Incidents dans le secteur :
Une attaque par rançongiciel présumée a mis hors service environ 500 serveurs de l'Université métropolitaine d'Osaka et pourrait avoir exposé les données d'au moins 130 000 personnes.
La DTU, au Danemark, a indiqué que des attaquants avaient volé des identifiants pour pénétrer son système DTUBasen, exposant les numéros CPR et d'autres données de jusqu'à 200 000 usagers.
L'éditeur américain de logiciels K-12 Frontline Education a prévenu des districts scolaires qu'une faille logicielle tierce avait exposé des données d'employés, dont des numéros de sécurité sociale.
La plateforme d'apprentissage des mathématiques en ligne Mathspace a révélé que des attaquants avaient exploité une vulnérabilité de son outil de reporting Metabase auto-hébergé pour télécharger les coordonnées de 1 079 819 élèves, membres du personnel, parents et tuteurs en Australie et en Nouvelle-Zélande.
La ville d'Andover, dans le Massachusetts, et ses écoles publiques ont subi une panne réseau de quatre jours après une cyberattaque en août, et le groupe de rançongiciel WallStreet a ensuite inscrit la ville sur son site de fuite en affirmant détenir des documents et des données municipales.
Le Department for Education britannique a confirmé que des attaquants avaient dérobé environ 607 000 enregistrements dans son portail d'assistance en libre-service et le portail du Turing Scheme, après la revendication du groupe d'extorsion ExfilSquad.
L'université Mount Royal, à Calgary, a confirmé qu'un groupe de rançongiciel se faisant appeler CMD Organization s'était introduit dans son stockage de fichiers partagé, avait exfiltré des données appartenant à des étudiants et employés actuels et anciens, puis avait délibérément effacé les fichiers d'origine pour entraver toute restauration.
Le Threat Intelligence Group de Google a révélé que l'acteur lié à la RPC UNC6508 a passé plus d'un an au sein d'environnements de recherche médicale, universitaire et de santé militaire aux États-Unis et au Canada, compromettant d'anciens serveurs REDCap, déployant le maliciel sur mesure INFINITERED et détournant les règles de conformité de la messagerie Google Workspace pour exfiltrer discrètement des données de recherche et de défense.
L'Université de Nottingham a confirmé un incident informatique après que le groupe d'extorsion ShinyHunters a affirmé avoir volé environ 40 Go de données de son système de dossiers étudiants, exposant quelque 455 000 adresses e-mail ainsi que des noms, numéros de passeport et informations de paiement des frais.
Le groupe d'extorsion FulcrumSec affirme avoir volé environ 4,8 téraoctets de données à la fondation singapourienne Global Schools Foundation après avoir exploité des identifiants de base de données restés inchangés depuis une fuite de 2022, diffusant 33 088 numéros de passeport d'enfants et de parents ainsi qu'environ 9,4 millions de messages internes lorsque les négociations sur la rançon ont échoué.
Le 22 mai 2026, l'organisme de formation professionnelle Move Up Formation (moveup-formation.fr) est apparu sur un forum cybercriminel, où des attaquants affirment avoir dérobé sa base SQL complète, ses fichiers clients, l'intégralité du code source du site et un accès administrateur Stripe.
Transitions Pro Centre-Val de Loire, l'organisme régional qui finance et accompagne les projets de reconversion professionnelle des salariés, a été visé par le groupe de ransomware Prinz Eugen, qui affirme avoir exfiltré et chiffré des centaines de Go de données RH, financières et personnelles et menace de les publier.
Le 14 mai 2026, un acteur malveillant connu sous le nom de ChimeraZ a revendiqué la fuite d'environ 1 600 profils de chercheurs et de personnels du Collège de France, ainsi que de plusieurs centaines de mégaoctets de fichiers internes issus d'une instance Nextcloud.
Le 14 mai 2026, l’acteur ChimeraZ a diffusé des données d’EFC Formation (École Française de Comptabilité), publiant une archive de 1,3 Go concernant environ 49 000 étudiants et mettant en vente un second lot de 41 Go regroupant 60 683 documents administratifs et bancaires.
Le 14 mai 2026, le cybercriminel ChimeraZ a publié environ 11 000 documents (près de 8,6 Mo de fichiers JSON et PDF) attribués à l’UPPCTSC (Union-prof.asso.fr), exposant des conventions de centres de formation, des informations d’établissements, des adresses e-mail professionnelles et des journaux de téléchargement horodatés.
Début mai 2026, le gang de ransomware MedusaLocker a publié l’Académie de Montpellier / CSJM — un réseau scolaire public français autour de Béziers — sur son site de fuite, affirmant avoir exfiltré des documents administratifs et des identifiants, avec une exposition annoncée de 309 personnels et 6 915 comptes utilisateurs.
Le 4 mai 2026, Auto École du Lys — une auto-école de Dammarie-les-Lys — a subi une fuite de données confirmée exposant les fichiers de ses 220 candidats, dont des enregistrements très récents avec des dates d'examen remontant jusqu'en avril 2026.
L'Auto École du Moulin, une auto-école de La Rochelle, a subi une fuite de données révélée le 4 mai 2026 qui a exposé les dossiers personnels de 428 candidats, dont leur historique d'examens du permis de conduire.
Le 4 mai 2026, une fuite de données confirmée chez École de conduite Vincent, une auto-école d'Ancenis-Saint-Géréon (France), a exposé les dossiers d'environ 1 556 candidats, dont noms, dates de naissance, emails, numéros NEPH et historiques détaillés de passage du permis.
Le 4 mai 2026, un acteur sous le pseudonyme Spirigatito affirme publier environ 55 Go attribués à l’École de Psychologues Praticiens (Psycho-Prat), incluant une base d’étudiants, des pièces d’identité, des IBAN et le code source complet du site.
Le 1er mai 2026, un hacker affirme avoir compromis Faco Paris, établissement d'enseignement supérieur privé, et diffusé une archive d'environ 12 Go contenant plus de 11 000 documents sensibles, 27 000 fichiers de code source, pièces d'identité, IBAN et données d'étudiants.
ShinyHunters a exploité le programme de comptes Free-For-Teacher de Canvas pour exfiltrer 3,65 To de données couvrant environ 275 millions d'utilisateurs dans près de 9 000 établissements scolaires — noms, adresses e-mail, identifiants d'étudiants et certains messages privés entre étudiants et enseignants. Instructure aurait payé la rançon et les données auraient été détruites.
Le 29 avril 2026, un acteur malveillant a mis en ligne une base partielle issue de toucan.campusfrance.org, la plateforme de candidature de l'agence publique Campus France, exposant environ 18 000 dossiers d'étudiants étrangers (près de 430 Mo au format JSON) incluant noms, e-mails et formations visées.
Le 27 avril 2026, un groupe se présentant sous le nom LunarisSec a revendiqué le piratage de l'Université de Toulouse et la fuite d'une base de profils académiques—noms, e-mails, téléphones et données de recherche d'enseignants, doctorants et personnels—sans confirmation officielle de l'université.