Service Civique : des contacts d’organismes publics et associatifs publiés après une cyberattaque

Le 2 mai 2026, Service Civique — l’agence publique qui pilote le programme national de service civique en France (service-civique.gouv.fr) — a été visée par une violation de données personnelles, après la mise en ligne sur un forum cybercriminel d’une base de données attribuée à la plateforme par un acteur malveillant utilisant le pseudonyme 0xBAADF00D. L’Agence du Service Civique indique avoir détecté l’incident le 6 mai 2026 et précise qu’il concerne la plateforme de formation en ligne utilisée par les structures accueillant des volontaires en service civique.

La plateforme compromise était exploitée sous contrat par des prestataires de l’agence, et les données exposées portaient sur les contacts et référents des structures d’accueil accréditées plutôt que sur des dossiers complets de volontaires. Selon la notification de l’agence et les médias français, l’accès non autorisé concernait :

• Des données d’état civil (civilité, prénom, nom)
• Des adresses e-mail
• Des adresses postales complètes (pour certains comptes)
• Des numéros de téléphone (pour certains comptes)
• Des informations sur les structures d’accueil, dont la raison sociale et les numéros d’habilitation

Le nombre exact d’enregistrements concernés n’a pas été détaillé publiquement. Des spécialistes ont averti que ces données de contact pourraient servir à mener des campagnes d’hameçonnage particulièrement crédibles visant les organismes publics et associatifs touchés.

L’Agence du Service Civique a confirmé l’incident, engagé des investigations techniques dès sa découverte, notifié les personnes potentiellement concernées, signalé la violation à la CNIL conformément au RGPD et déposé une plainte. L’enquête est toujours en cours.