SNU : 275 000 comptes revendiqués, personne à qui écrire

Le 7 septembre 2026, un compte nommé LunarisSec a revendiqué sur un forum criminel l’extraction de 275 083 comptes du Service national universel : 270 021 comptes d’utilisateurs et 5 062 comptes de responsables de structures partenaires. Aucune confirmation officielle à ce jour.

Le SNU inscrivait des jeunes de 15 à 17 ans. C’est ce qui distingue ce fichier des annuaires professionnels dont nous avons parlé ces dernières semaines.

Ce qui est revendiqué, ce qui ne l’est pas

L’attaquant décrit une faille IDOR — un défaut de contrôle d’accès qui laisse un compte lire les données d’un autre en modifiant un simple identifiant dans une requête — sur un portail du SNU, associée à une mauvaise gestion des rôles. Le domaine cité est admin.snu.gouv.fr, l’espace où les structures d’accueil déposent leurs missions d’intérêt général.

Les champs annoncés pour les comptes ordinaires tiennent en quatre : nom, prénom, adresse électronique, numéro de mobile. Pour les 5 062 responsables s’y ajoutent le rôle, le statut, la région, le département, la cohorte, l’identifiant de structure et l’historique d’activité.

Notons ce que la revendication ne contient pas, parce que la différence compte : ni date de naissance, ni adresse postale, ni identité des représentants légaux. La fuite de fin 2023, celle-là reconnue par l’administration, en contenait. Elle portait sur 62 500 volontaires et 87 000 parents, l’origine identifiée était une faille applicative, et l’affaire avait donné lieu à une plainte et à un signalement à la CNIL.

Un détail mérite l’attention : les échantillons examinés par les analystes comportent des dates d’activité allant jusqu’aux 5 et 6 septembre 2026. Le portail vivait encore la semaine dernière.

Personne à qui écrire

Le 19 septembre 2025, le Premier ministre annonçait la suppression de la délégation générale chargée du SNU au 1er janvier 2026, dans un contexte de mise en extinction du dispositif. Plus de séjours de cohésion programmés. Une administration en moins.

Restent les données, et la question qu’on ne pose jamais en fermant un guichet : qui demeure responsable du traitement ? L’article 34 du RGPD impose d’informer les personnes concernées lorsqu’une violation présente un risque élevé pour leurs droits. Encore faut-il une équipe pour rédiger ce message, et une adresse pour recevoir les réponses.

Ce que ce fichier dit d’un mineur

Aucune date de naissance dans les champs annoncés. Et pourtant, l’appartenance au fichier renseigne l’âge : figurer sur une plateforme SNU en 2024 ou 2025 place la personne dans une fourchette de trois ans. Le fichier n’écrit pas l’âge, il le laisse déduire. Le considérant 38 du RGPD rappelle que les données des enfants appellent une protection spécifique, précisément parce qu’ils mesurent mal les risques.

L’inscription d’un mineur exigeait l’accord signé des représentants légaux. Une partie des adresses et des numéros enregistrés est donc vraisemblablement celle d’un parent, sans qu’on puisse dire lesquels depuis l’extérieur. Adolescents et adultes responsables d’eux se retrouvent mélangés dans la même colonne, ce qui est la configuration la plus favorable à un message frauduleux : chacun peut croire que l’autre a vérifié.

S’ajoute le canal. 2023 exposait des adresses postales et des courriels ; 2026 revendique des numéros de mobile. Un adolescent ne lit pas ses courriels. Il lit ses SMS, et il y répond vite.

Où l’IA intervient

Écrivons-le sans emphase : rien n’indique publiquement que ce fichier ait servi à une campagne. Le raisonnement porte sur le coût.

Un message d’hameçonnage crédible supposait de connaître le vocabulaire du dispositif : séjour de cohésion, mission d’intérêt général, cohorte, structure d’accueil, attestation. Ce vocabulaire est en accès libre sur les sites publics, et un modèle de langage le restitue sans faute. Pour les 5 062 responsables, les champs revendiqués donnent la région, le département et la cohorte : de quoi produire des variantes cohérentes territoire par territoire, à la chaîne, dans un français administratif juste. C’est le mécanisme que nous décrivions à propos des données fiscales volées à la DGFiP.

La fermeture du dispositif fournit le prétexte, et c’est ce qui rend ce cas désagréable. « Votre dossier SNU est clôturé, récupérez votre attestation », « régularisation avant archivage », « remboursement de vos frais de transport » : ces phrases sont plausibles parce que la clôture, elle, est réelle. Et le réflexe de vérification, appeler l’organisme, bute sur une administration supprimée.

Deux gestes utiles cette semaine

Si votre structure a déposé des missions. Collectivité, association, service départemental : considérez que le compte de votre référent est connu, avec sa fonction et son rattachement. Changez son mot de passe partout où il a resservi, et dites-lui qu’un message SNU réclamant une action urgente se signale, ne se transfère pas.

Si vous êtes parent. La phrase à dire à l’adolescent concerné tient en trois points, et elle vaut mieux qu’un discours sur la cybersécurité : le SNU ne t’enverra pas de SMS, aucune attestation ne se récupère par un lien reçu, aucun remboursement ne demande un RIB par message.

Ces réflexes forment le socle de notre formation Cybersécurité pour tous.

Une question pour finir, adressée à ceux qui ferment des dispositifs publics : quand une administration disparaît, qui hérite de ses bases, et qui prévient les inscrits ?