Un pirate dit vendre 4,8 millions de comptes de l'application scolaire Nomad Education

Le plus jeune a 6 ans. Dans l'échantillon de 1 001 comptes publié par le vendeur, l'observatoire Cyberattaque.org a compté 323 mineurs parmi les 869 profils qui indiquent une date de naissance. Seize d'entre eux ont moins de 13 ans.

Le soir du 16 octobre 2026, un pirate qui se fait appeler Angel_Batista a mis en vente sur un forum de cybercriminels une base qu'il attribue à Nomad Education. Cet éditeur parisien publie une application de révisions utilisée de l'école primaire aux études supérieures. Le pirate annonce 4 852 437 comptes. Nomad Education n'a pas confirmé l'incident à ce stade, et personne n'a pu vérifier le volume total.

Que contient l'échantillon ?

D'après l'annonce, chaque fiche comporte l'adresse e-mail, le nom, l'identifiant de connexion et, pour une partie des comptes, la date de naissance. Cyberattaque.org et Fuites Infos ont examiné l'échantillon. Il contient davantage que ce que le pirate annonce : des identifiants internes, des données de connexion par Google ou Apple (627 lignes sur 1 001), des réglages de comptes familiaux et des jetons de connexion.

Sur ces jetons, Cyberattaque.org reste prudent. 138 profils en portent un dont la date d'expiration est postérieure au 17 octobre, mais l'observatoire ne peut pas dire s'ils fonctionnent encore : le serveur peut les avoir révoqués. Selon Fuites Infos, les données de connexion les plus récentes datent de début octobre, ce qui laisse penser à une extraction récente.

Il y a aussi ce qu'on n'y trouve pas. Pas d'adresse postale, pas de numéro de téléphone, pas de données bancaires. Et aucun mot de passe, ni en clair ni chiffré, dans les lignes examinées.

4,8 millions de comptes, ce n'est pas 4,8 millions d'élèves

Le chiffre doit être lu avec prudence. Un compte n'est pas une personne : une famille peut en avoir plusieurs, et l'échantillon contient des comptes techniques liés aux comptes familiaux. Le vendeur reconnaît lui-même qu'environ 500 000 adresses sont factices ou masquées par le service de relais d'Apple. FrenchBreaches rappelle enfin que la mise en vente de données attribuées à une entreprise ne prouve pas, à elle seule, une intrusion dans ses systèmes. Comment ces données ont été obtenues reste inconnu.

Le vrai risque : des messages piégés au nom de l'application

Avec un nom, une adresse e-mail, une date de naissance et la certitude que l'enfant utilise Nomad, un escroc peut écrire un message crédible : abonnement à renouveler, compte bloqué, conseils avant le brevet ou le bac. Un adolescent repère moins bien ce genre de piège. Les personnes touchées par la fuite confirmée à l'École 42 ont déjà été prévenues de ce type de risque.

Les bons réflexes pour les parents

• Ne cliquez sur aucun lien reçu par e-mail ou SMS au sujet du compte Nomad : ouvrez l'application ou le site officiel directement.
• Par précaution, changez le mot de passe du compte, et celui de tous les services où il serait réutilisé.
• Si l'enfant se connecte avec Google ou Apple, vérifiez dans les réglages de ce compte quelles applications y ont accès et activez la double authentification.
• Parlez-en avec vos enfants : personne de sérieux ne leur demandera un mot de passe ni un paiement par message.

Nomad Education devra dire si ses systèmes ont été touchés. Si c'est le cas, le RGPD l'oblige à déclarer l'incident à la CNIL si la fuite présente un risque pour les personnes, et à prévenir les familles si ce risque est élevé. D'ici là, la seule certitude est que la base est en vente.