{"meta":{"project":"France Cyberwatch 2025-2026","reviewedThrough":"2026-08-16","schemaVersion":"1.3.0","scope":{"en":"Curated public-interest dataset of major publicly reported cyberattacks and data breaches affecting French public institutions and companies in 2025 and 2026. It is not a complete register. Unknown or disputed victim counts are not converted into confirmed statistics.","fr":"Jeu de données d’intérêt public sur les principales cyberattaques et fuites de données rendues publiques touchant des institutions publiques et des entreprises françaises en 2025 et 2026. Il ne constitue pas un registre exhaustif. Les nombres de victimes inconnus ou contestés ne sont pas convertis en statistiques confirmées."},"methodology":{"en":"Prefer official disclosures. Keep unknown values as null. Keep disputed attacker claims in labels or notes rather than numeric fields used for charts. Do not attribute attackers unless public evidence supports the attribution.","fr":"Privilégier les communiqués officiels. Conserver les valeurs inconnues à null. Garder les revendications contestées dans les libellés ou notes plutôt que dans les champs numériques utilisés pour les graphiques. Ne pas attribuer une attaque sans éléments publics suffisants."},"rules":{"affectedCounts":{"en":"Plot only incidents where affected is a non-null numeric value.","fr":"Ne représenter que les incidents dont le champ affected est une valeur numérique non nulle."},"unknownCounts":{"en":"Display as Unknown / under investigation, never as zero.","fr":"Afficher comme Inconnu / sous enquête, jamais comme zéro."},"disputedClaims":{"en":"Do not include disputed attacker-claimed victim counts in aggregate charts.","fr":"Ne pas inclure les nombres de victimes revendiqués et contestés dans les graphiques agrégés."}},"lang":"fr","total":14,"returned":14,"offset":0,"limit":100,"withoutPublishedCount":8},"incidents":[{"id":"dgfip","date":"2026-08-14","year":2026,"org":"Systèmes fiscaux DGFiP","domain":"economie.gouv.fr","kind":"government","sector":"Finance / tax","sectorLabel":"Finances / fiscalité","severity":"critical","status":"confirmed","affected":678000,"affectedLabel":"678 000 particuliers et professionnels","data":"Données fiscales dont revenu de référence, quotient familial et taux de prélèvement ; raison sociale/SIREN. Données cadastrales aussi consultées. Mots de passe des espaces fiscaux non compromis.","method":"Identifiants volés d’un agent DGFiP et d’un tiers habilité.","risk":"Arnaques fiscales et patrimoniales très convaincantes s’appuyant sur de vraies situations fiscales.","confidence":"Communication officielle des autorités ; enquête en cours","sourceName":"French Finance Ministry","sourceId":"dgfip","sourceUrl":"https://presse.economie.gouv.fr/acces-illegitime-au-systeme-dinformation-de-la-direction-generale-des-finances-publiques/","sourceIds":["dgfip","dgfipLemonde","dgfipBriefing","dgfipEntrevue"],"lastResearched":"2026-08-16","url":"/fr/incident/dgfip","detail":{"lead":"La DGFiP a confirmé le 14 août 2026 que deux incidents d’accès illégitime en juin et juillet avaient reposé sur des identifiants volés ou usurpés d’un agent DGFiP et d’un tiers habilité. Lorsque les intrusions ont été détectées, l’accès aux comptes en cause a été coupé. À ce moment, toutefois, la revue des accès n’avait pas identifié que des données avaient déjà été volées.\n\nL’élément déclencheur est venu les 12 et 13 août, lorsqu’un acteur malveillant a publiquement revendiqué les intrusions. La DGFiP a alors rapproché ces revendications de ses journaux et établi que des données concernant un total de 678 000 particuliers et professionnels avaient été consultées et extraites avant la coupure des accès.","timeline":[{"date":"2026-06-30","label":"Le compte d’un agent DGFiP est compromis ou usurpé (fin juin). L’accès est détecté et coupé. Le vol de données n’est alors pas identifié."},{"date":"2026-07-15","label":"Un second incident d’accès illégitime survient en juillet avec les identifiants d’un tiers habilité, selon le communiqué ultérieur du ministère des Finances (jour exact non publié)."},{"date":"2026-08-12","label":"Un acteur malveillant revendique publiquement l’accès. La DGFiP lance une investigation plus poussée sur les journaux historiques."},{"date":"2026-08-13","label":"Une revendication ou divulgation supplémentaire est faite par l’acteur malveillant."},{"date":"2026-08-14","label":"Le ministère des Finances confirme 678 000 particuliers et professionnels dans le périmètre établi d’extraction ou de consultation. Les identifiants des espaces fiscaux usagers sont indiqués comme non compromis."},{"date":"2026-08-16","label":"La presse française indique que la section cyber du parquet de Paris a ouvert une enquête et l’a confiée à l’OFAC."},{"date":"2026-08-17","label":"La DGFiP prévoit de contacter chaque particulier ou professionnel concerné à compter de la semaine du 17 août, avec le détail des données susceptibles d’avoir été consultées ou extraites."}],"how":"Le récit officiel indique que les incidents ont reposé sur l’usurpation d’identifiants : un agent DGFiP et un tiers habilité. Le ministère des Finances n’a pas publié l’architecture d’authentification complète ni confirmé les revendications de l’attaquant sur des produits d’accès distant précis. La DGFiP a indiqué que le vol n’avait pas été identifié lors de la première réponse, l’attaque étant sophistiquée. La presse, s’appuyant sur un briefing de la directrice générale Amélie Verdier, ajoute que l’extraction était lente ou découpée selon des schémas qui ne ressemblaient pas à des requêtes massives évidentes.","taken":"Le communiqué écrit du gouvernement fixe le périmètre combiné confirmé à 678 000 particuliers et professionnels. Il cite le revenu fiscal de référence, le quotient familial, le taux de prélèvement à la source, la raison sociale et le SIREN, ainsi que des informations cadastrales relatives aux adresses et aux surfaces.\n\nLa couverture d’un briefing presse a séparément fait état d’une consultation cadastrale d’environ 200 000 comptes. Le communiqué écrit du 14 août n’en fait pas une seconde population de victimes à additionner ; ce chiffre n’est donc pas ajouté aux 678 000.","notTaken":"Le ministère des Finances a indiqué que les espaces particuliers et professionnels Finances publiques n’avaient pas été compromis, pas plus que les identifiants et mots de passe de ces espaces. Des données fiscales volées peuvent rendre une fraude extrêmement convaincante, mais elles ne donnent pas à elles seules l’accès à l’espace sécurisé d’un contribuable.","impact":"C’est l’un des jeux de données d’identité les plus sensibles du recueil, car il révèle à la fois l’identité personnelle et la situation financière. Un escroc qui connaît le revenu de référence, le quotient familial et le taux de prélèvement d’une victime peut usurper de façon convaincante l’administration fiscale, une banque, un expert-comptable ou un service de gestion de patrimoine. Pour les foyers à hauts revenus, la divulgation peut aussi créer des risques de ciblage et de sécurité physique au-delà de l’hameçonnage ordinaire.","response":"La DGFiP a coupé les accès associés aux comptes compromis, puis procédé à des coupures préventives supplémentaires sur des systèmes sensibles après les découvertes d’août. Elle a notifié la CNIL, travaillé avec le SHFDS et l’ANSSI, prévu une information individuelle et annoncé une plainte pénale. Le 16 août, la presse indiquait qu’une enquête du parquet de Paris avait été ouverte et confiée à l’OFAC.","methodDisclosure":"disclosed","revision":"Ce dossier évoluait encore à la clôture de la recherche. Des publications criminelles ont décrit un VPN et fait d’autres allégations sur le contournement des contrôles d’authentification ; ces revendications restent distinctes de la méthode officielle. Le communiqué écrit indique aussi que la nature et le volume exacts des données extraites, ainsi que le nombre définitif d’usagers concernés, étaient encore en investigation : le chiffre de 678 000 est donc le périmètre établi au 14 août, pas nécessairement le point d’arrivée de l’enquête.","quotes":[{"text":"un total de 678 000 particuliers et professionnels","original":"un total de 678 000 particuliers et professionnels","originalLang":"fr","attribution":"Ministère de l’Économie et des Finances, 14 août 2026","sourceId":"dgfip"},{"text":"n’ont pas été compromis","original":"n’ont pas été compromis","originalLang":"fr","attribution":"Ministère de l’Économie et des Finances, 14 août 2026, à propos des espaces fiscaux sécurisés et des identifiants des usagers","sourceId":"dgfip"}]}},{"id":"sante","date":"2026-08-13","year":2026,"org":"Prestataire de Santé publique France","domain":"santepubliquefrance.fr","kind":"government","sector":"Public health","sectorLabel":"Santé publique","severity":"high","status":"confirmed","affected":80000,"affectedLabel":"Environ 80 000 fiches de contact","data":"E-mail, adresse postale et téléphone. Pas de données médicales, de diagnostics ni de numéros de sécurité sociale.","method":"Attaque d’une plateforme de commande hébergée par un prestataire. Accès initial non divulgué.","risk":"Usurpation à thème santé utilisant de vraies coordonnées.","confidence":"Confirmation de l’agence rapportée par la presse française","sourceName":"Le Parisien / AFP","sourceId":"santeParisien","sourceUrl":"https://www.leparisien.fr/faits-divers/cyberattaque-dun-prestataire-de-sante-publique-france-80-000-personnes-concernees-par-la-fuite-de-donnees-13-08-2026-FTP4SNTQI5DOVMQDCBBTQX5F4U.php","sourceIds":["santeParisien","sante"],"lastResearched":"2026-08-16","url":"/fr/incident/sante","detail":{"lead":"Santé publique France a confirmé le 13 août 2026 qu’une plateforme hébergée par un prestataire, utilisée pour commander des documents de prévention, avait été attaquée. Le service concerné, moncoupon.santepubliquefrance.fr, fonctionne séparément des autres sites et systèmes de l’agence.\n\nEnviron 80 000 fiches de contact étaient concernées. La base servait à l’envoi des documents commandés et contenait des e-mails, adresses postales et numéros de téléphone. C’est une violation du secteur de la santé publique, mais pas une violation de dossiers médicaux.","timeline":[{"date":"2026-08-11","label":"Une revendication en ligne concernant la plateforme apparaît, selon les articles sur l’incident."},{"date":"2026-08-13","label":"Santé publique France confirme qu’une plateforme de commande exploitée par un prestataire a été attaquée et qu’environ 80 000 fiches de contact sont concernées."}],"how":"Le service touché était une plateforme distincte, hébergée par un prestataire, utilisée pour commander des documents de prévention. Santé publique France a indiqué qu’elle était indépendante de ses autres sites et systèmes. La voie d’accès initiale n’a pas été divulguée. Des publications attribuées à l’attaquant décrivent un accès administrateur et l’usage d’une fonction d’export ; ces détails sont un récit d’attaquant, pas une conclusion technique officielle.","taken":"Champs de contact et de livraison : e-mail, adresse postale et téléphone. Les extraits commentés dans la presse évoquent aussi, pour certaines fiches, la fonction ou l’organisation. L’ampleur confirmée par l’agence est d’environ 80 000 personnes.","notTaken":"Santé publique France a indiqué qu’il n’y avait ni dossiers médicaux, ni diagnostics, ni numéros de sécurité sociale dans la base touchée. La plateforme était distincte des autres systèmes de l’agence.","impact":"Le risque pratique principal est l’usurpation à thème santé. Les victimes peuvent plus facilement faire confiance à un message qui connaît leurs coordonnées et évoque une vraie commande de documents de prévention ou un contexte Santé publique France. L’association de marque peut amplifier l’hameçonnage même sans données cliniques.","response":"La plateforme a été mise en maintenance, les mots de passe ont été supprimés, la CNIL a été notifiée et les travaux de rétablissement ont commencé. Les communications publiques ont souligné l’absence de données de santé ou de sécurité sociale et ont mis en garde contre les fraudes en cascade.","methodDisclosure":"partial","revision":"Le dossier n’avait que quelques jours à la clôture de recherche du 16 août. La méthode, la cause racine côté prestataire et d’éventuelles suites judiciaires restent ouvertes. Les revendications d’accès administrateur et d’une fonction d’export restent étiquetées comme des revendications.","quotes":[{"text":"aucune donnée de santé","original":"aucune donnée de santé","originalLang":"fr","attribution":"Santé publique France, rapporté par la presse française, 13 août 2026","sourceId":"santeParisien"}]}},{"id":"ceva","date":"2026-07-29","year":2026,"org":"CEVA Logistics","domain":"cevalogistics.com","kind":"company","sector":"Logistics / supply chain","sectorLabel":"Logistique / chaîne d’approvisionnement","severity":"high","status":"confirmed","affected":null,"affectedLabel":"Effectif inconnu ; huit entrepôts européens","data":"Données de livraison pour des clients en aval : noms, adresses, téléphones, e-mails et détails de commande.","method":"Accès initial non confirmé publiquement.","risk":"Effet de chaîne d’approvisionnement et arnaques aux colis ciblées.","confidence":"Confirmé par CEVA aux clients et à la presse ; détails techniques limités","sourceName":"TechCrunch","sourceId":"cevaTechcrunch","sourceUrl":"https://techcrunch.com/2026/08/10/a-data-breach-at-shipping-giant-ceva-logistics-is-rippling-across-banks-retailers-steam-gamers-and-beyond/","sourceIds":["cevaTechcrunch","cevaVerge","cevaPcgamer","cevaComputing","ceva"],"lastResearched":"2026-08-16","url":"/fr/incident/ceva","detail":{"lead":"Une intrusion a touché une partie des opérations de logistique contractuelle européenne de CEVA Logistics à compter du 29 juillet 2026 environ. CEVA a indiqué aux clients concernés que l’incident avait été identifié le 1er août, puis confirmé à la presse que l’impact opérationnel était limité à huit entrepôts européens.\n\nLa violation est devenue visible via les clients de CEVA. Des enseignes en aval et Valve, qui utilise CEVA pour expédier du matériel Steam en Europe, ont averti que des informations d’expédition détenues par CEVA avaient été consultées ou copiées. Aucun effectif public de personnes n’a été établi.","timeline":[{"date":"2026-07-29","label":"Début de la fenêtre d’intrusion communiquée ensuite dans les avis et articles liés à Valve."},{"date":"2026-08-01","label":"CEVA identifie l’intrusion, active des mesures de sécurité et informe les clients concernés. L’impact opérationnel est ensuite décrit comme limité à huit entrepôts européens."},{"date":"2026-08-07","label":"Valve indique apprendre que des informations relatives à ses clients européens de matériel ont probablement été compromises. CEVA conservait les informations de livraison Valve jusqu’à 90 jours après une commande."},{"date":"2026-08-10","label":"TechCrunch et d’autres médias détaillent l’impact multi-clients. Valve commence une information large de ses clients."},{"date":"2026-08-12","label":"D’autres articles identifient d’autres enseignes touchées et indiquent que l’autorité néerlandaise de protection des données a reçu plusieurs notifications liées à l’incident CEVA."}],"how":"CEVA n’a pas publié de méthode d’accès initiale, de vulnérabilité, de famille de rançongiciel ni d’attaquant. La perturbation opérationnelle des entrepôts a conduit certains commentateurs à évoquer un rançongiciel ou un logiciel destructeur ; ce n’est pas une conclusion technique confirmée. Les faits de réponse confirmés sont que CEVA a isolé les systèmes concernés, activé ses protocoles et fait appel à des enquêteurs externes.","taken":"Pour les clients Valve, les champs probablement exposés étaient le nom, l’adresse, le téléphone, l’e-mail, et le type de matériel ou les détails de commande. D’autres clients de CEVA ont signalé des ensembles comparables de données de livraison et de contact. Le volume total exact, tous clients confondus, est inconnu. Additionner les notifications de chaque entreprise ferait aussi courir un risque de double comptage.","notTaken":"Valve a indiqué que CEVA ne détient pas les données de paiement Steam, les mots de passe, les codes Steam Guard ni d’autres identifiants de compte Steam. CEVA a indiqué aux journalistes que les activités air, mer, terre et rail continuaient et que l’effet opérationnel identifié était limité à huit entrepôts.","impact":"La violation crée deux couches de risque. Sur le plan opérationnel, la perturbation des entrepôts peut retarder commandes, retours et remboursements. Sur le plan de la vie privée, un contexte de livraison volé permet des arnaques aux colis convaincantes : un criminel qui connaît l’adresse d’une victime et un achat récent de matériel peut plausiblement exiger un petit paiement de douane, des frais de réexpédition ou une vérification de compte.","response":"CEVA a activé ses protocoles de sécurité, isolé les systèmes concernés et fait appel à des enquêteurs externes. Les clients en aval ont commencé à informer leurs propres clients et les autorités de protection des données. Valve a explicitement prévenu ses clients de s’attendre à de faux messages et indiqué qu’elle demandait à CEVA un compte rendu plus complet de ce qui avait été emporté et comment.","methodDisclosure":"undisclosed","revision":"L’enquête était encore en cours à la clôture de recherche du 16 août. La méthode technique, le nombre total de personnes concernées et le nombre définitif d’organisations clientes doivent être traités comme provisoires.","quotes":[{"text":"attendez-vous à de faux messages","original":"expect fake messages","originalLang":"en","attribution":"Avis client Valve, rapporté le 10 août 2026","sourceId":"cevaVerge"},{"text":"Considérez-les tous comme frauduleux.","original":"Treat all of them as fake.","originalLang":"en","attribution":"Avis client Valve, rapporté le 10 août 2026","sourceId":"cevaVerge"}]}},{"id":"edustaff","date":"2026-07-25","year":2026,"org":"Système RH du ministère de l’Éducation","domain":"education.gouv.fr","kind":"government","sector":"Education","sectorLabel":"Éducation","severity":"critical","status":"confirmed","affected":null,"affectedLabel":"Un « nombre important » d’agents depuis 2001 ; effectif exact non publié","data":"Identité et données professionnelles ; pour certains, adresse, téléphone et numéro de sécurité sociale. Pas de données bancaires, de mots de passe ni de données élèves.","method":"Usurpation d’un compte professionnel.","risk":"Fraude à l’identité durable via le numéro de sécurité sociale et le contexte professionnel.","confidence":"Communication officielle ; effectif encore non publié","sourceName":"French Education Ministry","sourceId":"eduStaff","sourceUrl":"https://www.education.gouv.fr/incident-de-securite-affectant-les-donnees-de-personnels-de-l-education-nationale-505407","sourceIds":["eduStaff"],"lastResearched":"2026-08-16","url":"/fr/incident/edustaff","detail":{"lead":"Le ministère de l’Éducation a indiqué le 31 juillet 2026 qu’un compte professionnel avait été usurpé dans la nuit du 25 juillet, donnant un accès frauduleux à un système d’information dédié à la formation des personnels. Le centre opérationnel de sécurité du ministère a été alerté le 26 juillet et l’accès externe a été suspendu.\n\nLe système contenait des informations d’identité et professionnelles sur des agents ayant exercé en académie depuis 2001. Le ministère n’a décrit la population potentielle que comme un nombre important d’agents. Aucune mise à jour officielle chiffrée n’a été identifiée avant la clôture de recherche du 16 août.","timeline":[{"date":"2026-07-25","label":"Accès frauduleux dans la nuit, après usurpation d’un compte professionnel."},{"date":"2026-07-26","label":"Le COSSIM est alerté. L’accès externe au système est suspendu et une cellule de crise est activée."},{"date":"2026-07-31","label":"Le ministère rend public l’incident et indique que le périmètre exact est encore en investigation."}],"how":"Le ministère décrit le mécanisme comme l’usurpation d’un compte professionnel. Il ne précise pas comment ce compte a été compromis, si une MFA était en place, ni si une faille logicielle était aussi en jeu. C’est le troisième incident majeur du ministère de l’Éducation dans le dossier 2026, et le deuxième dont le cœur public est des identifiants compromis.","taken":"Les informations potentiellement exposées portent sur l’identité et les données professionnelles, dont le statut et les fonctions, des personnels ayant exercé en académie depuis 2001. Pour certains dossiers, l’adresse postale, le téléphone et le numéro de sécurité sociale sont aussi présents. Comme l’effectif exact reste inconnu, aucune valeur numérique n’est utilisée dans les agrégats.","notTaken":"Le ministère indique explicitement que le système ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves.","impact":"Les numéros de sécurité sociale et des informations d’identité durables créent un risque de fraude pérenne. Contrairement à un mot de passe, un identifiant de sécurité sociale ne se change pas simplement après une fuite. Le rôle professionnel et les coordonnées étayent aussi une usurpation convaincante du ministère ou de la paie.","response":"Le ministère a suspendu l’accès externe, activé une cellule de crise, déposé plainte, notifié l’ANSSI et la CNIL, lancé des vérifications sur ses autres systèmes, et indiqué que les agents potentiellement concernés seraient informés. Il a aussi rappelé qu’il renforçait sa sécurité depuis plusieurs mois.","methodDisclosure":"partial","revision":"Aucun effectif officiel public ultérieur n’a été identifié jusqu’à la clôture de recherche du 16 août. La fiche ne déduit pas un effectif de l’ancienneté de la base ou de la taille du ministère.","quotes":[{"text":"un nombre important de ses agents","original":"un nombre important de ses agents","originalLang":"fr","attribution":"Ministère de l’Éducation nationale, 31 juillet 2026","sourceId":"eduStaff"},{"text":"les investigations se poursuivent","original":"les investigations se poursuivent","originalLang":"fr","attribution":"Ministère de l’Éducation nationale, 31 juillet 2026","sourceId":"eduStaff"}]}},{"id":"ants","date":"2026-04-15","year":2026,"org":"France Titres / ANTS","domain":"ants.gouv.fr","kind":"government","sector":"Identity / public services","sectorLabel":"Identité / services publics","severity":"critical","status":"confirmed","affected":11700000,"affectedLabel":"Environ 11,7 millions de comptes qui pourraient être concernés","data":"Identifiant de connexion, civilité, noms, e-mail, date de naissance et identifiant unique ; parfois adresse postale, lieu de naissance et téléphone.","method":"Cause officielle encore en investigation.","risk":"Hameçonnage d’identité à thème administratif autour des permis, passeports et titres d’identité.","confidence":"Mise à jour officielle ; l’origine est encore en investigation","sourceName":"France Titres (ANTS)","sourceId":"ants","sourceUrl":"https://mairie.ants.gouv.fr/toute-l-actualite/incident-de-securite-relatif-au-portail-antsgouvfr-point-detape-du-21-avril-2026","sourceIds":["ants","antsInterior","antsTf1Maintenance","antsLemonde","antsLemondeArrest","antsTf1Breach3d"],"lastResearched":"2026-08-16","url":"/fr/incident/ants","detail":{"lead":"France Titres, aussi appelée ANTS, a détecté le 15 avril 2026 un incident de sécurité sur le portail ants.gouv.fr. Le point d’étape officiel du 21 avril indiquait qu’environ 11,7 millions de comptes particuliers et professionnels pouvaient être concernés.\n\nCe chiffre est formulé comme des comptes qui pourraient être concernés. Il ne doit pas être lu automatiquement comme 11,7 millions d’enregistrements complets effectivement téléchargés. Les revendications criminelles d’environ 18 à 19 millions d’enregistrements ne sont pas le décompte officiel.","timeline":[{"date":"2026-04-15","label":"L’ANTS détecte l’incident de sécurité."},{"date":"2026-04-16","label":"L’ANTS signale au parquet de Paris que des données présentées comme issues de l’incident sont mises en vente. Une enquête cyber commence."},{"date":"2026-04-21","label":"Point d’étape : 11,7 millions de comptes pourraient être concernés. L’investigation technique sur l’origine et le périmètre se poursuit."},{"date":"2026-04-24","label":"L’ANTS place le portail en maintenance à partir de 19 h 30 pour poursuivre le durcissement de sécurité."},{"date":"2026-04-25","label":"Un suspect de 15 ans est interpellé."},{"date":"2026-04-30","label":"Le parquet de Paris annonce publiquement l’interpellation et indique que le mineur est soupçonné d’avoir contribué à la fuite."}],"how":"Le principal point d’étape ANTS ne nomme ni vecteur d’accès initial ni vulnérabilité. Il indique que des investigations techniques internes visent à établir l’origine et le périmètre. La presse a ensuite décrit une faiblesse d’API de type IDOR ; des chercheurs ont aussi dit avoir signalé auparavant des failles. Ces récits restent du journalisme tant que France Titres, les enquêteurs ou une pièce judiciaire ne confirment pas le chemin technique précis.","taken":"Les champs potentiellement concernés comprennent l’identifiant de connexion, la civilité, le nom et les prénoms, l’e-mail, la date de naissance et un identifiant unique de compte. Pour certains comptes, le jeu de données inclut aussi l’adresse postale, le lieu de naissance et le téléphone. L’ANTS a indiqué que ces champs, à eux seuls, ne permettaient pas de se connecter au compte nominatif ANTS.","notTaken":"Au stade du 21 avril, l’ANTS excluait les pièces justificatives déposées pour les démarches et les données biométriques. Les mots de passe ne figuraient pas parmi les champs divulgués.","impact":"Ces données se prêtent très bien à l’hameçonnage d’identité à thème administratif. Un fraudeur peut citer une vraie date de naissance, une adresse ou un contexte ANTS et usurper une démarche de permis, de passeport, d’immatriculation ou de titre d’identité. Le danger direct n’est pas que les champs divulgués ouvrent le portail, mais qu’ils rendent l’étape suivante d’ingénierie sociale plus convaincante.","response":"L’ANTS a notifié la CNIL, saisi le parquet de Paris, et une enquête de l’OFAC a été ouverte. Le ministre de l’Intérieur a demandé à l’Inspection générale de l’administration d’établir la chaîne des responsabilités. Les titulaires de comptes professionnels et particuliers ont été informés. L’ANTS a conseillé de changer le mot de passe à la prochaine connexion, par précaution. Le portail a ensuite été placé en maintenance pour un durcissement supplémentaire.","methodDisclosure":"undisclosed","attackerClaim":"Des vendeurs sur des forums criminels ont revendiqué un jeu plus large, généralement de l’ordre de 18 à 19 millions d’enregistrements. Les communications officielles retiennent 11,7 millions de comptes comme périmètre potentiel. L’interpellation ultérieure d’un mineur soupçonné d’avoir contribué à la fuite ne valide pas le volume revendiqué.","revision":"Un adolescent de 15 ans a été interpellé le 25 avril. Le 30 avril, le parquet de Paris a indiqué que le mineur était soupçonné d’avoir contribué à la fuite. Une page d’information gouvernementale ayant par erreur parlé d’une détection le 15 mars n’est pas retenue ici : les documents primaires ANTS et ministère de l’Intérieur indiquent de façon cohérente le 15 avril.","quotes":[{"text":"11,7 millions de comptes seraient concernés","original":"11,7 millions de comptes seraient concernés","originalLang":"fr","attribution":"France Titres / ministère de l’Intérieur, 21 avril 2026","sourceId":"ants"},{"text":"investigations techniques internes","original":"investigations techniques internes","originalLang":"fr","attribution":"France Titres, 21 avril 2026","sourceId":"ants"}]}},{"id":"edustudents","date":"2026-04-14","year":2026,"org":"Ministère de l’Éducation / ÉduConnect","domain":"education.gouv.fr","kind":"government","sector":"Education","sectorLabel":"Éducation","severity":"critical","status":"confirmed","affected":null,"affectedLabel":"Effectif officiel d’élèves non publié","data":"Nom, identifiant ÉduConnect, établissement et classe, e-mail s’il était renseigné, et code d’activation des comptes non encore activés.","method":"Compte d’un personnel usurpé, plus une vulnérabilité exploitée peu avant sa correction.","risk":"Hameçonnage à thème scolaire visant les élèves et les parents.","confidence":"Communication officielle ; effectif exact d’élèves non publié","sourceName":"French Education Ministry","sourceId":"eduStudents","sourceUrl":"https://www.education.gouv.fr/incident-de-securite-affectant-les-donnees-de-certains-eleves-de-l-education-nationale-504443","sourceIds":["eduStudents","eduStudentsLemonde","eduStudentsAa","eduStudents01net"],"lastResearched":"2026-08-16","url":"/fr/incident/edustudents","detail":{"lead":"Le ministère de l’Éducation a indiqué le 14 avril 2026 que des données d’élèves avaient été exfiltrées d’un service lié à ÉduConnect. Le compte d’un personnel habilité a été usurpé fin 2025, et une faille identifiée en décembre 2025 a été exploitée peu avant sa correction.\n\nLe ministère confirme l’exfiltration mais n’a pas publié d’effectif définitif d’élèves. Les revendications criminelles de 3,5 millions d’élèves et 7,2 millions de bulletins restent des revendications, pas le périmètre vérifié du ministère.","timeline":[{"date":"2025-12-01","label":"Le compte d’un personnel habilité est usurpé fin 2025, donnant un accès frauduleux au service de gestion des comptes élèves (jour exact non publié)."},{"date":"2025-12-15","label":"Une vulnérabilité du service est identifiée en décembre et, selon le ministère, exploitée peu avant sa correction (jour exact non publié)."},{"date":"2026-04-12","label":"Un groupe criminel met en vente des données qu’il présente comme issues de l’environnement éducatif, avec un chiffre de plusieurs millions d’élèves."},{"date":"2026-04-14","label":"Le ministère de l’Éducation confirme publiquement l’exfiltration ; le nombre exact d’élèves est encore en évaluation."},{"date":"2026-04-18","label":"Le Monde indique que le ministère ne connaît toujours pas le nombre exact d’élèves concernés."},{"date":"2026-06-09","label":"Les enquêteurs français interpellent sept personnes présentées comme de présumés membres de DumpSec, dans une enquête plus large visant plus de 1 500 entités. C’est un contexte d’attribution ; cela ne valide pas l’effectif d’élèves revendiqué."},{"date":"2026-06-12","label":"La presse spécialisée relie les interpellations à une campagne DumpSec plus large et reprend les revendications du groupe sur ÉduConnect. Ces chiffres restent hors du décompte confirmé du ministère."}],"how":"Contrairement à COMPAS, cet incident combine une identité compromise et une faiblesse logicielle. Le ministère indique que le compte d’un personnel habilité a été usurpé et qu’une vulnérabilité du service de gestion des comptes a été exploitée peu avant sa correction. Le communiqué public ne nomme pas la vulnérabilité, ne fournit pas de CVE et n’explique pas la séquence précise des requêtes.","taken":"Les champs officiellement confirmés sont le prénom et le nom de l’élève, l’identifiant ÉduConnect, l’établissement et la classe, l’e-mail s’il était renseigné, et le code d’activation uniquement pour les comptes non encore activés. Le ministère confirme l’exfiltration. Il n’a pas publié d’effectif définitif d’élèves à la date de clôture de la recherche.","notTaken":"Le ministère indique que les comptes déjà activés par les élèves et leurs responsables n’ont pas été compromis et pouvaient continuer à être utilisés. Il a réinitialisé les codes des comptes non activés et bloqué les comptes non distribués ou non activés. La liste officielle des champs n’inclut pas de données de santé ni de numéros de sécurité sociale.","impact":"Parce que le jeu de données concerne des mineurs et des établissements, le risque principal est un hameçonnage très crédible à thème scolaire visant élèves et parents. L’établissement, la classe, l’identité et le contexte d’activation peuvent servir à usurper un chef d’établissement, un portail parents ou un processus d’assistance aux comptes.","response":"Le ministère a suspendu l’accès au service touché, activé une cellule de crise, réinitialisé les codes d’activation, bloqué les comptes non activés, commencé à renforcer les accès avec la MFA, notifié l’ANSSI et la CNIL, et déposé plainte. Les familles ont été invitées à la vigilance face aux fraudes à thème scolaire.","methodDisclosure":"partial","attackerClaim":"DumpSec, ou des comptes qui lui sont attribués, ont revendiqué environ 3,5 millions d’élèves et 7,2 millions de bulletins. Ces chiffres restent des revendications criminelles. Ils ne remplacent pas un effectif d’élèves vérifié par le ministère.","revision":"En juin 2026, les enquêteurs français ont interpellé sept personnes présentées comme de présumés membres de DumpSec, dans une enquête plus large. Cela renforce le contexte d’attribution au niveau de la campagne. Cela ne valide pas les effectifs d’élèves ou de bulletins revendiqués, et le nombre officiel d’élèves reste non publié.","quotes":[{"text":"le nombre exact est en cours d’évaluation","original":"le nombre exact est en cours d’évaluation","originalLang":"fr","attribution":"Ministère de l’Éducation nationale, 14 avril 2026","sourceId":"eduStudents"},{"text":"usurpation d’identité du compte d’un personnel habilité","original":"usurpation d’identité du compte d’un personnel habilité","originalLang":"fr","attribution":"Ministère de l’Éducation nationale, 14 avril 2026","sourceId":"eduStudents"}]}},{"id":"educompas","date":"2026-03-15","year":2026,"org":"Ministère de l’Éducation / COMPAS","domain":"education.gouv.fr","kind":"government","sector":"Education","sectorLabel":"Éducation","severity":"high","status":"confirmed","affected":243000,"affectedLabel":"Environ 243 000 agents, stagiaires et titulaires","data":"Identité, adresses, téléphones et périodes d’absence sans le motif médical ; noms et numéros professionnels des tuteurs.","method":"Usurpation d’un compte externe.","risk":"Harcèlement, usurpation et fraudes ciblant le personnel de l’Éducation.","confidence":"Communication officielle des autorités","sourceName":"French Education Ministry","sourceId":"eduCompas","sourceUrl":"https://www.education.gouv.fr/incident-de-securite-affectant-les-donnees-de-certains-personnels-de-l-education-nationale-470657","sourceIds":["eduCompas","eduCompasSenat","eduCompasRtl","eduCompasAef"],"lastResearched":"2026-08-16","url":"/fr/incident/educompas","detail":{"lead":"Un attaquant a utilisé un compte externe usurpé pour atteindre COMPAS, le système d’information du ministère de l’Éducation utilisé pour la gestion des enseignants stagiaires. L’accès frauduleux a eu lieu le 15 mars 2026. Le centre opérationnel de sécurité du ministère a été alerté le 19 mars après identification d’une diffusion non autorisée de données COMPAS.\n\nLes données d’environ 243 000 agents, dont des stagiaires et des titulaires enregistrés dans le système, ont été exfiltrées. Ce chiffre est un effectif officiel approximatif de personnes.","timeline":[{"date":"2026-03-15","label":"Accès frauduleux à COMPAS après usurpation d’un compte externe."},{"date":"2026-03-19","label":"Le COSSIM, centre opérationnel de sécurité du ministère, est alerté. L’accès externe est fermé et une cellule de crise est activée."},{"date":"2026-03-21","label":"La CNIL est notifiée, selon une réponse ultérieure au Sénat."},{"date":"2026-03-23","label":"L’annonce publique établit un périmètre d’environ 243 000 personnes."},{"date":"2026-03-24","label":"Une plainte est déposée, selon la réponse de la ministre au Sénat."},{"date":"2026-04-01","label":"Le ministère indique que les 243 000 personnes concernées seront informées individuellement à cette date."}],"how":"Le ministère indique que l’accès a suivi l’usurpation d’un compte externe. Il ne décrit pas de vulnérabilité logicielle dans COMPAS ni n’explique comment le compte externe a été obtenu. Il s’agit donc d’identifiants compromis utilisés pour un accès authentifié valide.","taken":"Noms et autres éléments d’identité, adresses postales, téléphones et périodes d’absence sans le motif de santé, pour environ 243 000 agents enregistrés dans COMPAS. L’identité des tuteurs et leurs numéros professionnels ont aussi été exposés. La presse spécialisée a indiqué que des échantillons sont ensuite apparus sur des places de revente ; tout volume revendiqué n’est pas un second décompte officiel.","notTaken":"Le communiqué officiel souligne que les périodes d’absence n’incluaient pas le motif de santé. La source primaire publique examinée n’apporte pas d’éléments pour des allégations plus larges sur des dossiers médicaux ou des identifiants bancaires.","impact":"Des enseignants et d’autres agents ont exprimé la crainte que ces données servent à les localiser ou à les viser. De vraies adresses personnelles, des numéros de téléphone et un contexte professionnel peuvent étayer du harcèlement, de l’usurpation et des fraudes ciblées, même sans mots de passe dans le jeu de données.","response":"Le ministère a suspendu l’accès externe à COMPAS, activé une cellule de crise, vérifié d’autres systèmes, notifié l’ANSSI et la CNIL, déposé plainte et informé les agents. Dans le débat parlementaire, la ministre a aussi décrit un programme gouvernemental plus large axé sur la MFA, la segmentation et la réduction de l’exposition des applications.","methodDisclosure":"partial","revision":"Une réponse ultérieure au Sénat fournit les dates de notification à la CNIL (21 mars), de la plainte (24 mars) et de l’information individuelle prévue (au 1er avril). Elle renforce le constat transversal que l’usurpation d’identifiants est une faiblesse récurrente.","quotes":[{"text":"usurpation d’un compte externe","original":"usurpation d’un compte externe","originalLang":"fr","attribution":"Ministère de l’Éducation nationale, 23-24 mars 2026","sourceId":"eduCompas"},{"text":"environ 243 000 agents","original":"environ 243 000 agents","originalLang":"fr","attribution":"Ministère de l’Éducation nationale, 23-24 mars 2026","sourceId":"eduCompas"}]}},{"id":"ficoba","date":"2026-01-31","year":2026,"org":"DGFiP / FICOBA","domain":"economie.gouv.fr","kind":"government","sector":"Finance / tax","sectorLabel":"Finances / fiscalité","severity":"critical","status":"confirmed","affected":1200000,"affectedLabel":"Environ 1,2 million de comptes bancaires","data":"Identifiants de comptes (RIB/IBAN), identité du titulaire et adresse postale. L’identifiant fiscal n’a pas été consulté. Pas de soldes.","method":"Identifiants volés d’un fonctionnaire extérieur à la DGFiP, habilité aux échanges interministériels — pas une faille logicielle de FICOBA.","risk":"Hameçonnage bancaire et fiscal ciblé, fraude à l’identité et arnaques au faux conseiller.","confidence":"Communication officielle des autorités et réponses parlementaires ultérieures","sourceName":"French Finance Ministry","sourceId":"ficoba","sourceUrl":"https://presse.economie.gouv.fr/acces-illegitimes-au-fichier-national-des-comptes-bancaires-ficoba/","sourceIds":["ficoba","ficobaFaqPage","ficobaImpots","ficobaQ13230","ficobaQ13370"],"lastResearched":"2026-08-16","url":"/fr/incident/ficoba","detail":{"lead":"De fin janvier au 13 février 2026, un attaquant a utilisé les identifiants d’un fonctionnaire extérieur à la DGFiP habilité à interroger FICOBA dans le cadre des échanges interministériels. Environ 1,2 million d’enregistrements de comptes bancaires — moins de 1 % du fichier — ont été consultés ou extraits.\n\nLe chiffre de 1,2 million désigne des comptes bancaires, pas des personnes uniques. Une personne peut détenir plusieurs comptes, et un compte peut avoir plusieurs titulaires.","timeline":[{"date":"2026-01-28","label":"Début des consultations illégitimes de FICOBA à l’aide des identifiants d’un fonctionnaire habilité extérieur à la DGFiP."},{"date":"2026-02-13","label":"Dernier jour de la fenêtre d’accès illégitime indiquée dans les réponses parlementaires ultérieures."},{"date":"2026-02-16","label":"La DGFiP procède à sa première notification à la CNIL, selon une réponse parlementaire ultérieure."},{"date":"2026-02-18","label":"Le ministère des Finances rend public l’incident et le périmètre d’environ 1,2 million de comptes."},{"date":"2026-02-23","label":"La DGFiP complète sa notification à la CNIL."},{"date":"2026-02-24","label":"Les banques commencent à recevoir, par voie sécurisée, les informations sur leurs comptes figurant dans l’ensemble consulté."},{"date":"2026-04-28","label":"Réponse parlementaire : le compte compromis appartenait à une autre administration, et non à une faille logicielle de FICOBA."}],"how":"L’attaque a utilisé des identifiants valides rattachés à un utilisateur interministériel habilité, extérieur à la DGFiP. Les autorités n’ont pas publié comment ces identifiants ont été volés. Une réponse parlementaire indique que l’incident vient de l’usage d’un compte dans une administration tierce, et non d’une vulnérabilité logicielle de FICOBA.","taken":"Identifiants de comptes bancaires (RIB, IBAN), identité du titulaire et adresse postale. Le ministère des Finances a indiqué que l’identifiant fiscal n’avait pas été consulté lors des accès illégitimes.","notTaken":"FICOBA ne contient ni soldes ni historiques d’opérations. L’incident n’a pas compromis les mots de passe bancaires, les mots de passe impots.gouv.fr ni l’accès aux espaces fiscaux sécurisés. Un IBAN est sensible pour la fraude, mais ce n’est pas un identifiant qui donne le contrôle d’une banque en ligne.","impact":"Les préjudices en aval les plus crédibles sont l’hameçonnage bancaire et fiscal ciblé, la fraude à l’identité et les tentatives de prélèvements non autorisés. La combinaison d’une identité réelle, d’une adresse et d’un IBAN est particulièrement utile pour une arnaque au faux conseiller bancaire ou à l’usurpation administrative.","response":"La DGFiP a restreint les accès externes, travaillé avec l’ANSSI et les responsables de sécurité du ministère, notifié la CNIL, déposé plainte, contacté les usagers concernés et transmis aux banques les informations compte par compte pour renforcer la surveillance et les alertes clients. Les réponses parlementaires ultérieures indiquent que les accès externes sont restés coupés le temps des travaux de sécurisation.","methodDisclosure":"disclosed","revision":"Les documents parlementaires ultérieurs confirment le premier récit public et précisent la frontière de sécurité : les identifiants compromis appartenaient à un fonctionnaire extérieur à la DGFiP, et l’incident n’était pas une faille logicielle de FICOBA.","quotes":[{"text":"usurpé les identifiants d’un fonctionnaire","original":"usurpé les identifiants d’un fonctionnaire","originalLang":"fr","attribution":"Ministère de l’Économie et des Finances, 18 février 2026","sourceId":"ficoba"},{"text":"1,2 millions de comptes","original":"1,2 millions de comptes","originalLang":"fr","attribution":"Ministère de l’Économie et des Finances, 18 février 2026","sourceId":"ficoba"}]}},{"id":"interior","date":"2025-12-11","year":2025,"org":"Ministère de l’Intérieur","domain":"interieur.gouv.fr","kind":"government","sector":"Law enforcement","sectorLabel":"Forces de l’ordre","severity":"critical","status":"disputed","affected":null,"affectedLabel":"72 fiches TAJ et des dizaines de milliers de lignes d’index TAJ ; 23 fiches FPR et environ 3 000 éléments d’index FPR ; 1 fiche Interpol — pas un nombre de personnes","data":"72 fiches TAJ complètes plus des dizaines de milliers de lignes d’index TAJ ; 23 fiches FPR plus environ 3 000 éléments d’index FPR ; 1 fiche Interpol après consultation de 10. Pas un décompte de personnes.","method":"Messageries de police compromises, puis mots de passe d’applications trouvés dans les e-mails, puis un portail de police. La MFA a stoppé les applications qui en avaient déjà.","risk":"Informations policières extrêmement sensibles, risques pour les personnes, les enquêtes et la sécurité opérationnelle.","confidence":"Reconstruction sénatoriale d’une violation confirmée ; 16,4 millions reste une revendication d’attaquant.","sourceName":"Sénat","sourceId":"interiorSenate","sourceUrl":"https://www.senat.fr/compte-rendu-commissions/20260112/lois.html","sourceIds":["interiorSenate","interiorSenateNews","interiorAssemblee","interiorPublicSenat","interior","interiorFrance24"],"lastResearched":"2026-08-16","url":"/fr/incident/interior","detail":{"lead":"Un acteur criminel a revendiqué l’accès aux données de plus de 16 millions de personnes. Le ministre de l’Intérieur a ensuite écarté l’idée que des millions de dossiers complets avaient été extraits. Une audition au Sénat le 13 janvier 2026 a reconstitué un périmètre plus étroit, toujours grave : 72 fiches TAJ complètes plus des dizaines de milliers de lignes d’index TAJ, 23 fiches FPR plus environ 3 000 éléments d’index FPR, et 1 fiche Interpol exfiltrée après consultation de 10. Ces quantités sont des comptes d’enregistrements opérationnels, pas un total de personnes distinctes.\n\nLe chemin est allé de messageries professionnelles compromises, via des mots de passe d’applications que des agents avaient échangés par e-mail, jusqu’à un portail de la Police nationale. Les applications déjà protégées par la MFA ont été tentées mais pas pénétrées avec succès.","timeline":[{"date":"2025-11-25","label":"La DGPN constate que les mots de passe de plusieurs messageries de police ont été changés."},{"date":"2025-11-28","label":"Les services réinitialisent eux-mêmes les mots de passe des messageries."},{"date":"2025-12-08","label":"Le ministère sait qu’une personne non autorisée a accédé à un portail de la Police nationale et à plusieurs applications. Une enquête pénale est ouverte."},{"date":"2025-12-17","label":"Le ministre Laurent Nuñez confirme publiquement l’accès au TAJ et au FPR et l’extraction de dizaines de fiches confidentielles. Un suspect de 22 ans est interpellé."},{"date":"2026-01-13","label":"Nuñez donne au Sénat les chiffres 72 TAJ, 23 FPR et Interpol, et décrit la généralisation de la MFA."}],"how":"Des messageries professionnelles compromises ont donné à l’attaquant accès à des messages dans lesquels certains agents avaient échangé des mots de passe d’applications internes. Ces identifiants ont ouvert un portail de police partagé entre services — exposant environ 150 applications, dont l’attaquant en a consulté sept — et permis d’accéder aux applications non protégées par un facteur plus fort. Nuñez a indiqué aux sénateurs que les applications déjà protégées par la MFA avaient été tentées mais pas pénétrées avec succès. La défaillance initiale est une chaîne : compromission de messagerie, mauvaise gestion des mots de passe d’applications dans les e-mails, réutilisation des identifiants vers des applications internes, puis interrogation et extraction sélectives de systèmes de police sensibles.","taken":"Le TAJ contient environ 19 millions de fiches, mais l’attaquant ne les a pas toutes exportées. Le ministre a indiqué que 72 fiches TAJ complètes avaient été exfiltrées, ainsi que des dizaines de milliers de lignes de synthèse ou d’index contenant des informations d’identité mais pas le motif d’inscription au TAJ. Pour le FPR, 23 fiches complètes et environ 3 000 éléments de synthèse ont été extraits. Dix fiches Interpol ont été consultées et une a été exfiltrée. Ces quantités sont des comptes d’enregistrements opérationnels, pas un nombre net de personnes physiques distinctes.","notTaken":"Le ministre a indiqué qu’il n’y avait pas eu d’extraction de millions de dossiers de police complets ni de demande de rançon. Aucune destruction ni modification des fichiers de police n’a été signalée. Une application RH accessible via le portail n’a pas été visitée, selon l’audition ultérieure.","impact":"La sensibilité même d’un petit nombre de dossiers de police complets est extrême. Ils peuvent contenir des informations d’enquête, de police ou personnelles dont la divulgation peut toucher des témoins, des suspects, des agents ou des opérations en cours. Les lignes d’index peuvent aussi être dommageables, car des données d’identité dans un contexte policier peuvent permettre un ciblage ou une intimidation. L’incident a aussi montré qu’une base centrale durcie peut encore être exposée par des pratiques d’identité plus faibles sur les systèmes périphériques.","response":"Le ministère a ouvert une enquête pénale, interpellé un suspect le 17 décembre, réinitialisé les mots de passe de la messagerie administrative, supprimé environ un millier de comptes d’agents partis, travaillé avec l’ANSSI sur une chasse rétrospective et une revue de journaux, et étendu la MFA. Nuñez a indiqué que la MFA serait généralisée sur les applications du ministère, et le ministère a revu les profils d’accès et les pratiques de messagerie.","methodDisclosure":"partial","attackerClaim":"Un groupe se présentant sous le nom d’Indra a revendiqué l’accès aux données de plus de 16 millions de personnes et a associé ce chiffre à des fichiers de police. Ce nombre ressemblait de près à la taille du TAJ, plutôt qu’au volume dont l’extraction a ensuite été établie. La revendication de 16,4 millions reste du marketing d’attaquant contesté, pas un décompte confirmé de personnes.","revision":"Le premier récit public parlant de « dizaines de fiches » était raisonnable juste après l’annonce de décembre. L’audition de janvier au Sénat fournit les catégories et les comptes précis indiqués par le ministre, tandis qu’un total de personnes distinctes reste inconnu et que la revendication de 16,4 millions reste hors du champ numérique affected.","quotes":[{"text":"Ce qui s’est passé est très grave","original":"Ce qui s’est passé est très grave","originalLang":"fr","attribution":"Laurent Nuñez","sourceId":"interiorAssemblee"},{"text":"hygiène numérique","original":"hygiène numérique","originalLang":"fr","attribution":"Laurent Nuñez, audition au Sénat","sourceId":"interiorSenate"}]}},{"id":"eurofiber","date":"2025-11-13","year":2025,"org":"Eurofiber France","domain":"eurofiber.com","kind":"company","sector":"Telecom / cloud supplier","sectorLabel":"Télécoms / fournisseur cloud","severity":"high","status":"confirmed","affected":null,"affectedLabel":"Périmètre client non exprimé en nombre vérifié de personnes","data":"Données d’identification, mots de passe hachés, contenu de tickets et certaines pièces jointes. Données bancaires ou critiques et intégrité réseau/cloud non compromises, selon Eurofiber.","method":"Injection SQL aveugle contre la base utilisateurs, puis exfiltration via l’API REST de tickets et documents.","risk":"Les tickets d’un fournisseur peuvent exposer la configuration et l’historique de support de nombreuses organisations clientes.","confidence":"Communication officielle de l’entreprise après l’incident","sourceName":"Eurofiber France","sourceId":"eurofiber","sourceUrl":"https://www.eurofiber.com/fr-fr/actualites/incident-de-cybersecurite-du-13-novembre-enseignements-et-actions-engagees","sourceIds":["eurofiberInitial","eurofiber","eurofiberCloud"],"lastResearched":"2026-08-16","url":"/fr/incident/eurofiber","detail":{"lead":"Eurofiber France a publié un retour d’expérience détaillé d’un incident touchant sa plateforme de ticketing client pour Eurofiber France et ses marques régionales, ainsi que le portail client ATE / Eurofiber Cloud Infra France. L’entreprise a fait remonter les premières traces au 6 novembre 2025, lorsque l’attaquant a utilisé une injection SQL aveugle contre la base des utilisateurs. À partir du 10 novembre, l’exfiltration s’est intensifiée via des appels à l’API REST visant tickets et documents. La supervision a détecté des anomalies le 13 novembre à 14 h 49.","timeline":[{"date":"2025-11-06","label":"Premières traces identifiées a posteriori : injection SQL aveugle visant la base des utilisateurs."},{"date":"2025-11-10","label":"L’exfiltration s’intensifie via des appels à l’API REST visant tickets et documents."},{"date":"2025-11-13","label":"La supervision détecte une activité anormale à 14 h 49. La cellule de crise s’ouvre. Eurofiber indique la vulnérabilité corrigée et le serveur concerné isolé à 18 h 15."}],"how":"Eurofiber indique qu’une vulnérabilité du logiciel de ticketing, connue dans la communauté de la sécurité sous une référence CVE, a permis une injection SQL et une extraction de données via API. Une version personnalisée dans l’environnement d’Eurofiber n’avait pas été identifiée comme vulnérable par l’éditeur. L’entreprise n’a nommé ni le produit ni l’identifiant CVE dans son propre retour d’expérience ; cette fiche ne traite pas un nom de produit ultérieur comme confirmé.","taken":"Données d’identification telles que nom, prénom, e-mail, mot de passe haché et, le cas échéant, téléphone ou informations de profil. Le contenu des tickets, les échanges et certaines pièces jointes étaient aussi concernés. Eurofiber a indiqué qu’environ 2 % seulement des tickets les plus anciens avaient des pièces jointes dans la catégorie affectée. Le périmètre comprenait Eurofiber France et les marques régionales Eurafibre, FullSave, Netiwan et Avelia, ainsi que le portail Eurofiber Cloud Infra France. Les clients hors de France n’étaient pas concernés, selon l’entreprise.","notTaken":"Eurofiber a indiqué que les données bancaires ou critiques n’avaient pas été compromises. Elle a aussi indiqué que l’intégrité et la disponibilité des services réseau et cloud sous-jacents n’avaient pas été compromises par l’attaque.","impact":"L’impact direct sur le service a été limité, mais la valeur de renseignement en aval est importante. Les tickets de support d’un fournisseur peuvent exposer des noms d’hôtes, des détails d’architecture, des journaux de dépannage, des captures d’écran et des pièces jointes concernant de nombreuses organisations à la fois. Il s’agit d’un cas d’exposition fournisseur, même sans large décompte public de victimes.","response":"Eurofiber a activé une cellule de crise avec son prestataire SOC, préservé les preuves forensiques, isolé et corrigé le service vulnérable, renouvelé les mots de passe et clés d’API, durci les restrictions d’IP, informé les clients et les autorités, et introduit une authentification plus forte et une protection des jetons d’API. L’entreprise a aussi signalé une tentative d’extorsion dans son suivi.","methodDisclosure":"disclosed","revision":"Le retour d’expérience justifie de traiter le mécanisme d’exploitation — injection SQL et exfiltration via l’API REST — comme divulgué, tout en laissant l’identité de l’attaquant et tout nom de produit ultérieur non confirmés par Eurofiber.","quotes":[{"text":"Les premières traces de l’attaque remontent au 6 novembre","original":"The first traces of the attack date back to November 6","originalLang":"en","attribution":"Retour d’expérience d’Eurofiber France","sourceId":"eurofiber"},{"text":"injection SQL","original":"injection SQL","originalLang":"fr","attribution":"Eurofiber France","sourceId":"eurofiber"}]}},{"id":"weda","date":"2025-11-10","year":2025,"org":"Weda","domain":"weda.fr","kind":"company","sector":"Healthcare","sectorLabel":"Santé","severity":"critical","status":"confirmed","affected":null,"affectedLabel":"23 000 professionnels de santé privés d’accès ; nombre de patients inconnu","data":"Risque de données patients inter-cabinets via l’API. Nombre de patients inconnu ; 23 000 est le blocage opérationnel de professionnels de santé.","method":"Comptes clients authentifiés et faille d’autorisation d’API inter-cabinets.","risk":"Perturbation des soins et exposition potentielle d’informations de santé très sensibles.","confidence":"Document WEDA de notification CNIL ; le nombre de patients reste en cours d’investigation.","sourceName":"WEDA","sourceId":"wedaCnil","sourceUrl":"https://assistance.weda.fr/hubfs/2025-11_Notification%20violation%20CNIL%20WEDA.pdf","sourceIds":["wedaCnil","wedaCnilDirect","wedaLemonde","weda","wedaCaducee","wedaAvec"],"lastResearched":"2026-08-16","url":"/fr/incident/weda","detail":{"lead":"Le document WEDA destiné à aider ses clients à remplir la notification CNIL indique que la supervision a détecté, à 17 h le 10 novembre 2025, un pic d’activité anormal sur un compte client multipliant les appels d’API. Une fois un utilisateur authentifié sur un compte client WEDA, l’API pouvait renvoyer des données patients même lorsque ces patients n’étaient pas rattachés au compte de ce professionnel de santé.\n\nEnviron 23 000 professionnels de santé ont perdu l’accès normal lorsque WEDA a fermé l’application à 23 h. Ce chiffre décrit un blocage opérationnel, pas un décompte de patients. WEDA a classé l’événement comme une perte de confidentialité et indiqué les patients comme catégorie concernée, tout en précisant que le nombre approximatif d’enregistrements et de personnes était encore en cours d’investigation.","timeline":[{"date":"2025-11-10","label":"17 h : activité API anormale sur un compte client. Un second compte montre le même schéma vers 21 h. À 23 h, WEDA ferme l’application pour tous les utilisateurs."},{"date":"2025-11-11","label":"La CNIL indique avoir été informée de la violation de données WEDA à compter de cette date."},{"date":"2025-11-12","label":"WEDA mobilise une assistance forensique, dépose plainte auprès de la Police nationale et entame des échanges avec l’ANSSI."},{"date":"2025-11-14","label":"Accès partiel rétabli. Identifiant et mot de passe seuls ne suffisent plus ; Pro Santé Connect ou CPx est exigé, et les points d’accès vulnérables sont retirés."}],"how":"L’activité suspecte est passée par des comptes clients authentifiés. L’API concernée avait un problème de frontière d’autorisation : un compte client connecté pouvait interroger des données patients non rattachées à ce professionnel. Il s’agit d’un défaut d’autorisation après une session valide, pas seulement d’une intrusion serveur non précisée. Le document n’établit pas comment l’attaquant a pris le contrôle des comptes clients — hameçonnage, stuffing d’identifiants, réutilisation de comptes ou autre technique ne sont pas prouvés. WEDA a qualifié la cause d’acte malveillant externe, dans la catégorie piratage, maliciel ou hameçonnage pour la notification CNIL.","taken":"Le document primaire de WEDA indique que l’API pouvait appeler des données patients stockées dans les bases WEDA au-delà des frontières entre clients. Il demande aux organisations clientes de classer la catégorie concernée comme les patients, et précise que le nombre approximatif d’enregistrements et de personnes restait en cours d’investigation. Cela étaye un risque de violation de confidentialité de données de santé. Cela ne justifie pas d’inventer un décompte national de patients. Le chiffre de 23 000 est le nombre de professionnels de santé touchés opérationnellement par l’arrêt.","notTaken":"Aucun total public fiable et définitif de dossiers patients concernés n’a été trouvé. Les éléments ne permettent pas d’établir l’export massif de l’ensemble des dossiers patients WEDA. Les professionnels locaux qui ont ensuite indiqué à leurs patients que leur cabinet n’avait pas identifié de données de santé compromises ne doivent pas être généralisés en une affirmation qu’aucune donnée patient WEDA n’a été consultée nulle part.","impact":"L’arrêt a immédiatement perturbé les parcours de soins. Les cliniciens ont temporairement travaillé sans accès électronique normal aux antécédents, prescriptions, courriers et outils de facturation, en revenant parfois au papier et en demandant aux patients d’apporter des documents récents. Le risque de confidentialité est particulièrement grave parce que le système stocke des informations de santé. Même un accès non autorisé à un sous-ensemble plus restreint de données médicales peut créer des risques importants de vie privée et de discrimination.","response":"WEDA a fermé le service, désactivé les comptes suspects, bloqué les adresses IP sources, fait appel à une assistance forensique, contacté l’ANSSI, déposé plainte et accompagné la notification CNIL. Avant la réouverture, elle a revu Pro Santé Connect, durci les restrictions d’IP sources, retiré les points d’accès vulnérables et limité la connexion des professionnels à des mécanismes d’authentification santé plus forts pendant la période de rétablissement dégradé.","methodDisclosure":"disclosed","revision":"Parler d’une intrusion non précisée est trop vague au vu du document primaire ultérieur de WEDA. Le dossier public étaye désormais l’usage de comptes clients authentifiés pour appeler des API, une API capable de renvoyer des données patients hors du périmètre du client, et une perte de confidentialité. Le nombre de patients concernés reste inconnu.","quotes":[{"text":"un pic d’activité anormal","original":"un pic d’activité anormal","originalLang":"fr","attribution":"Document WEDA de notification CNIL","sourceId":"wedaCnil"},{"text":"Perte de la confidentialité","original":"Perte de la confidentialité","originalLang":"fr","attribution":"Document WEDA de notification CNIL","sourceId":"wedaCnil"},{"text":"toujours en cours d’investigation","original":"toujours en cours d’investigation","originalLang":"fr","attribution":"Document WEDA de notification CNIL","sourceId":"wedaCnil"}]}},{"id":"airfrance","date":"2025-08-06","year":2025,"org":"Air France / KLM","domain":"airfrance.com","kind":"company","sector":"Aviation","sectorLabel":"Aviation","severity":"high","status":"confirmed","affected":null,"affectedLabel":"Nombre non rendu public","data":"Noms, coordonnées, numéro et statut Flying Blue, et objet des demandes au service client. Mots de passe, données de voyage, passeports et cartes bancaires n’étaient pas concernés, selon les compagnies.","method":"Accès non autorisé à une plateforme tierce de service client ; le prestataire n’est pas nommé.","risk":"Hameçonnage et usurpation très crédibles grâce au contexte réel de fidélité et d’assistance.","confidence":"Confirmé par les compagnies ; effectif clients non publié ; un éventuel lien Salesforce n’est pas confirmé.","sourceName":"KLM","sourceId":"airfranceKlm","sourceUrl":"https://nieuws.klm.com/klm-informeert-klanten-over-incident-met-persoonsgegevens/","sourceIds":["airfranceKlm","airfrance","airfranceBleeping","airfranceSecurityweek"],"lastResearched":"2026-08-16","url":"/fr/incident/airfrance","detail":{"lead":"Air France et KLM ont indiqué début août 2025 qu’une plateforme externe utilisée pour le service client avait été accédée sans autorisation. Elles ont souligné que l’environnement compromis était une plateforme tierce de service client, et non leurs réseaux aériens centraux. Le nombre de clients n’a jamais été rendu public.","timeline":[{"date":"2025-08-06","label":"Air France et KLM commencent à informer publiquement d’un accès non autorisé à une plateforme externe de service client."},{"date":"2025-08-07","label":"La presse spécialisée relaye l’incident et confirme que les compagnies ne publieront pas le nombre de victimes tant que l’enquête est en cours."}],"how":"Les compagnies ont confirmé que l’activité non autorisée avait eu lieu sur une plateforme externe utilisée par leurs centres de contact et ont indiqué que leurs propres réseaux n’étaient pas concernés. Elles n’ont pas nommé le prestataire. La presse spécialisée a rattaché l’incident à une campagne plus large contre des services CRM tiers ; BleepingComputer a demandé si Salesforce était en cause et l’entreprise a refusé de le confirmer. Le prestataire et d’éventuelle ingénierie sociale restent non confirmés par Air France-KLM.","taken":"Noms, coordonnées, numéro et statut Flying Blue, et l’objet des demandes faites au service client. Certaines notifications évoquent aussi des notes liées à ces échanges. Cette combinaison permet à un fraudeur de rédiger des messages très plausibles qui citent un vrai compte de fidélité et une véritable demande d’assistance antérieure.","notTaken":"Les compagnies ont indiqué que les mots de passe, numéros de passeport, données de cartes bancaires, itinéraires de voyage et soldes de miles Flying Blue n’étaient pas concernés. Les réseaux centraux d’Air France et de KLM ont aussi été décrits comme non affectés.","impact":"L’impact opérationnel direct paraît limité par rapport aux incidents qui mettent hors service des systèmes de production. Le risque principal est la fraude : un attaquant peut s’appuyer sur un vrai historique d’assistance et des informations de fidélité pour se faire passer pour la compagnie, invoquer un problème de réservation ou de compte, ou tenter de voler des identifiants via un faux parcours d’assistance.","response":"Les compagnies et le prestataire externe ont coupé l’accès non autorisé, pris des mesures destinées à éviter une récidive, notifié les autorités de protection des données — Air France la CNIL, KLM l’autorité néerlandaise — et contacté les clients concernés. Ceux-ci ont été mis en garde contre les e-mails et appels suspects.","methodDisclosure":"partial","revision":"Le récit d’origine reste globalement exact. Le nombre de victimes est inconnu, et un éventuel lien avec Salesforce n’est pas confirmé par les compagnies.","quotes":[{"text":"activité inhabituelle sur une plateforme externe que nous utilisons pour le service client","original":"unusual activity on an external platform we use for customer service","originalLang":"en","attribution":"Déclaration Air France-KLM, en anglais","sourceId":"airfranceBleeping"},{"text":"action directe pour stopper l’accès non autorisé","original":"direct action to stop the unauthorized access","originalLang":"en","attribution":"Communication client KLM, version anglaise","sourceId":"airfranceKlm"}]}},{"id":"bouygues","date":"2025-08-04","year":2025,"org":"Bouygues Telecom","domain":"bouyguestelecom.fr","kind":"company","sector":"Telecommunications","sectorLabel":"Télécommunications","severity":"critical","status":"confirmed","affected":6400000,"affectedLabel":"6,4 millions de comptes clients","data":"Identité, coordonnées, données contractuelles et BIC/IBAN sur 6,4 millions de comptes clients — pas un décompte de personnes distinctes. Mots de passe et cartes non exposés.","method":"Accès non autorisé ; la voie d’accès initiale n’a pas été publiée.","risk":"Usurpation ciblée et fraudes au prélèvement. Un IBAN n’est pas un accès à la banque en ligne.","confidence":"Communication officielle de l’entreprise","sourceName":"Bouygues Telecom","sourceId":"bouygues","sourceUrl":"https://www.corporate.bouyguestelecom.fr/archives-communique-presse/bouygues-telecom-annonce-avoir-ete-victime-dune-cyberattaque/","sourceIds":["bouygues","bouyguesFaq","bouyguesCybermalveillance","bouyguesLemonde","bouyguesTechcrunch"],"lastResearched":"2026-08-16","url":"/fr/incident/bouygues","detail":{"lead":"Bouygues Telecom a détecté une cyberattaque le 4 août 2025 et l’a rendue publique deux jours plus tard. L’intrusion a donné un accès non autorisé à des données personnelles liées à 6,4 millions de comptes clients. Ce chiffre compte des comptes, pas nécessairement 6,4 millions de personnes distinctes. Les champs exposés comprenaient des coordonnées et des données d’état civil, des informations contractuelles et des identifiants bancaires tels que BIC et IBAN. Bouygues a indiqué que les mots de passe des comptes et les numéros de carte n’étaient pas exposés.","timeline":[{"date":"2025-08-04","label":"Bouygues Telecom détecte l’attaque ; les équipes techniques stoppent l’accès non autorisé."},{"date":"2025-08-06","label":"Annonce publique : 6,4 millions de comptes ; CNIL notifiée ; plainte déposée ; notification des clients commencée."},{"date":"2025-08-13","label":"Bouygues et Cybermalveillance.gouv.fr publient des conseils pratiques sur l’hameçonnage, la fraude liée à l’IBAN et la contestation des prélèvements."},{"date":"2026-02-04","label":"Cybermalveillance.gouv.fr met à jour sa fiche de conseils, en conservant le périmètre de 6,4 millions de comptes et les consignes anti-fraude."}],"how":"Bouygues a décrit l’événement comme un accès non autorisé et indiqué que ses équipes techniques l’avaient stoppé. L’entreprise n’a pas identifié publiquement la voie d’accès initiale, une vulnérabilité ni un attaquant.","taken":"Coordonnées des clients, données d’état civil, données contractuelles, BIC et IBAN. La synthèse publique de Cybermalveillance mentionne aussi l’identité de l’entreprise et le SIREN pour les dossiers professionnels concernés. Le chiffre de 6,4 millions compte des comptes clients, pas nécessairement 6,4 millions de personnes physiques distinctes.","notTaken":"Bouygues a indiqué que les mots de passe des comptes clients et les numéros de carte n’étaient pas exposés. Détenir un IBAN n’équivaut pas à détenir des identifiants bancaires et ne permet pas automatiquement de déplacer de l’argent.","impact":"Le risque durable est l’usurpation ciblée. Un arnaqueur qui connaît l’opérateur, l’identité, le contexte contractuel et l’IBAN d’une victime peut se faire passer de façon crédible pour un conseiller télécom, un service antifraude bancaire, un recouvreur ou un intermédiaire de paiement. L’exposition peut aussi servir à des tentatives de prélèvement frauduleux, même si les banques offrent des voies de contestation.","response":"Bouygues a contenu l’accès non autorisé, notifié la CNIL, déposé plainte et informé les clients concernés par e-mail ou SMS. Sa FAQ a expliqué ce qu’un IBAN permet ou non, et renvoyé les clients vers leur banque en cas d’activité suspecte. Cybermalveillance.gouv.fr a publié des conseils publics destinés à réduire la fraude de suivi.","methodDisclosure":"undisclosed","revision":"Le chiffre confirmé de 6,4 millions désigne des comptes clients, et la présence d’IBAN ne doit pas être décrite comme une compromission de la banque en ligne.","quotes":[{"text":"accès non autorisé à certaines données personnelles de 6,4 millions de comptes clients","original":"accès non autorisé à certaines données personnelles de 6,4 millions de comptes clients","originalLang":"fr","attribution":"Bouygues Telecom","sourceId":"bouygues"}]}},{"id":"orange","date":"2025-07-25","year":2025,"org":"Orange","domain":"orange.com","kind":"company","sector":"Telecommunications","sectorLabel":"Télécommunications","severity":"high","status":"confirmed","affected":null,"affectedLabel":"Fichiers d’entreprises limités ensuite reconnus comme volés ; pas de décompte de clients","data":"Reconnu ensuite : fichiers d’entreprises anciens ou peu sensibles, en volume limité. Pas de vol confirmé d’une base grand public.","method":"Cyberattaque d’un système d’information ; la voie d’accès initiale n’a pas été publiée.","risk":"Perturbation de services, puis risque de reconnaissance et d’hameçonnage à partir des fichiers d’entreprises fuités.","confidence":"Communication officielle, ensuite précisée par un porte-parole. WarLock relève de la presse, pas d’une attribution d’Orange.","sourceName":"Orange","sourceId":"orange","sourceUrl":"https://newsroom.orange.com/the-orange-group-announces-that-it-filed-a-complaint-on-monday-28-july-concerning-a-security-incident-on-one-of-its-information-systems/?lang=eng","sourceIds":["orange","orangeFollowup","orange01net"],"lastResearched":"2026-08-16","url":"/fr/incident/orange","detail":{"lead":"Orange a détecté une cyberattaque sur l’un de ses systèmes d’information le 25 juillet 2025. L’isolement des services potentiellement concernés a interrompu certaines plateformes de gestion entreprises et plusieurs services grand public, principalement en France. Le 28 juillet, l’entreprise indiquait n’avoir aucun élément montrant une exfiltration de données Orange ou clients.\n\nCette première conclusion n’a pas tenu. En août, des éléments attribués à l’intrusion sont apparus sur un site de fuites criminel. Orange a alors reconnu un accès limité et le vol d’informations anciennes ou peu sensibles concernant des clients entreprises. Aucun décompte vérifié de personnes n’a été publié. L’événement distinct d’Orange Belgique, qui concerne environ 850 000 comptes, n’est pas cet incident.","timeline":[{"date":"2025-07-25","label":"Orange détecte une cyberattaque sur un système d’information."},{"date":"2025-07-28","label":"Annonce publique : services isolés, plainte déposée, aucun élément d’exfiltration à ce stade."},{"date":"2025-07-30","label":"Objectif initial de rétablissement des principaux services perturbés, sous surveillance renforcée."},{"date":"2025-08-25","label":"ZDNet puis 01net indiquent qu’Orange a reconnu un accès limité et le vol d’informations d’entreprises anciennes ou peu sensibles."}],"how":"Orange n’a pas publié de vecteur d’accès initial. L’isolement des services potentiellement concernés a causé une partie de la panne visible. La presse spécialisée a ensuite décrit l’événement comme une attaque par rançongiciel ou extorsion associée à WarLock, d’après l’activité d’un site de fuites ; il s’agit d’un récit journalistique, pas d’une attribution formelle d’Orange.","taken":"Des articles ultérieurs, citant un porte-parole d’Orange, ont décrit le matériel volé comme des données anciennes ou peu sensibles liées à des clients entreprises, obtenues via un accès seulement limité. ZDNet a indiqué que sept documents internes étaient apparus sur le site de fuites. Il n’existe toujours pas de nombre public et vérifié de personnes concernées par cet incident en France.","notTaken":"Orange n’a pas confirmé le vol de mots de passe, de données de cartes bancaires ni d’une base de clients grand public français dans cet incident. La violation d’Orange Belgique, rendue publique plus tard en août, est un événement distinct et n’est pas comptée ici.","impact":"L’impact immédiat a été opérationnel : perturbation des services de gestion entreprises et de certains services grand public pendant l’isolement des systèmes. L’impact secondaire a porté sur la confiance et la communication, le récit public étant passé de l’absence d’éléments d’exfiltration à une fuite limitée reconnue. Même des documents opérationnels anciens peuvent servir à la reconnaissance, à l’usurpation, à la fraude fournisseur et à l’hameçonnage ultérieur.","response":"Orange Cyberdefense a isolé les services concernés ou potentiellement concernés, Orange a déposé plainte et les autorités ont été informées. Les services ont été rétablis progressivement sous surveillance renforcée. Après la publication des données, Orange a indiqué que les entreprises concernées avaient été informées avant la diffusion et qu’elle coopérait avec elles et les autorités compétentes.","methodDisclosure":"undisclosed","attackerClaim":"La presse a associé la publication d’environ 4 Go sur un site de fuites à l’opération d’extorsion WarLock. Orange n’a pas publié d’attribution formelle de l’attaquant, et le volume revendiqué n’est pas un décompte de victimes.","revision":"Le communiqué du 28 juillet n’était exact que comme état des connaissances de l’entreprise à cette date. Un dossier durable doit conserver la révision ultérieure : Orange n’avait d’abord aucun élément d’exfiltration, puis a reconnu qu’un ensemble limité de données d’entreprises plus anciennes ou peu sensibles avait été volé et publié. Le nombre de personnes concernées reste inconnu.","quotes":[{"text":"isoler les services potentiellement concernés et limiter les impacts","original":"isoler les services potentiellement concernés et limiter les impacts","originalLang":"fr","attribution":"Orange, 28 juillet 2025","sourceId":"orange"},{"text":"un accès limité","original":"un accès limité","originalLang":"fr","attribution":"Porte-parole d’Orange, rapporté par 01net","sourceId":"orange01net"},{"text":"des données obsolètes ou de faible sensibilité","original":"des données obsolètes ou de faible sensibilité","originalLang":"fr","attribution":"Porte-parole d’Orange, rapporté par 01net","sourceId":"orange01net"}]}}]}