Une importante base de données attribuée à ARTE a été diffusée par le hacker Chimera le 11 novembre 2026. Le cybercriminel annonce plus de 673 000 enregistrements provenant de plusieurs services liés à la chaîne franco-allemande. Mais l’analyse menée par Cyberattaque.org révèle un périmètre particulièrement sensible : des centaines de milliers d’adresses email, des comptes d’enseignants et d’élèves de la plateforme Educ’ARTE, des établissements scolaires et près de 58 000 jetons de confirmation.
ARTE est une chaîne de télévision publique franco-allemande créée en 1990 et diffusée depuis 1992. Basée à Strasbourg, elle propose des documentaires, des films, des séries et des programmes culturels sur sa chaîne et sa plateforme arte.tv. Elle développe également Educ’ARTE, un service pédagogique destiné aux enseignants et aux élèves, permettant d’utiliser ses contenus dans les établissements scolaires.
Chimera revendique 673 760 fiches, notre analyse en retrouve 643 760
Le 11 novembre 2026 à 19 h 46, le hacker Chimera, également connu sous le pseudonyme ChimeraZ, annonce la diffusion d’une base de données attribuée au domaine arte.tv.
Le pirate revendique 673 760 enregistrements, 604 083 adresses email, 170 958 noms d’utilisateur et 10 521 numéros de téléphone, pour un volume d’environ 175 Mo.
Cyberattaque.org s’est procuré l’archive diffusée et a procédé à son analyse intégrale. Le fichier JSONL décompressé représente environ 184,5 millions d’octets et contient 643 760 enregistrements valides.
Notre analyse permet de confirmer les volumes suivants :
- 643 760 fiches, contre 673 760 revendiquées ;
- 524 249 adresses email distinctes, contre 604 083 annoncées ;
- 10 521 numéros de téléphone distincts ;
- 12 271 noms d’organisations distincts ;
- 3 895 établissements scolaires distincts ;
- 57 962 jetons de confirmation renseignés ;
- Plus de 170 000 enregistrements associés à des comptes Educ’ARTE.
Les écarts avec la revendication sont significatifs. Le fichier contient 30 000 lignes de moins qu’annoncé et près de 80 000 adresses email de moins. En revanche, le nombre de téléphones distincts correspond exactement au chiffre communiqué par Chimera.
Les 643 760 fiches ne correspondent pas nécessairement à autant de personnes distinctes. Certaines informations proviennent de plusieurs services, tandis que 119 511 enregistrements ne comportent pas d’adresse email renseignée.
Educ’ARTE : les données de milliers d’enseignants et d’élèves apparaissent dans la fuite
L’une des principales découvertes concerne Educ’ARTE, la plateforme éducative de la chaîne. Ce service permet aux établissements scolaires d’accéder à des ressources pédagogiques et de créer des comptes pour les enseignants et les élèves.
L’archive contient 170 217 enregistrements provenant d’une source identifiée comme « educarte_user », auxquels s’ajoutent des informations issues d’un répertoire de contacts Educ’ARTE.
Les profils analysés présentent notamment les catégories de rôles suivantes :
- 82 689 occurrences du rôle enseignant ;
- 68 809 occurrences du rôle étudiant ;
- 17 825 occurrences du rôle élève ;
- Des profils de professeurs documentalistes ;
- Des comptes associés à l’administration d’établissements ;
- Des comptes disposant de rôles d’administration de la plateforme.
Ces chiffres correspondent aux rôles présents dans les enregistrements. Certains profils pouvant cumuler plusieurs rôles, ils ne permettent pas de calculer directement le nombre de personnes concernées.
La présence de comptes d’élèves soulève notamment la question de l’exposition de données de mineurs. Les informations disponibles ne permettent cependant pas de déterminer précisément l’âge des titulaires de ces comptes.
Les fiches comprennent des noms, des prénoms lorsqu’ils sont renseignés, des identifiants, des établissements de rattachement, des rôles et parfois les dates des dernières connexions.
Près de 4 000 établissements scolaires identifiables
L’analyse a permis d’identifier 3 895 noms distincts d’établissements scolaires dans les enregistrements. Les données concernent notamment des lycées, des collèges et d’autres structures éducatives.
Plus de 15 000 enregistrements sont également associés à des domaines de messagerie caractéristiques de l’enseignement, notamment ceux de différentes académies françaises et d’établissements universitaires.
Un autre élément apparaît dans les identifiants : 8 732 fiches comportent un nom d’utilisateur commençant par « GAR_PROD ».
Ce préfixe est cohérent avec l’utilisation du Gestionnaire d’accès aux ressources (GAR), un dispositif national permettant aux élèves et enseignants d’accéder à des ressources numériques depuis leur environnement numérique de travail.
Educ’ARTE indique officiellement utiliser ce mécanisme d’accès pour certains établissements. La présence de ces identifiants est donc cohérente avec le fonctionnement connu de son service pédagogique.
Elle ne démontre toutefois pas que l’infrastructure du GAR ou les systèmes du ministère de l’Éducation nationale ont été compromis. Les identifiants peuvent être présents dans les bases de ressources auxquelles les utilisateurs accèdent.
57 962 jetons de confirmation : un élément de sécurité particulièrement sensible
La présence de jetons de confirmation constitue l’une des découvertes les plus préoccupantes de l’analyse.
Cyberattaque.org a identifié 57 962 enregistrements comportant un champ « confirmationToken » renseigné. Ces valeurs sont associées à des fiches de la plateforme Educ’ARTE.
Deux formats apparaissent principalement dans les données :
- 52 521 jetons composés de 15 caractères ;
- 5 441 jetons composés de 48 caractères.
Dans une application web, ce type de valeur peut notamment servir à confirmer une inscription, valider une adresse email ou finaliser certaines opérations liées à un compte.
Leur présence dans une base diffusée constitue donc un point de vigilance important. Si certains jetons sont toujours valides et acceptés par l’application, ils pourraient potentiellement permettre des opérations non autorisées.
Aucune exploitation de ces jetons n’a cependant été vérifiée. Leur durée de validité, leur usage exact et les éventuelles protections complémentaires restent inconnus. Il serait donc incorrect d’affirmer qu’ils permettent actuellement de prendre le contrôle des comptes.
Les fichiers contiennent également des références à des profils administrateurs, dont des comptes possédant des rôles de gestion d’établissements ou de la plateforme. Aucun mot de passe en clair ni aucune empreinte de mot de passe n’a été identifié dans la structure du fichier examiné.
447 659 contacts Brevo : une autre partie majeure de la fuite
L’essentiel des données ne provient pas directement des comptes Educ’ARTE, mais d’une autre source identifiée comme Brevo.
Notre analyse a identifié 447 659 enregistrements associés à Brevo, une plateforme française spécialisée dans l’emailing, les newsletters et la gestion de la relation client.
Ces données comprennent notamment :
- Adresses email des contacts ;
- Identifiants internes Brevo ;
- Dates de création et de modification des fiches ;
- Références des listes de diffusion ;
- Informations relatives à l’inscription ou à l’exclusion des listes de communication.
Les fichiers contiennent des références à 33 listes Brevo distinctes. Parmi les contacts recensés, 28 448 sont marqués comme exclus des communications dans le champ correspondant.
Cette présence est particulièrement intéressante, car Educ’ARTE indique officiellement dans sa politique de confidentialité utiliser Brevo pour l’envoi de ses newsletters aux enseignants.
Les autres sources identifiées dans l’archive comprennent notamment des références à Mandrill, un service d’envoi d’emails transactionnels, ainsi que des métadonnées liées à des comptes et à des opérations techniques.
Les enregistrements liés à Mandrill comprennent 8 240 fiches avec des informations sur des envois et leurs objets. Cela ne démontre pas que le contenu intégral des courriers électroniques a été compromis.
Brevo avait déjà subi une cyberattaque en septembre 2026
Un précédent incident mérite d’être rappelé dans cette enquête.
Le 10 septembre 2026, Brevo avait officiellement reconnu une cyberattaque exploitant une faiblesse dans son système d’authentification SAML SSO.
Cette vulnérabilité avait permis à un attaquant d’accéder à 138 comptes clients. Parmi eux, 43 avaient subi une extraction de contacts et six avaient été utilisés pour envoyer des messages frauduleux.
La présence d’un important ensemble de données Brevo dans la fuite attribuée à ARTE soulève naturellement la question d’un éventuel rapprochement.
Aucun élément ne permet toutefois d’établir que les informations aujourd’hui diffusées proviennent de cette cyberattaque de septembre. Rien ne démontre non plus qu’un compte Brevo lié à ARTE figurait parmi les comptes compromis à cette époque.
Un détail renforce cette prudence : les fichiers analysés contiennent des fiches Brevo dont les dates de modification vont jusqu’au 7 novembre 2026, soit près de deux mois après le précédent incident.
Si ces horodatages reflètent effectivement l’état des données au moment de leur récupération, une simple copie issue de septembre ne suffirait pas à expliquer leur présence. La provenance exacte des fichiers reste donc à déterminer.
Des données récentes, mais aucune date d’intrusion établie
L’analyse chronologique révèle que les informations diffusées ne se limitent pas à d’anciens comptes.
Parmi les données Educ’ARTE, 144 496 fiches comportent une date de dernière connexion. Les plus récentes remontent au 7 novembre 2026.
Plusieurs centaines d’enregistrements indiquent également des connexions pendant les premiers jours de novembre.
Les informations Brevo présentent elles aussi des modifications datées jusqu’au 7 novembre, tandis que de nombreuses fiches portent des dates de création antérieures.
Ces éléments sont cohérents avec un ensemble de données relativement récent. Ils ne permettent cependant pas de dater l’intrusion ni d’affirmer que les systèmes d’ARTE étaient encore accessibles à l’attaquant au moment de la publication.
Une extraction structurée de plusieurs environnements informatiques
Les fichiers présentent une particularité technique importante : les données sont regroupées autour des adresses email, avec des informations issues de plusieurs sources associées à certains enregistrements.
Cette organisation suggère un travail de rapprochement ou de consolidation de données plutôt qu’une simple exportation brute d’une unique table informatique.
Les principales catégories identifiées concernent les comptes Educ’ARTE, les contacts, les listes Brevo et les traces d’envois d’emails.
Cette structure ne permet pas de conclure que l’ensemble des systèmes d’ARTE a été piraté. Les informations pourraient provenir de plusieurs exports, d’un environnement centralisé, d’un prestataire ou de fichiers récupérés à différentes périodes.
En particulier, aucun élément de l’analyse ne démontre une compromission directe de la plateforme de streaming arte.tv, même si le pirate utilise ce domaine dans sa revendication.
L’origine exacte des données et la méthode de récupération restent inconnues. Aucune vulnérabilité informatique spécifique n’a été documentée publiquement pour cette affaire.
Des risques de phishing ciblant les enseignants et les établissements
La combinaison d’identités, d’adresses email professionnelles, de rôles pédagogiques et de noms d’établissements pourrait permettre des campagnes d’hameçonnage particulièrement crédibles.
Des cybercriminels pourraient notamment se faire passer pour Educ’ARTE, un établissement scolaire ou un service numérique de l’Éducation nationale pour demander une vérification de compte ou envoyer de fausses invitations à accéder à des ressources pédagogiques.
Les contacts issus des listes de diffusion pourraient également être ciblés par de faux messages liés aux programmes ARTE ou à des inscriptions à des newsletters.
Pour les élèves, le risque concerne notamment l’association éventuelle d’une identité numérique à un établissement et à un profil scolaire. Une telle combinaison peut faciliter certaines tentatives d’usurpation ou de manipulation.
Les jetons de confirmation constituent un autre sujet de préoccupation, même si leur exploitation effective n’est pas établie.
Aucune utilisation frauduleuse des données attribuées à ARTE n’a été confirmée à ce stade.
Une fuite massive documentée, mais aucune confirmation officielle d’ARTE
Au 12 novembre 2026, aucune communication publique d’ARTE confirmant une intrusion correspondant à cette revendication n’a été identifiée. La chaîne n’a pas précisé si ses systèmes ou ceux de ses prestataires ont subi un accès non autorisé.
L’analyse menée par Cyberattaque.org permet néanmoins de confirmer l’existence de 643 760 enregistrements structurés, comprenant 524 249 adresses email distinctes, des informations scolaires et 57 962 jetons de confirmation.
La nature des données Educ’ARTE, les rôles des utilisateurs, les identifiants liés au GAR et les informations Brevo sont cohérents avec le fonctionnement public des services associés à ARTE. Leur présence ne suffit toutefois pas à établir la méthode ou l’origine de la compromission.
Cette affaire dépasse ainsi la simple fuite d’une liste de téléspectateurs. Les fichiers analysés concernent également un environnement pédagogique utilisé par des établissements scolaires, avec des informations sur des enseignants, des élèves et des comptes techniques.
Les principales questions restent désormais de déterminer comment ces données ont été récupérées, si les jetons présents dans les fichiers sont encore utilisables et quelles mesures de protection ont été prises pour les personnes concernées.
Source originale : Cyberattaque.org.
