14 753 personnes touchées par une fuite revendiquée chez EPITA

Le 15 février 2026, EPITA — école d'ingénieurs privée française spécialisée en informatique et cybersécurité, membre du groupe Ionis Education Group — a été citée dans une publication sur le forum cybercriminel BreachForums proposant à la vente une base de données prétendument dérobée à l'établissement. Le groupe Lapsus$ a revendiqué ces données, mises en vente pour environ 100 dollars.

La revendication porte sur 14 753 personnes, présentées comme des étudiants et membres du personnel, actuels et anciens. Selon l'annonce et les analystes qui l'ont examinée, les données seraient compatibles avec une collecte massive de profils académiques (scraping) plutôt qu'avec une intrusion système confirmée ; la méthode de compromission précise n'a pas été divulguée. Cette fuite fait suite à un incident similaire survenu en janvier 2026 visant Epitech, une autre école du groupe Ionis Education Group.

Les catégories de données décrites dans la revendication comprennent :

• Noms complets et pseudonymes
• Adresses e-mail (personnelles et comptes @epita.fr)
• Années de diplôme
• Photos de profil
• Métadonnées de spécialisation (ex. cybersécurité, IA)

L'exposition concerne principalement des données d'identité et de contact, et non des données financières ou des identifiants d'authentification. Toutefois, les chercheurs en sécurité ont averti que la combinaison des noms, des années de diplôme et des spécialisations constitue une liste de cibles de grande qualité pour des campagnes de hameçonnage ciblé (spear-phishing) et d'ingénierie sociale. Au moment de la publication, le jeu de données était activement proposé à la vente et ces chiffres restaient une revendication du vendeur, non confirmée publiquement par EPITA.