique), « Notifier et gérer une violation de données » : notification par le portail uniquement, courriels non traités.
• APD, « RGPD : la limite d’âge de 13 ans correspond à la pratique numérique » ; pour la France, article 45 de la loi Informatique et Libertés (quinze ans).
• La DH, « Huit établissements belges touchés par une cyberattaque », 5 mai 2026 : compromission de la plateforme Canvas revendiquée par ShinyHunters.
• Aucune confirmation officielle, aucune notification publique à l’APD et aucune reprise de presse n’ont été trouvées pour l’affaire du Collège Saint-Michel à la date de rédaction.