En 2026, deux incidents ont touché des candidats à l'alternance : le piratage de Parcoursup en Occitanie (705 000 candidats exposés, découvert en mars 2026 et rendu public le 23 avril) et la revendication, le 28 juin 2026, d'une fuite de données de la carte Génération #HDF dans les Hauts-de-France, non confirmée officiellement à ce stade. Si vous êtes apprenti ou en train de chercher un contrat, vos données personnelles circulent déjà sur plusieurs plateformes — mieux vaut savoir quoi faire.
En résumé : en 2026, les données personnelles d'environ 705 000 candidats Parcoursup ont été dérobées, et une fuite visant les détenteurs de la carte Génération #HDF a été revendiquée sans être confirmée. Les apprentis sont une cible tentante car leurs données (statut boursier, contrat, alternance) peuvent servir à des arnaques ciblées (faux recruteurs, fausses aides, phishing). Trois réflexes : vérifier si votre mail est dans une fuite sur haveibeenpwned.com, activer la double authentification partout, et ne jamais transmettre de documents ou de RIB avant la signature officielle d'un contrat d'alternance.
Que s'est-il passé en 2026 ?
Deux incidents ont marqué l'année, et ils concernent directement les candidats à l'alternance.
Le piratage de Parcoursup (avril 2026)
- Volume : environ 705 000 candidats exposés.
- Sessions concernées : Parcoursup 2023 et 2025.
- Cible géographique : candidats ayant formulé des vœux en Occitanie.
- Date de l'intrusion : octobre 2025.
- Date de découverte : mars 2026 — soit 5 à 6 mois plus tard.
- Vecteur : identifiants de connexion légitimes de personnels de la région académique Occitanie, usurpés (aucune faille technique de la plateforme elle-même).
- Notification officielle : 23 avril 2026 par le Ministère de l'Enseignement supérieur et de la Recherche.
Selon le ministère de l'Enseignement supérieur, l'accès frauduleux a été réalisé à l'aide d'identifiants légitimes usurpés ; la CNIL a été notifiée et une plainte a été déposée auprès du parquet de Paris. — Communiqué du ministère de l'Enseignement supérieur, 23 avril 2026
La fuite Génération #HDF (juin 2026)
- Revendication : 28 juin 2026 (publication par un pirate).
- Source : carte Génération #HDF, dispositif de la Région Hauts-de-France pour les lycéens et apprentis.
- Données revendiquées : nom, prénom, date de naissance, adresse, téléphone, email, établissement, statut boursier, identifiant de la carte sans contact.
- Statut : revendication non confirmée officiellement à ce stade, à confirmer auprès de la Région Hauts-de-France.
Quelles données d'apprentis sont les plus à risque ?
Toutes les informations que vous avez transmises pour vos recherches (Parcoursup, CFA, France Travail, régions, OPCO) peuvent fuiter. Les plus exploitées par les escrocs sont :
| Donnée | Risque si elle fuite |
|---|---|
| Statut boursier | Phishing ciblé sur les aides, fausses promesses de prime |
| Adresse mail académique | Usurpation pour contacter des écoles ou de faux recruteurs |
| Numéro de téléphone | Smishing (SMS frauduleux) et tentatives de rappel |
| Date de naissance + adresse | Usurpation d'identité bancaire ou administrative |
| CV en ligne | Détournement pour des offres d'alternance fictives |
| Identifiants ÉduConnect | Accès à d'autres services publics |
⚠️ Une donnée seule est rarement dangereuse. C'est leur croisement qui rend les attaques crédibles : un escroc qui connaît votre nom, votre école et votre statut de boursier peut rédiger un mail très convaincant.
Que devez-vous faire concrètement ?
Étape 1 — Vérifier si vos données ont fuité
Deux outils gratuits et reconnus suffisent pour un premier diagnostic :
- haveibeenpwned.com : saisissez votre adresse mail principale. Si elle apparaît, changez immédiatement les mots de passe des comptes qui l'utilisent.
- cybermalveillance.gouv.fr : diagnostic personnalisé et mise en relation avec un prestataire de proximité si vous êtes victime.
Étape 2 — Activer la double authentification (2FA)
La double authentification est aujourd'hui la meilleure protection contre l'usurpation de compte, même si votre mot de passe fuite. Activez-la en priorité sur :
- Votre messagerie principale (Gmail, Outlook, iCloud) — c'est la clé de voûte de tous vos comptes.
- France Travail, Ameli, CAF, impots.gouv.fr et autres services publics.
- ÉduConnect et tout portail de votre CFA ou université.
- Votre banque en ligne (souvent activée par défaut).
Étape 3 — Adopter les bons réflexes sur vos mots de passe
- Un mot de passe unique par compte important : messagerie, banque, scolarité, Espace Apprenti.
- Au moins 14 caractères mélangeant majuscules, chiffres et symboles — ou mieux, une phrase de passe facile à retenir (« MonCFA-estA-Lyon-depuis-2024! »).
- Un gestionnaire de mots de passe (gratuit) : Bitwarden ou KeePass. Il retient vos mots de passe et vous alerte si l'un d'eux apparaît dans une fuite connue.
- Ne jamais réutiliser le mot de passe de votre messagerie principale ailleurs.
Étape 4 — Reconnaître une arnaque ciblée
Les arnaques liées à l'alternance se sont professionnalisées en 2026. Les signaux d'alerte les plus fréquents :
« Un soi-disant cabinet de recrutement vous contacte sur WhatsApp pour une offre d'alternance très attractive, vous demande vos documents d'identité et un RIB avant tout entretien, et insiste pour signer un "accord de confidentialité" en ligne. »
Les 5 signaux qui doivent vous alerter :
- On vous contacte avant toute candidature sur un canal inhabituel (WhatsApp, Telegram, SMS).
- On vous demande un paiement, un "frais de dossier" ou un dépôt de garantie.
- On vous presse de communiquer RIB, carte d'identité ou permis avant l'entretien.
- L'adresse mail du contact est en @gmail.com, @outlook.com alors que l'entreprise a un site officiel.
- L'offre est trop belle : salaire 30 % au-dessus du marché, télétravail total, embauche immédiate.
Pour les reconnaître et les signaler, consultez notre article complet sur les arnaques aux faux recruteurs en alternance.
Vos recours si vous êtes victime
Si, malgré ces précautions, vous constatez une utilisation frauduleuse de vos données, voici la marche à suivre :
| Étape | Action | Où / comment |
|---|---|---|
| 1 | Conserver les preuves | Mails, SMS, captures d'écran, relevés bancaires contestés |
| 2 | Signaler l'arnaque | Signal Spam (e-mail), 33700 (SMS), Phishing Initiative (site frauduleux) |
| 3 | Déposer plainte | Commissariat, gendarmerie, ou en ligne via la plateforme THESEE pour une escroquerie sur internet |
| 4 | Informer votre banque | Contester au plus vite les opérations non autorisées et faire opposition si nécessaire |
| 5 | Saisir la CNIL | Plainte en ligne sur cnil.fr si un organisme ne respecte pas vos droits sur vos données |
| 6 | Informer votre CFA et France Travail | Pour sécuriser votre dossier de candidature |
Les textes applicables sont l'article 226-4-1 du Code pénal (usurpation d'identité), l'article 313-1 (escroquerie) et l'article 323-1 (accès frauduleux à un système de données). L'incident Parcoursup a déjà donné lieu à une plainte du ministère auprès du parquet de Paris et à une notification à la CNIL.
Données personnelles et alternance : ce que dit la loi
En France, vos données utilisées pour l'alternance sont protégées par deux textes principaux :
- RGPD (Règlement européen 2016/679) : droit d'accès, de rectification et de suppression de vos données.
- Loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978, modifiée en 2018 pour s'articuler avec le RGPD) : son application est contrôlée par la CNIL.
Concrètement, vous pouvez à tout moment demander à votre CFA, à France Travail ou à un OPCO la liste des données qu'ils détiennent sur vous, et exiger leur suppression si elles ne sont plus nécessaires.
Et si vous candidatez à une alternance en ce moment ?
La recherche d'alternance expose mécaniquement vos données à plusieurs acteurs. Pour limiter la surface d'attaque :
- Ne diffusez votre CV qu'à des plateformes vérifiées — commencez par notre page de recherche d'offres en alternance.
- Utilisez une adresse mail dédiée à votre recherche d'alternance, différente de votre messagerie principale.
- N'envoyez jamais vos documents originaux (carte d'identité, RIB, certificat médical) avant la signature officielle de votre contrat d'alternance.
- Vérifiez systématiquement le SIRET de l'entreprise sur annuaire-entreprises.data.gouv.fr avant tout échange.
- Consultez la page des entreprises qui recrutent en alternance pour cibler des recruteurs fiables.
Ce qu'il faut retenir
- Une fuite massive confirmée a touché des candidats à l'alternance en 2026 : Parcoursup (705 000 candidats, sessions 2023 et 2025, Occitanie) ; une autre, visant la carte Génération #HDF (juin 2026), a été revendiquée sans confirmation officielle.
- Les apprentis sont une cible tentante : leur statut de boursier, leur contrat et leur numéro de carte peuvent être exploités pour des arnaques ciblées.
- Trois réflexes immédiats : vérifier vos mails sur haveibeenpwned.com, activer la double authentification partout, et renforcer vos mots de passe avec un gestionnaire.
- Signalez et déposez plainte : Signal Spam ou 33700 pour un message frauduleux, commissariat ou gendarmerie en cas d'usurpation d'identité, THESEE pour une escroquerie en ligne, plainte à la CNIL si vos droits ne sont pas respectés.
- Ne transmettez jamais vos documents officiels ou votre RIB avant la signature effective de votre contrat d'alternance.
Sources : Ministère de l'Enseignement supérieur, de la Recherche et de l'Espace (communiqué du 23 avril 2026), Clubic et Cyberattaque.org (avril et juin 2026), CNIL, cybermalveillance.gouv.fr.