Crous : 770 000 étudiants touchés par une fuite massive

Le 24 mars 2026, le Crous — le réseau français des œuvres universitaires, coordonné au niveau national par le Cnous — a confirmé une cyberattaque ayant exposé les données personnelles de 774 000 étudiants et anciens étudiants. La fuite, découverte le 23 mars 2026, provient de la compromission de mesrdv.etudiant.gouv.fr, la plateforme de prise de rendez-vous avec les services sociaux et de logement des Crous.

L'attaquant a extrait des données de rendez-vous accumulées sur près de dix ans, avant de revendiquer puis de diffuser ces informations en ligne. Le groupe DumpSec a revendiqué l'attaque, affirmant détenir environ 200 Go de données (quelque 1,9 million d'enregistrements de rendez-vous) et a publié un échantillon d'environ 5 000 lignes sur des forums cybercriminels. Ce même groupe a été associé à d'autres fuites récentes visant le secteur éducatif français.

L'ampleur de l'exposition varie selon les personnes :

• 635 000 personnes ont vu fuiter des données d'identité de base — nom, prénom, adresse e-mail — ainsi que les détails de leurs rendez-vous.
• 139 000 personnes ont été plus gravement touchées : les pièces jointes stockées dans leur dossier Crous ont été volées, notamment des documents d'identité tels que des copies de cartes d'identité et de passeports, les exposant à un risque accru d'usurpation d'identité, d'hameçonnage ciblé et de fraude administrative ou financière.

Le Cnous a reconnu publiquement la fuite et confirmé le nombre de victimes. L'incident s'inscrit dans une vague plus large d'attaques visant les établissements éducatifs français révélées à la même période.