Préférence Formations : ce que Qualiopi ne vérifie pas

Un CSV de 375 Ko. 5 381 lignes, 5 265 personnes. Sept colonnes : identifiant, prénom, nom, adresse électronique, ville, pays, fuseau horaire.

C’est tout. Aucun mot de passe, aucune coordonnée bancaire, aucune pièce d’identité. Le fichier attribué à Préférence Formations, publié le 3 septembre 2026 par le pseudonyme ChimeraZ, est le plus maigre des six mis en ligne ce jour-là. C’est aussi celui que les gens de notre métier devraient lire en premier.

D’abord, corriger le nom

La presse spécialisée écrit « organisme de formation ». C’est court d’un cran.

Préférence est le réseau national des établissements publics locaux d’enseignement et de formation professionnelle agricoles, les EPLEFPA. Son propre site annonce 146 établissements membres, plus de 6 000 stagiaires par an et 2,4 millions d’euros de chiffre d’affaires en 2023.

La nuance n’est pas cosmétique : elle décide de qui notifie la CNIL si la fuite se confirme. Une tête de réseau et 146 établissements ne forment pas un responsable de traitement unique, et le partage des rôles se règle dans une convention écrite avant l’incident, pas dans les heures qui suivent. À ce jour, aucune organisation concernée n’a communiqué.

La piste Moodle n’est plus tout à fait une hypothèse

Les sept colonnes portent les noms exacts de sept champs de mdl_user, la table des comptes de Moodle : id, firstname, lastname, email, city, country, timezone.

Et une plateforme Moodle existe bien, publiquement indexée, à l’adresse moodle.preference-formations.fr.

Nous nous arrêtons là. Ces deux constats sont vérifiables, ils n’établissent pas que la base sort de cette plateforme. Un export a pu être produit ailleurs, par un autre outil qui reprend le même vocabulaire, ou recomposé à partir de sources multiples. Ce qu’ils justifient, c’est d’aller regarder votre propre plateforme d’apprentissage cette semaine plutôt que le mois prochain.

Le secteur était déjà sur la liste

Fin mai 2026, ChimeraZ accordait une interview au site FrenchBreaches. Il y décrivait ses méthodes : injections SQL, failles de type IDOR, absence d’authentification à plusieurs facteurs. Il annonçait quatorze compromissions en attente de publication et citait ses cibles, parmi lesquelles ECF Formation.

Trois mois plus tard, un second fichier de formation sort. On peut y voir une coïncidence. On peut aussi remarquer qu’un attaquant qui exploite des IDOR et des injections cherche des applications métier exposées sur internet, riches en comptes utilisateurs et pauvres en administrateurs disponibles. C’est la description d’un LMS d’organisme de formation.

Ce que valent ces colonnes

Rien à la revente. Beaucoup à l’usage.

Un organisme de formation écrit sans arrêt à ses apprenants, et il est attendu : convocation, lien de connexion, questionnaire de satisfaction, attestation de fin de parcours. Un message annonçant « votre attestation est disponible » n’a pas besoin d’être brillant pour être ouvert. Il a besoin d’arriver au bon moment, au bon nom, avec la bonne ville.

C’est précisément ce que le fichier fournit. Or le vrai coût de ce genre de campagne n’a jamais été technique, il était rédactionnel : produire cinq mille variantes qui sonnent juste. C’est cette étape que les modèles de langage rendent presque gratuite, comme nous l’écrivions à propos des données fiscales volées à la DGFiP.

Le certificat ne couvre pas la plateforme

Voilà le point que peu de responsables formation ont en tête.

Nous avons relu le référentiel national qualité dans sa version V10, celle du décret n° 2026-728 du 1er août 2026 publié au Journal officiel du 4 août, applicable à tout audit à compter du 1er novembre 2026. Nous y avons cherché « données à caractère personnel », « confidentialité », « sécurité des systèmes ». Ces mots n’y sont pas. Aucun des indicateurs ne porte sur la protection des données des apprenants.

Qualiopi apprécie la qualité d’une prestation, pas la tenue d’un serveur. Un logo en pied de page ne dit rien de la version de votre LMS ni du nombre de comptes administrateurs qui y traînent.

L’obligation existe pourtant, et elle vient d’ailleurs : article 32 du RGPD pour des mesures proportionnées au risque, article 33 pour les soixante-douze heures de notification à la CNIL, article 34 pour l’information des personnes quand le risque est élevé. Trois articles, zéro indicateur.

Quatre gestes avant vendredi

Sortez la liste des comptes administrateurs de votre plateforme et comparez-la à vos effectifs réels. Les comptes d’anciens formateurs et de prestataires partis se ferment aujourd’hui.

Notez la version installée et la date du dernier correctif. Si personne ne sait, vous avez votre réponse.

Rédigez maintenant le message que vous enverrez aux apprenants en cas d’incident, avec le nom de qui le signe. Soixante-douze heures passent vite quand il faut aussi retrouver le contrat d’hébergement.

Enfin, dites une chose à vos apprenants, une seule : nous ne vous demanderons jamais vos identifiants par courriel. C’est la phrase qui les protégera d’un message ayant toutes les apparences du vôtre.

Nos formations en cybersécurité commencent par cet inventaire, et la journée Sécurité de l’information et protection du patrimoine consacre une séquence entière aux habilitations, aux départs et aux prestataires. Le contexte plus large de ces six publications simultanées est décrit dans notre article sur la vague d’alertes du 3 septembre.

Une question à poser par écrit à votre hébergeur, cette semaine : sous quel délai s’engage-t-il à vous prévenir s’il observe un export anormal sur votre base d’apprenants ?