Un ado, 41 500 victimes : l’école vaudoise mise à nu

Un adolescent de 16 ans aurait suffi à faire vaciller la protection des données scolaires vaudoises. Interpellé le 31 octobre, puis relâché après audition, il est soupçonné d’avoir pénétré, entre le 23 et le 26 octobre, dans la plateforme de support informatique des gymnases et écoles professionnelles. Bilan : les noms, prénoms et adresses électroniques de 38 000 élèves et 3 500 enseignants dérobés. Le Tribunal des mineurs enquête, notamment sur une éventuelle transmission à des tiers.

Le canton assure que la plateforme ne contenait ni mots de passe ni données scolaires. Un message faussement rassurant : elle hébergeait en revanche des demandes d’assistance informatique, elles aussi copiées. De quoi nourrir des courriels frauduleux convaincants : le pirate connaît les noms, les établissements et potentiellement les problèmes informatiques de ses cibles. Une fuite « limitée » ? Pas pour ceux qui recevront le prochain faux message du support.

Le précédent de la fuite de données de l’Ifage à Genève avait déjà montré la vulnérabilité des organismes de formation. Et le piratage d’un prestataire lié à la caisse de pension Publica a rappelé qu’un système périphérique peut exposer des informations autrement protégées. Même scénario de fond : la sécurité de l’institution vaut aussi celle de ses sous-traitants et outils annexes.

En 2025, l’Office fédéral de la cybersécurité a recensé 64 733 signalements volontaires d’incidents de toute nature, dont les piratages. Dans le canton de Vaud, une question reste entière : comment une plateforme publique a-t-elle pu livrer les données de 41 500 personnes ? L’âge du suspect ne donne qu’un indice sur la qualité des défenses informatiques de nos institutions scolaires.