Fuite chez Musée des Arts et Métier

Le 18 mars 2026, le Musée des Arts et Métiers — le musée des sciences et des techniques parisien rattaché au Conservatoire national des arts et métiers — a été cité parmi les institutions culturelles dont les données clients ont été exposées à la suite de la compromission du prestataire de billetterie Vivaticket.

L'incident ne résulte pas d'une attaque directe contre le musée. Le 2 mars 2026, Vivaticket — plateforme italienne qui assure la billetterie et la boutique en ligne d'environ 3 500 musées, monuments et sites culturels en Europe — a été frappée par une attaque par rançongiciel revendiquée par le groupe RansomHouse, vraisemblablement via sa filiale française. Les attaquants ont chiffré les systèmes et exfiltré les données personnelles des clients des sites concernés, ce qui en fait une compromission de la chaîne d'approvisionnement et non une faille propre aux systèmes du musée.

Les données exposées pour les clients concernés comprenaient :

• Nom et prénom
• Adresse e-mail
• Informations liées au compte utilisateur (et, pour l'ensemble des données Vivaticket, identifiants de compte et mots de passe)
• Historique des commandes et de la billetterie

Vivaticket a indiqué qu'aucun élément ne prouvait l'accès aux données bancaires ou de carte de paiement, gérées par un prestataire distinct. La fuite a touché un volume estimé à plusieurs millions d'enregistrements tous sites confondus ; aucun chiffre propre au Musée des Arts et Métiers n'a été publié. Au moment de la divulgation, la billetterie en ligne restait perturbée sur de nombreux sites et une enquête du parquet de Paris était en cours, l'incident demeurant en cours de traitement.