Fuite revendiquée chez OSAC (Aviation civile) - Ransomware - voir détail

Le 20 février 2026, OSAC — l'Organisme pour la Sécurité de l'Aviation Civile, l'entité française déléguée à la surveillance de la sécurité aérienne et à la certification de navigabilité — a été visé par le groupe d'extorsion LAPSUS$, qui a annoncé via Telegram avoir compromis l'organisme et exfiltré environ 420 Go de données.

LAPSUS$ est connu pour des intrusions reposant sur l'ingénierie sociale, le vol d'identifiants et la compromission de comptes internes plutôt que sur le chiffrement de fichiers, et ce cas a suivi le même schéma de vol de données suivi d'extorsion. Après la revendication initiale, le groupe a publié en ligne l'intégralité des 420 Go en représailles, rendant les données dérobées librement accessibles plutôt que simplement proposées à la vente.

Selon les déclarations du groupe, les données exposées comprenaient des éléments personnels et professionnels très sensibles :

• Pièces d'identité (cartes nationales d'identité, passeports)
• Diplômes et justificatifs de domicile
• Listes d'utilisateurs et d'adresses e-mail
• Documents internes citant Airbus, Dassault, Thales, Boeing, la FAA américaine et l'Armée française

OSAC a reconnu l'incident, mis son site en maintenance et envoyé aux utilisateurs un courriel rassurant qui minimisait largement l'impact, décrivant les données concernées comme essentiellement des manuels, des procédures et des « données personnelles ». À la date des publications, aucune confirmation indépendante complète du contenu du jeu de données n'avait été émise par OSAC ni par les autorités françaises, et les données divulguées — qui exposent les personnes concernées à des risques d'usurpation d'identité, de fraude documentaire, d'hameçonnage ciblé et d'ingénierie sociale — restaient en circulation.