Une importante fuite de données visant le Service national universel (SNU) est revendiquée par le hacker LunarisSec. Celui-ci affirme avoir compromis l’un des portails du dispositif et exploité une vulnérabilité IDOR permettant d’accéder aux informations des utilisateurs. Au total, il dit avoir récupéré les données associées à 275 083 comptes.
Cyberattaque.org s’est procuré les échantillons diffusés par le hacker. Leur contenu, ainsi que plusieurs recoupements effectués à partir de sources publiques, rendent la revendication particulièrement crédible et permettent de relier les données à l’écosystème du SNU. Elles concernent notamment des utilisateurs et des responsables de structures partenaires.
270 021 utilisateurs et 5 062 comptes de responsables
Le hacker affirme avoir identifié et récupéré 270 021 identifiants d’utilisateurs, auxquels s’ajoutent 5 062 comptes disposant de rôles liés à l’encadrement ou à la gestion de structures.
Le total revendiqué atteint ainsi 275 083 comptes.
Selon LunarisSec, l’accès aux données aurait été rendu possible par une faille IDOR présente sur l’un des portails du SNU, combinée à une mauvaise gestion des rôles et des permissions. Une vulnérabilité IDOR permet, lorsqu’un contrôle d’autorisation est insuffisant, d’accéder à des ressources appartenant à d’autres utilisateurs en manipulant un identifiant transmis à l’application.
Noms, e-mails et numéros de téléphone
Pour les comptes utilisateurs classiques, LunarisSec affirme avoir récupéré les données suivantes :
- nom ;
- prénom ;
- adresse e-mail ;
- numéro de téléphone mobile.
Un premier échantillon analysé par Cyberattaque.org contient 93 enregistrements. Les personnes présentes sont rattachées à de nombreuses structures publiques ou associatives : Croix-Rouge, Restos du Cœur, services départementaux d’incendie et de secours, gendarmerie, collectivités, mairies ou encore associations.
Plusieurs recoupements réalisés par Cyberattaque.org permettent également de retrouver publiquement certaines de ces personnes dans le cadre de missions d’intérêt général du SNU ou au sein de structures ayant accueilli des volontaires du dispositif. Ces vérifications renforcent fortement la crédibilité de la revendication.
Les comptes des responsables beaucoup plus détaillés
Les 5 062 comptes présentés par LunarisSec comme appartenant au « staff » contiennent beaucoup plus d’informations. Les éléments observés dans les échantillons sont notamment cohérents avec des comptes de responsables de structures disposant d’un accès à la plateforme du SNU.
Pour ces comptes, les données présentées comprennent notamment :
- identifiant interne ;
- nom et prénom ;
- nom complet ;
- adresse e-mail ;
- numéro de téléphone et mobile ;
- rôle du compte ;
- statut ;
- région ;
- département ;
- cohortes associées ;
- identifiants des cohortes ;
- acceptation des conditions générales d’utilisation ;
- date de création du compte ;
- date de dernière modification ;
- date de dernière activité ;
- identifiant de la structure associée ;
- autres identifiants techniques internes.
Certains enregistrements observés dans les échantillons comportent des dates d’activité allant jusqu’aux 5 et 6 septembre 2026.
Des champs directement liés au fonctionnement du SNU
Plusieurs éléments présents dans les données correspondent au fonctionnement de la plateforme officielle. Certains comptes disposent par exemple du rôle « responsible » et sont associés à un structureId.
Le SNU demande justement aux organismes souhaitant accueillir des volontaires de s’inscrire sur admin.snu.gouv.fr et d’y créer un profil en tant que « Responsable » d’une structure proposant une mission d’intérêt général.
Ces responsables disposent ensuite d’un tableau de bord permettant notamment de gérer leur structure, de publier des missions et de suivre les candidatures des volontaires. La présence dans les échantillons des rôles, identifiants de structures, cohortes et différents statuts constitue ainsi un élément supplémentaire venant appuyer la revendication de LunarisSec.
Le SNU avait déjà subi une importante fuite en 2023
Le Service national universel avait déjà été victime d’une importante fuite de données à la fin de l’année 2023. À l’époque, les informations de 62 500 jeunes volontaires et 87 000 parents avaient été dérobées, soit près de 150 000 personnes.
Pour les jeunes concernés, la fuite comprenait notamment le nom, le prénom, la date de naissance, l’adresse postale et l’adresse e-mail. Les données des représentants légaux comprenaient également leurs informations d’identité et leurs coordonnées.
L’administration avait confirmé qu’une faille applicative avait été exploitée. L’incident avait conduit au dépôt d’une plainte et à un signalement auprès de la CNIL.
Des données différentes de celles volées en 2023
Les données présentées cette fois par LunarisSec sont différentes de celles dérobées en 2023. La précédente fuite concernait principalement les jeunes volontaires et leurs parents et portait essentiellement sur leurs informations d’identité et leurs coordonnées.
Dans sa nouvelle revendication, LunarisSec présente cette fois des numéros de téléphone mobile, mais également tout un ensemble d’informations internes liées aux comptes de responsables : rôles, statuts, régions, départements, cohortes, identifiants de structures et historique d’activité des comptes.
Le volume revendiqué est également supérieur : 275 083 comptes, contre environ 150 000 personnes concernées lors de l’incident confirmé de 2023.
LunarisSec revendique l’exploitation d’une faille IDOR
LunarisSec explique avoir pu parcourir les identifiants accessibles depuis le portail qu’il affirme avoir compromis afin de récupérer massivement les informations associées aux comptes. Le hacker met directement en cause les contrôles d’accès, les rôles et les permissions de l’application.
Les échantillons obtenus et analysés par Cyberattaque.org contiennent les différentes catégories de données annoncées dans la revendication, ainsi que plusieurs éléments correspondant au fonctionnement de la plateforme du Service national universel. Ces éléments rendent à ce stade la revendication de LunarisSec particulièrement crédible.