Avea Vacances victime d’une cyberattaque : 46 000 dossiers de séjours exposés

Le 23 mai 2026, Avea Vacances — association française organisant des colonies de vacances à thème et des séjours éducatifs pour enfants et adolescents, historiquement liée au secteur des activités sociales des postiers — a été désignée sur un forum cybercriminel comme la dernière victime d’une série d’attaques visant le tourisme français, attribuée au cybercriminel ChimeraZ.

L’attaquant a publié un jeu de données d’environ 46 000 enregistrements pour un volume d’environ 128 Mo, issu des plateformes avea-vacances.fr et abv.avea.asso.fr. La fuite était organisée en plusieurs fichiers, notamment un fichier « 20K-documents.json » contenant plus de 20 000 documents liés à l’organisation des séjours, et un fichier « 18K-Postiers-CSE.json » regroupant plus de 18 000 lignes de données sur des agents et structures de La Poste. Le vecteur exact d’intrusion n’a pas été divulgué.

Les données exposées comprendraient :

• Noms, dates de naissance et identifiants internes d’agents de La Poste, et affectations organisationnelles
• Factures de location de véhicules et références de contrats
• Documents internes de comptabilité, de budget et de logistique
• Informations de paiement et périodes de réservation/séjour
• Références à des documents PDF liés à la gestion des séjours

À la date de la divulgation, Avea Vacances n’avait pas confirmé publiquement l’incident, et les circonstances exactes de la compromission ainsi que l’authenticité complète des données restaient à vérifier. La combinaison de noms, de dates de naissance et de données de facturation/paiement accroît le risque d’hameçonnage ciblé, de fraude à la facture et de manipulations par ingénierie sociale visant les personnes concernées.