Police nationale : 170 000 agents potentiellement exposés après le piratage d’e-campus

La police nationale a été touchée par une nouvelle fuite de données. En cause, e-campus, sa plateforme de formation en ligne opérée par un prestataire extérieur, compromise les 17 et 18 mars derniers. L’information, révélée par TF1-LCI puis confirmée par franceinfo et relayée par L’Informaticien, a été reconnue par la Direction générale de la police nationale (DGPN).

Selon la DGPN, “des données d’identification des policiers actifs, administratifs et contractuels ont été consultées par un acteur malveillant”. L’institution précise toutefois que ces données “ne sont pas liées à des fichiers de police”. Autrement dit, il ne s’agirait pas de données issues des applications métier ou des bases d’enquête, mais d’informations périphériques, associées à l’environnement de formation.

Le périmètre exact de la fuite n’est pas encore officiellement arrêté. Mais, sur X, le hacker éthique SaxX affirme que les données de plus de 170 000 agents auraient été mises en vente sur le dark web. Parmi les informations évoquées figurent les noms, prénoms, adresses mail professionnelles, villes, pays, fuseaux horaires, historiques de connexion, modules suivis, badges obtenus ainsi que les outils et portails utilisés.

Même en l’absence de données opérationnelles sensibles, l’exposition est loin d’être anodine. Croisées avec d’autres bases déjà compromises, ces informations peuvent faciliter des campagnes de phishing ciblé, des opérations d’ingénierie sociale ou des tentatives d’usurpation. Pour certains agents, notamment les plus exposés, le risque dépasse donc la simple compromission administrative.

La DGPN indique avoir pris des “mesures correctives immédiates” pour contenir l’incident, sécuriser les accès et évaluer l’ampleur de la compromission. L’accès à la plateforme serait en cours de rétablissement progressif, tandis que les investigations se poursuivent.

Cet épisode rappelle une réalité désormais banale : les attaquants ne frappent pas toujours frontalement les systèmes les plus sensibles. Ils exploitent souvent la périphérie — sous-traitants, prestataires SaaS, plateformes de services — pour atteindre indirectement des organisations critiques. Une mécanique que la directive NIS 2 cherche précisément à mieux encadrer, en étendant l’exigence de cybersécurité à l’ensemble de la chaîne d’approvisionnement.