Epitech Paris, l’une des principales écoles françaises d’informatique, est visée par une fuite de données revendiquée le vendredi 30 octobre 2026. Un hacker utilisant le pseudonyme tuturbinete annonce avoir diffusé un fichier contenant les informations personnelles de 351 étudiants des promotions 2028 à 2031. Les données comprennent notamment des noms, adresses email, numéros de téléphone, dates de naissance, adresses postales et identifiants Discord.
Les informations présentées concernent exclusivement le campus parisien et ne représenteraient qu’une partie de ses étudiants. Aucun mot de passe ne figure parmi les données annoncées.
Fondée en 1999 et membre du groupe IONIS, Epitech est une école supérieure spécialisée dans l’informatique, le développement logiciel, l’intelligence artificielle et la cybersécurité. Elle possède 15 campus en France. Son principal campus parisien est implanté au Kremlin-Bicêtre, dans le Val-de-Marne, à proximité de la porte d’Italie.
351 étudiants des promotions 2028 à 2031 dans le fichier
Le 30 octobre 2026 à 19 h 33, le hacker tuturbinete publie une revendication accompagnée d’un extrait de données présenté comme provenant d’Epitech Paris.
L’auteur annonce 351 identifiants d’étudiants, répartis entre quatre promotions : 2028, 2029, 2030 et 2031. Il précise que son fichier constitue une extraction partielle et ne contient pas l’ensemble des étudiants du campus.
Les informations seraient organisées dans un fichier CSV comportant 13 colonnes, correspondant aux données d’identité, de scolarité et de contact des étudiants.
La publication porte la mention « July 2026 », suggérant un lien avec le mois de juillet. Cette indication ne permet cependant pas de dater précisément une éventuelle extraction. La diffusion des informations est, elle, revendiquée le 30 octobre.
Noms, dates de naissance, adresses et comptes Discord exposés
Les exemples publiés montrent des fiches individuelles particulièrement détaillées. Chaque enregistrement peut comporter les informations suivantes :
- Le nom et le prénom de l’étudiant ;
- L’identifiant de connexion Epitech, prenant la forme d’une adresse institutionnelle ;
- L’adresse email personnelle, notamment auprès de fournisseurs de messagerie grand public ;
- Le numéro de téléphone ;
- La date de naissance ;
- L’adresse postale, la ville et le code postal ;
- Le campus et l’année de promotion ;
- L’identifiant numérique et le pseudonyme Discord.
L’extrait consulté par Cyberattaque.org présente plusieurs fiches d’étudiants associant leur identité civile, une adresse de connexion en @epitech.eu, une messagerie personnelle et des informations de contact.
Certaines données sont manquantes ou partiellement masquées. Le hacker annonce notamment 292 identifiants Discord renseignés et seulement 125 adresses postales complètes.
Il évoque également 218 numéros de téléphone, tout en précisant que 126 seraient partiellement masqués. Cette présentation ne permet pas de considérer les 218 numéros comme intégralement exploitables.
Les chiffres détaillés proviennent de la revendication de l’auteur. L’extrait publié permet de constater la présence des différentes catégories de données, mais pas de vérifier indépendamment l’intégralité des 351 fiches.
Discord : un risque supplémentaire d’usurpation d’identité
La présence des identifiants Discord constitue une particularité importante de cette fuite. Cette plateforme de communication est très utilisée dans les communautés de développeurs, les groupes étudiants et les projets informatiques.
L’association d’un identifiant Discord à un nom, une adresse email personnelle et une promotion permettrait à un cybercriminel de cibler un étudiant sur plusieurs canaux.
Un attaquant pourrait notamment se faire passer pour un camarade de promotion, un intervenant ou un membre de l’administration afin d’envoyer un faux lien de connexion, un document piégé ou une demande de vérification de compte.
Les informations sur les promotions rendent également possibles des messages ciblés évoquant des projets informatiques, des stages, des examens ou des démarches administratives.
Comment les informations des étudiants ont-elles pu être récupérées ?
La structure du fichier évoque une extraction depuis un annuaire ou un outil permettant de centraliser les informations des étudiants.
La coexistence d’identifiants institutionnels, de coordonnées personnelles, de promotions et de comptes Discord pourrait correspondre à une base utilisée pour faciliter la communication ou l’organisation des étudiants.
Une telle liste pourrait être récupérée à la suite de la compromission d’un compte autorisé à consulter ces informations, de l’exposition d’un fichier partagé ou d’une vulnérabilité dans une application.
Le hacker ne fournit toutefois aucune explication technique démontrant une intrusion dans les systèmes informatiques d’Epitech. L’existence du fichier revendiqué ne suffit donc pas à conclure que l’infrastructure de l’école a été piratée.
Des étudiants exposés aux tentatives de phishing et de harcèlement
Si les informations diffusées sont authentiques, les personnes concernées pourraient faire l’objet de tentatives d’hameçonnage particulièrement personnalisées.
La connaissance du nom, de la promotion, de l’adresse institutionnelle et du compte Discord d’un étudiant pourrait permettre la création de faux messages provenant prétendument de l’école ou d’autres étudiants.
Les adresses postales et dates de naissance ajoutent un risque d’atteinte à la vie privée, de harcèlement ou d’utilisation abusive des informations personnelles.
En revanche, aucun mot de passe ni jeton de session n’est annoncé dans le fichier. Les informations présentées ne démontrent donc pas que les comptes informatiques des étudiants puissent être directement ouverts par un tiers.
Une fuite attribuée à Epitech Paris, sans confirmation officielle
Au 31 octobre 2026, aucune communication publique d’Epitech confirmant cette fuite n’a été identifiée. Le nombre de personnes réellement concernées, l’origine des informations et la méthode utilisée pour les récupérer restent à établir.
La revendication concerne un fichier partiel attribué aux promotions 2028 à 2031 du campus parisien. Elle ne permet pas de conclure à une compromission des autres campus de l’école.
Le principal enjeu concerne la combinaison des informations étudiantes et des identifiants Discord. Même en l’absence de mots de passe, leur divulgation pourrait faciliter des tentatives de fraude et d’usurpation d’identité ciblant directement les étudiants concernés.
Source originale : Cyberattaque.org.
