Fuite Nomad Education : 4,85 millions de comptes d'élèves en vente

Depuis le 16 octobre 2026, un pirate met en vente une base attribuée à Nomad Education, l'application de révision utilisée par des collégiens, lycéens et étudiants : 4 852 437 lignes avec noms, e-mails, identifiants et, souvent, dates de naissance. L'éditeur n'a rien confirmé. Si vous ou votre enfant avez un compte, considérez-vous comme potentiellement concerné.

Ce qui distingue cet incident, c'est le profil des titulaires. Dans l'échantillon examiné par la presse spécialisée, plus d'un tiers des comptes dont la date de naissance est renseignée appartiennent à des mineurs, le plus jeune ayant 6 ans. Or un adolescent de 14 ans repère moins bien qu'un adulte un e-mail qui l'appelle par son prénom et lui parle de « ses révisions du brevet ». Le danger immédiat n'est pas un vol d'argent, mais un hameçonnage très bien ciblé, qui peut ensuite viser les parents.

Ce que l'on sait, et ce qui n'est pas établi

L'annonce a été publiée le 16 octobre 2026 par un vendeur se présentant sous le pseudonyme « Angel_Batista ». Il revendique une base de 4 852 437 lignes issue de Nomad Education, éditeur parisien d'une application de révision gratuite qui couvre du primaire à l'enseignement supérieur. Selon Fuites Infos, le fichier contiendrait le nom complet, l'adresse e-mail, l'identifiant de connexion et, pour une partie des comptes, la date de naissance. Les jetons de connexion les plus récents de l'échantillon dateraient de début octobre 2026, ce qui suggère des données actuelles et non une vieille archive.

Le même vendeur a mis en vente, quelques minutes plus tard, un fichier d'élèves attribué à un autre service scolaire, Inter-Etab. Ces annonces font partie d'une vague d'une vingtaine de revendications visant des organisations françaises autour du 17 octobre, relevée notamment par le Journal du Net. À la date de publication, ni Nomad Education ni Inter-Etab n'ont confirmé de fuite ni expliqué comment les fichiers auraient été obtenus.

Ce que révèle l'échantillon

Plusieurs sites spécialisés ont obtenu un extrait de 1 001 comptes. D'après la synthèse publiée par Clubic le 18 octobre :

• 869 comptes sur 1 001 portent une date de naissance ; parmi eux, 323 titulaires étaient mineurs au 17 octobre, dont 16 de moins de 13 ans.
• 254 comptes contiennent un jeton de connexion, et 138 de ces jetons ont une date d'expiration postérieure au 17 octobre, parfois en 2027.
• Les lignes examinées ne comportent ni mot de passe ni coordonnée bancaire.

Deux précautions de lecture. D'abord, une ligne n'est pas une personne : avec les 500 000 adresses factices que le vendeur reconnaît lui-même, le nombre d'élèves réellement touchés serait inférieur à 4,85 millions, mais se compterait encore en millions si le fichier est authentique. Ensuite, la proportion de mineurs mesurée sur 1 001 comptes ne peut pas être extrapolée telle quelle à toute la base.

Le jeton de connexion, en clair

Un jeton de connexion (« login token ») est la clé technique qui vous évite de retaper votre mot de passe à chaque ouverture de l'application. Imaginez le bracelet qu'on vous remet à l'entrée d'un festival : tant qu'il est valide, personne ne vous redemande votre billet. Une date d'expiration future ne prouve pas que ces bracelets fonctionnent encore, car le serveur peut les avoir annulés. Seul l'éditeur peut le vérifier, et c'est pourquoi la déconnexion et le changement de mot de passe restent utiles.

Votre enfant ou vous-même êtes-vous concerné ?

Il n'existe aucun outil officiel de vérification. La règle de prudence est simple : toute personne qui a créé un compte Nomad Education, directement ou via « Continuer avec Google » ou « Se connecter avec Apple », doit se considérer comme potentiellement concernée. Les comptes anciens ne sont pas épargnés, puisque rien n'indique une limite de date.

Si un élève s'est inscrit avec l'adresse e-mail d'un parent, c'est cette adresse qui figure dans le fichier, à côté du prénom et de la date de naissance de l'enfant. Le parent peut alors être visé par un message du type « votre enfant a une inscription en attente ». Si Nomad Education confirme un jour l'incident, l'éditeur devra informer les personnes lorsque le risque est élevé. Méfiez-vous en attendant de tout e-mail se présentant comme cette notification et contenant un lien de connexion.

À quoi pourrait ressembler un faux message « Nomad » ?

Voici un exemple fictif, construit uniquement avec les champs que le vendeur dit détenir. Montrez-le à votre enfant : c'est le moyen le plus rapide de lui apprendre à reconnaître ce type de piège.

• Le prénom et la date de naissance sont exacts. Ils sortent du fichier : ils prouvent seulement que l'expéditeur a acheté la base, pas qu'il est l'éditeur.
• La menace de perdre son travail. Pour un élève à quelques mois d'un examen, perdre ses fiches est une vraie peur. L'urgence sert à empêcher qu'il en parle à quelqu'un.
• « Confirmer ton compte Google ». La page derrière le lien imite l'écran de connexion de Google pour récupérer le mot de passe du compte principal de l'élève, celui qui ouvre aussi sa messagerie et ses photos.
• Le petit paiement « de vérification ». Le montant est symbolique ; l'objectif est d'obtenir la carte bancaire du parent, puis de l'utiliser ou de déclencher un faux appel du « service fraude » de la banque.

Le scénario peut aussi passer par les parents, avec un faux message d'un proche ou de l'établissement. Notre article sur l'hameçonnage qui usurpe l'identité de vos proches détaille ces mécanismes et la parade du mot de code familial.

Les fraudeurs ne s'arrêtent pas à un seul fichier : ils rapprochent l'e-mail d'un parent de son téléphone et de son adresse postale glanés ailleurs, notamment chez les courtiers de données. Faire retirer vos coordonnées de plus de 100 bases de courtiers rend ces recoupements nettement plus difficiles, sans toucher au fichier déjà volé.

Donnée exposée, risque concret, parade

Le plan d'action pour les élèves et leurs parents

Ces mesures reprennent les recommandations de la fiche réflexe de Cybermalveillance.gouv.fr sur les fuites de données personnelles, adaptées au cas d'un compte d'élève. Elles valent que la fuite soit confirmée ou non : aucune n'a d'inconvénient.

Aujourd'hui

• 1. Parlez-en à votre enfant, exemple à l'appui. Montrez-lui le faux message ci-dessus et fixez une règle : un message qui parle de son compte, d'un cadeau ou d'un paiement, il vous le montre avant de cliquer.
• 2. Changez le mot de passe du compte Nomad Education et de tout autre service où le même mot de passe est utilisé. Commencez par la messagerie de l'élève, qui permet de réinitialiser tout le reste.
• 3. Déconnectez l'application de chaque appareil (téléphone, tablette, ordinateur partagé), puis reconnectez-vous avec le nouveau mot de passe.

Cette semaine

• 4. Sécurisez le compte Google ou Apple de l'élève. Activez la validation en deux étapes, puis consultez la liste des applications qui utilisent « Se connecter avec Google » ou « Se connecter avec Apple » et retirez celles qui ne servent plus. Notre guide pour créer un mot de passe sécurisé propose une méthode qu'un adolescent peut retenir.
• 5. Vérifiez les abonnements et achats intégrés. Dans le magasin d'applications du téléphone, contrôlez qu'aucun abonnement inconnu n'a été souscrit et exigez une validation parentale pour les achats.
• 6. Signalez les messages suspects sur signal-spam.fr pour les e-mails, ou au 33700 pour les SMS, et supprimez-les ensuite.

Dans les mois qui viennent

• 7. Faites le tri dans les comptes de l'élève. Un compte d'application qui ne sert plus est une fuite en attente. Pour Nomad Education comme pour les autres, vous pouvez demander l'effacement : la CNIL rappelle que des données collectées lorsque la personne était mineure constituent un motif de demande, avec une réponse attendue en principe sous un mois.
• 8. Restez attentif après la fin de l'actualité. Les fichiers vendus sont souvent republiés gratuitement des mois plus tard, avant les examens par exemple. La règle « on montre le message à un adulte » doit tenir dans la durée.
• 9. Si un compte est détourné, suivez notre guide compte piraté : que faire pour le récupérer et le sécuriser. En cas de débit frauduleux, faites opposition auprès de votre banque et conservez toutes les preuves.

Modèle : message à envoyer à votre adolescent

Pour savoir si l'adresse de votre enfant, ou la vôtre, figure déjà dans d'autres fuites connues, lancez une vérification gratuite de l'adresse e-mail. Notre article fuite de données : comment savoir si votre e-mail est concerné explique comment interpréter le résultat.

Pourquoi rester vigilant au-delà de cette semaine

Une base comme celle-ci ne disparaît pas après sa première vente. Elle est revendue, découpée, fusionnée avec d'autres fichiers, puis parfois diffusée gratuitement des mois plus tard : c'est souvent à ce moment, longtemps après les articles de presse, que les messages frauduleux reprennent. Une vérification gratuite vous donne une photographie à un instant donné ; la surveillance continue, elle, vous avertit le jour où une adresse de la famille apparaît dans une nouvelle fuite.

Côté recours, si l'incident est confirmé, l'éditeur responsable du traitement devra le documenter, le notifier à la CNIL et informer les personnes concernées lorsque le risque est élevé. Vous pouvez dès maintenant exercer votre droit d'accès (article 15 du RGPD) pour savoir quelles données le service conserve sur votre enfant, ainsi que votre droit à l'effacement (article 17). Une réparation au titre de l'article 82 du RGPD pourrait être envisagée si une faute et un préjudice étaient établis, mais rien n'est automatique et cela relève d'un juge. À ce jour, nous n'avons connaissance d'aucune action collective liée à cet incident ; si une telle action voyait le jour, les abonnés EffaceData concernés en seraient informés et resteraient entièrement libres de s'y joindre. Ceci n'est pas un conseil juridique.

Questions fréquentes

La fuite Nomad Education est-elle confirmée ?

Non, pas à la date du 20 octobre 2026. Nomad Education n'a publié aucune confirmation. En revanche, plusieurs sites spécialisés ont examiné un échantillon d'environ 1 000 comptes fourni par le vendeur et y ont retrouvé des données cohérentes avec de vrais comptes de la plateforme. La fuite est donc revendiquée et jugée crédible, mais son ampleur réelle reste inconnue.

Les mots de passe des élèves ont-ils fuité ?

Les échantillons analysés ne contiennent ni mot de passe en clair ni mot de passe chiffré, ni coordonnées bancaires. Ils contiennent en revanche, pour une partie des comptes, des jetons de connexion, c'est-à-dire des clés techniques qui maintiennent une session ouverte. Par précaution, changez le mot de passe du compte et de tout autre service où il est réutilisé.

Mon enfant se connecte à Nomad Education avec Google ou Apple, que faire ?

Les échantillons contiennent des identifiants liés à des comptes Google ou Apple, mais pas les mots de passe de ces comptes. Vérifiez dans les paramètres de sécurité du compte Google, ou dans les réglages « Se connecter avec Apple » de l'iPhone, quelles applications y ont accès, retirez celles qui ne servent plus et activez la validation en deux étapes du compte Google ou Apple.

Peut-on demander la suppression du compte de son enfant ?

Oui. Le RGPD prévoit un droit à l'effacement, et la CNIL rappelle que des données collectées lorsque la personne était mineure constituent un motif de demande. L'organisme dispose en principe d'un mois pour répondre. Supprimer le compte n'efface pas les copies déjà volées, mais limite ce qui pourrait fuiter à l'avenir. Ceci n'est pas un conseil juridique.

Quels messages frauduleux faut-il craindre ?

Surtout des e-mails ou SMS qui citent le prénom de l'élève et sa date de naissance pour paraître légitimes : faux abonnement premium à régler, fausse réinitialisation de compte, faux concours ou fausse convocation d'examen. Le principe à transmettre à votre enfant : on ne clique pas, on ouvre soi-même l'application ou le site officiel, et on montre le message à un adulte.