Rançongiciel sur le logiciel de gestion d'un CFA : quand les dossiers des apprentis mineurs deviennent une bombe

On imagine les rançongiciels frappant des hôpitaux, des collectivités ou de grands groupes. La réalité est plus prosaïque : les attaquants visent les structures mal défendues mais riches en données, et les organismes de formation cochent les deux cases. Un centre qui forme aux métiers de bouche et du pressing n'a, par définition, pas de direction des systèmes d'information : son informatique est souvent montée au fil de l'eau, avec un logiciel de gestion central, quelques postes partagés et des sauvegardes dont personne ne vérifie qu'elles fonctionnent.

Or ce centre détient une concentration de données précieuses :

• L'identité et les coordonnées d'apprentis souvent mineurs, avec celles de leurs représentants légaux.
• Des données de santé : aptitudes médicales, aménagements, parfois certificats liés aux dérogations pour travaux dangereux.
• Les informations des entreprises d'accueil et des maîtres d'apprentissage.
• Des données financières : facturation aux OPCO, conventions, coordonnées bancaires, financements publics.

Pour un attaquant, cette base est doublement monétisable : on peut la chiffrer pour exiger une rançon, et menacer de la divulguer. Le fait qu'elle concerne des mineurs n'est pas un frein moral pour les groupes criminels — c'est au contraire un levier de pression supplémentaire sur l'établissement.

Le matin de l'attaque, le déroulé est presque toujours le même. Le logiciel de gestion ne s'ouvre plus, ou affiche un message de rançon. Les plannings, les émargements, les dossiers apprenants, la facturation : tout est inaccessible. En quelques minutes, un centre découvre à quel point il dépendait d'un point unique de défaillance.

Les conséquences se cumulent vite :

La tentation est alors double : payer la rançon pour « régler » le problème, et tout remettre en route le plus vite possible. Les deux réflexes sont mauvais. Payer ne garantit ni la récupération des données ni l'absence de divulgation, et financer une activité criminelle peut soulever des difficultés juridiques. Quant à redémarrer dans la précipitation, c'est risquer de réinfecter les systèmes et de détruire les traces nécessaires à l'enquête et à la déclaration de sinistre.

Au-delà de la paralysie informatique, une cyberattaque sur un centre de formation est presque toujours une violation de données personnelles au sens du RGPD. Et lorsqu'elle touche des mineurs, le régime est particulièrement exigeant.

Deux obligations principales s'imposent à l'établissement, en tant que responsable de traitement :

1. La notification à la CNIL. Une violation susceptible d'engendrer un risque pour les droits et libertés des personnes doit être notifiée à l'autorité de contrôle, en principe dans les 72 heures après en avoir pris connaissance. Le délai est court, et le compteur tourne dès la détection.
2. L'information des personnes concernées. Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes — ici les apprentis et, pour les mineurs, leurs représentants légaux — doivent être informées, dans des termes clairs, de la nature de la fuite et des mesures à prendre.

Le RGPD considère que les enfants méritent une protection renforcée de leurs données. Une fuite touchant des mineurs est donc évaluée plus sévèrement, tant sur le niveau de risque que sur l'attention attendue de l'établissement. Sous-estimer ce volet, c'est ajouter un risque de sanction à un risque opérationnel déjà lourd.

À cela s'ajoute la gestion des tiers : entreprises d'accueil, OPCO et financeurs voudront savoir si leurs propres données ont fuité, et pourront se retourner contre le centre si leur préjudice est avéré.

Face à ce risque, deux dispositifs se complètent sans se remplacer : l'assurance, qui absorbe le coût de la crise, et la prévention, qui en réduit la probabilité et la gravité.

Une cyber-assurance adaptée à un centre de formation prend généralement en charge :

• L'assistance de crise 24/7 : experts en réponse à incident, juristes, communication, pour ne pas affronter l'attaque seul.
• La restauration des systèmes et des données, et les pertes d'exploitation pendant l'interruption d'activité.
• Les frais de notification à la CNIL et aux personnes concernées, et l'accompagnement réglementaire.
• La responsabilité civile en cas de réclamation de tiers dont les données ont fuité.

Mais l'assurance ne dispense pas des gestes de base, qui restent la vraie première barrière :

1. Des sauvegardes testées et déconnectées du réseau, vérifiées régulièrement — une sauvegarde jamais restaurée est une illusion de sécurité.
2. L'authentification renforcée sur le logiciel de gestion et les accès distants.
3. La mise à jour des postes et logiciels, et la limitation des droits d'accès au strict nécessaire.
4. La sensibilisation des équipes au hameçonnage, principal point d'entrée des attaques.

Pour articuler cette couverture avec le reste de vos risques — locaux, machines, responsabilité, données — partez de notre page assurance centre de formation avec atelier métiers de bouche et pressing.