École d'acteurs ERACM : une revendication, pas une preuve

Le 12 septembre 2026, le domaine eracm.fr est apparu sur le site vitrine du groupe de rançongiciel Krybit, avec la mention « Published ». Aucun volume de données annoncé. Aucun échantillon. Deux jours plus tard, le site de l’École régionale d’acteurs de Cannes et Marseille fonctionne et n’affiche aucun avis d’incident.

C’est l’état exact du dossier au 14 septembre. Tout le reste est à établir.

Qui dit quoi

Le groupe revendique. Nous n’avons pas consulté son site : nous nous appuyons sur deux traqueurs qui le surveillent. Ransomware.live a relevé la publication le 12 septembre, FrenchBreaches l’a signalée le même jour. Selon ce dernier, la fiche du groupe se borne à des informations publiques sur l’école : création en 1990, implantation entre Cannes et Marseille, tutelle du ministère de la Culture.

Le traqueur nuance. FrenchBreaches classe l’alerte comme « crédible » dans sa liste, mais sa fiche précise que les éléments visibles confirment « l’existence de la revendication, mais pas la réalité ni l’étendue technique d’une éventuelle compromission ». Chiffrement, demande de rançon, cours perturbés : rien n’y est documenté.

L’école ne s’est pas exprimée publiquement. Ses pages d’accueil et d’actualités, consultées le 14 septembre, ne mentionnent aucun incident. Nous n’avons trouvé aucun article dans la presse régionale, ni trace d’une rentrée perturbée. Un silence n’est ni un démenti ni un aveu.

Pourquoi une revendication ne prouve rien à elle seule

Un site de revendication est un outil de pression, pas un registre. Dans son Panorama de la cybermenace 2025, l’ANSSI relève que ces revendications « reprennent » régulièrement « des données publiques ou précédemment divulguées » ; elle n’a pu confirmer la véracité que de 80 revendications d’exfiltration parmi toutes celles portées à sa connaissance.

Le milieu fournit ses propres contre-exemples. En avril 2026, quand Krybit a piraté son rival 0APT, les journaux récupérés ont montré, selon la société Halcyon citée par Infosecurity Magazine, que les plus de 190 victimes affichées par 0APT en janvier étaient inventées. Malpedia, la base tenue par l’institut Fraunhofer FKIE, note de son côté que Krybit « a été accusé » de fabriquer des revendications, sans dire par qui.

Rien de cela ne rend fausse la revendication visant l’ERACM. Cela interdit seulement de la tenir pour vraie.

Krybit, un groupe récent et peu documenté

Les sources sérieuses sont minces. Malpedia décrit un service de rançongiciel qui laisse 80 % des rançons à ses affiliés. Halcyon situe son lancement fin mars 2026, avec des versions pour Windows, Linux, VMware ESXi et les serveurs de stockage en réseau, et une double extorsion : vol des données, puis chiffrement.

Surtout, selon Halcyon, le mode d’entrée varie d’un affilié à l’autre. Le nom de Krybit ne dit donc rien de la manière dont un attaquant serait entré.

Selon Infosecurity Magazine, la fuite de son panneau d’administration, en avril, montrait deux administrateurs, cinq affiliés et une vingtaine de négociations, pour des demandes de 40 000 à 100 000 dollars. Ransomware.live recensait 147 victimes revendiquées dans 51 pays au 14 septembre. ZATAZ, qui relevait en août plusieurs cibles françaises, rappelait qu’il était impossible de « confirmer indépendamment la réalité d’une compromission ».

Une petite école, beaucoup de dossiers

L’ERACM est une association rangée dans la tranche de 10 à 19 salariés au répertoire Sirene. Organisme de formation certifié Qualiopi selon l’Annuaire des Entreprises, elle forme des comédiens, accueille des apprentis en troisième année et prépare au diplôme d’État de professeur de théâtre.

Ses pages disent ce que ces activités font circuler. Le concours passe par un formulaire en ligne, avec photo, diplômes et attestation de formation théâtrale. Les pré-inscriptions à la VAE sont ouvertes jusqu’au 15 octobre 2026, pièces justificatives attendues avant le 15 novembre.

Nous ne disons pas que ces documents sont concernés : personne, publiquement, n’en sait rien. Nous disons qu’une structure de cette taille détient ce type de pièces, et que les questions des candidats porteront sur elles.

L’ANSSI ajoute un constat propre au secteur : les établissements d’enseignement supérieur subissent régulièrement la compromission de comptes de messagerie de personnels ou d’étudiants, réutilisés pour des campagnes d’hameçonnage.

Où l’IA intervient

Rien de public ne relie l’intelligence artificielle à cette revendication. Le risque se situe après.

Le nom de l’école circule sur des sites de traque, et beaucoup de gens attendent un message d’elle : candidats à la VAE ou au concours, apprentis. Un courriel « pièce manquante à votre dossier » n’a besoin d’aucune donnée volée pour tromper. L’IA générative le rend moins cher à rédiger, dans le bon vocabulaire et en série. L’ANSSI constate que ces capacités permettent aux attaquants d’améliorer « le niveau, la quantité, la diversité et l’efficacité de leurs attaques ».

Les réflexes, d’un côté et de l’autre

Pour une petite structure qui se découvre sur une telle liste, la logique décrite dans les priorités d’une crise cyber s’applique. Qualifier : journaux de connexion, comptes de messagerie, sauvegardes. Communiquer tôt, sans attendre d’avoir tout compris : « nous avons connaissance d’une revendication, nous vérifions, et voici ce que nous ne vous demanderons jamais par courriel ». Si une violation de données personnelles est établie, l’article 33 du RGPD laisse 72 heures pour la notifier à la CNIL après en avoir pris connaissance ; l’article 34 impose d’informer les personnes lorsque le risque pour elles est élevé.

Pour un candidat ou un étudiant, deux gestes. Ne jamais répondre à un message qui réclame une pièce ou un paiement : retaper soi-même l’adresse du site de l’école, ou appeler le numéro qui y figure. Si quelque chose a déjà été transmis, se tourner vers 17cyber.gouv.fr, le guichet d’assistance aux victimes de Cybermalveillance.gouv.fr.

Pour lire ce type d’alerte, voyez ce qu’une alerte de fuite ne dit pas. Organiser la réponse est la matière de notre formation Réagir face à une cyberattaque, et le reste figure sur notre page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Nous mettrons cet article à jour si l’ERACM s’exprime. D’ici là, une question pour toute école ou tout organisme de formation : si votre nom apparaissait demain sur un tel site, qui écrirait le premier message aux candidats, et depuis quelle messagerie si la vôtre était coupée ?

Sources

• FrenchBreaches, alerte « ERACM », 12 septembre 2026, et liste des alertes consultée le 14 septembre 2026.
• Ransomware.live, fiche eracm.fr et profil Krybit, consultés le 14 septembre 2026.
• ERACM, site officiel (accueil, actualités, concours, VAE), consulté le 14 septembre 2026.
• Annuaire des Entreprises, SIREN 379 700 446, consulté le 14 septembre 2026.
• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
• Malpedia (Fraunhofer FKIE), fiche « Krybit », consultée le 14 septembre 2026.
• Halcyon, profil « KryBit », 27 juillet 2026.
• Infosecurity Magazine, « Ransomware Turf War as 0APT and KryBit Groups Trade Blows », 28 avril 2026.
• ZATAZ, « Des cibles françaises au cœur d’une plateforme cybercriminelle », août 2026.
• RGPD, articles 33 et 34.