Rançongiciel revendiqué contre l'AFORPA, CFA automobile

Un centre de formation d’apprentis détient des données que peu de PME manipulent : contrats d’apprentissage, identités de mineurs, coordonnées des représentants légaux, numéros de sécurité sociale, bulletins de notes, conventions avec des entreprises partenaires.

Le 15 septembre 2026, le groupe de rançongiciel The Gentlemen a inscrit l’AFORPA sur son site de divulgation, en situant l’attaque au 14 septembre.

Vérifier de qui l’on parle

Une remarque de méthode d’abord, parce qu’elle a failli nous faire écrire une bêtise.

La base Ransomware.live, qui recense les revendications publiées par les groupes, décrit l’AFORPA comme une entreprise française de génie électrique installée à Roissy-en-France. Cette description ne correspond pas au domaine revendiqué, aforpa.fr.

L’AFORPA — Association régionale pour la formation professionnelle automobile — est un organisme francilien de formation en alternance aux métiers de l’automobile et de la mobilité. Créée en 1993, elle accueille des apprentis du CAP au BTS sur cinq centres : Guyancourt, Saint-Maurice, Vaux-le-Pénil, Issy-les-Moulineaux et Coulommiers. Ses centres sont certifiés Qualiopi et portent le label qualité de la Région Île-de-France. Ils figurent parmi les CFA pilotes de la branche des services de l’automobile.

Les fiches automatiques se trompent. Les nôtres aussi, quand nous ne les vérifions pas.

Ce qui est revendiqué, et ce qui ne l’est pas

Une revendication n’est pas une preuve. The Gentlemen a publié le nom de la victime sur son site de divulgation ; c’est tout ce qui est établi.

Au 16 septembre, le site de l’AFORPA est accessible et ne porte aucun avis de sécurité. Nous n’avons trouvé aucun communiqué de l’organisme, ni dans la presse spécialisée, ni sur ses canaux publics. Le volume de données prétendument dérobées n’est pas annoncé publiquement, et aucune catégorie n’est décrite.

Il est donc impossible, aujourd’hui, de dire si des données sont sorties. Nous n’avons évidemment consulté aucun site de revendication ni aucun fichier.

Ce que l’on sait du groupe tient au travail de l’unité 42 de Palo Alto Networks, qui a publié en 2025 une analyse de The Gentlemen : il s’agit d’une opération de rançongiciel en tant que service pratiquant la double extorsion, c’est-à-dire le vol des données avant leur chiffrement, pour faire peser la menace d’une publication en plus de celle de la paralysie.

La double extorsion a une conséquence pratique : même une organisation qui restaure ses sauvegardes en deux jours reste exposée à la publication. La sauvegarde protège l’activité, pas les personnes.

Ce qu’un CFA a dans ses serveurs

C’est la partie que les directions d’organismes sous-estiment.

Un contrat d’apprentissage réunit dans un même document l’apprenti, souvent mineur, son représentant légal, son employeur et son maître d’apprentissage. Il porte des identités complètes, des dates de naissance, des adresses, des numéros de sécurité sociale et une rémunération. Les livrets scolaires ajoutent les résultats. Les dossiers de suivi peuvent contenir des aménagements liés à un handicap, qui sont des données de santé au sens de l’article 9 du RGPD.

Ce qui rend l’ensemble particulièrement sensible n’est pas une donnée isolée, c’est leur assemblage : un fichier qui relie un mineur, son adresse, son école et l’employeur de sa famille n’a pas d’équivalent dans un fichier client ordinaire.

S’agissant de mineurs, le considérant 38 du RGPD rappelle qu’ils méritent une protection spécifique, parce qu’ils sont moins conscients des risques et des conséquences. L’évaluation du risque au titre de l’article 34, qui déclenche l’information des personnes concernées, doit en tenir compte.

Ce que doit faire un organisme de formation, aujourd’hui

Cet article s’adresse autant aux directions de CFA qui ne sont pas concernées qu’à celles qui le sont. Voici ce qui se vérifie en une demi-journée.

Savoir où sont les contrats. Beaucoup d’organismes conservent les contrats d’apprentissage signés dans un dossier partagé accessible à l’ensemble de l’équipe administrative. Le RGPD, à son article 32, impose des mesures adaptées au risque ; la CNIL traduit cela par une habilitation par profil. Un formateur n’a pas besoin des numéros de sécurité sociale.

Vérifier la durée de conservation. Les dossiers d’anciens apprentis de 2015 qui dorment sur un serveur sont un risque sans contrepartie. Le principe de limitation de la conservation figure à l’article 5, paragraphe 1, point e. Une purge documentée réduit le périmètre d’une fuite éventuelle avant qu’elle n’arrive.

Tester une restauration, pas une sauvegarde. La question n’est pas « sauvegardons-nous », mais « avons-nous déjà restauré ». Et les sauvegardes doivent être hors ligne ou immuables : un rançongiciel qui atteint le serveur de fichiers atteint aussi la sauvegarde qui y est montée.

Écrire la liste des personnes à prévenir. Apprentis, représentants légaux, entreprises d’accueil, OPCO, région, rectorat. Établir cette liste pendant une crise coûte une journée qu’on n’a pas.

Préparer la notification. L’article 33 du RGPD impose la notification à la CNIL dans les 72 heures après prise de connaissance, et la documentation de toute violation, même non notifiée.

Un point Qualiopi, pour finir. Le référentiel national qualité impose au titre de l’indicateur 32 une démarche d’amélioration continue nourrie par le traitement des dysfonctionnements. Un incident informatique qui interrompt des sessions en relève. Le documenter n’est pas une formalité supplémentaire : c’est la pièce que l’auditeur demandera.

L’IA dans cette affaire

Rien ne permet de dire qu’un outil d’intelligence artificielle a servi à cette attaque, et nous ne l’écrirons pas.

Le risque documenté se situe après une éventuelle publication. Un fichier qui associe le nom d’un apprenti, son centre, son employeur et le nom de son responsable légal permet de rédiger, en masse, des messages parfaitement ciblés vers des familles. L’ANSSI note dans son Panorama de la cybermenace 2025 que ces outils permettent aux attaquants d’améliorer le niveau, la quantité, la diversité et l’efficacité de leurs attaques. Nous avons détaillé ce passage à l’échelle à propos des données fiscales volées à la DGFiP.

Préparer une organisation à tenir pendant une attaque, c’est l’objet de notre journée Réagir face à une cyberattaque : organisation et gestion de crise ; nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Nous mettrons cet article à jour si l’AFORPA communique. Une question en attendant, pour toute direction de CFA : combien de personnes, dans votre structure, peuvent ouvrir un contrat d’apprentissage signé sans avoir à demander la permission ?

Sources

• Ransomware.live, fiche « Aforpa – The Gentlemen », publication du 15 septembre 2026 à 07 h 09 UTC, date d’attaque estimée au 14 septembre 2026, domaine revendiqué aforpa.fr. La description sectorielle de cette fiche (génie électrique, Roissy-en-France) ne correspond pas au domaine revendiqué ; nous ne la reprenons pas.
• FrenchBreaches, alerte « Aforpa », 15 septembre 2026, statut « Revendiquée » : organisme francilien spécialisé dans la formation en alternance aux métiers de l’automobile et de la mobilité, domaine aforpa.fr.
• AFORPA, site aforpa.fr, consulté le 16 septembre 2026 : cinq centres (Guyancourt, Saint-Maurice, Vaux-le-Pénil, Issy-les-Moulineaux, Coulommiers), certificat Qualiopi daté du 1er juillet 2024, absence de tout avis de sécurité à cette date.
• Région Île-de-France et Campus des services de l’automobile et de la mobilité, fiches AFORPA : création en 1993, label qualité régional, statut de CFA pilote.
• Unit 42 (Palo Alto Networks), « No Manners Here: The Ruthless Rise of The Gentlemen Ransomware », 2025 : rançongiciel en tant que service, double extorsion.
• RGPD (règlement (UE) 2016/679), articles 5, 9, 32, 33 et 34, et considérant 38.
• Référentiel national qualité (Qualiopi), indicateur 32.
• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
• Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.