En octobre 2026, la Région Hauts-de-France a vu fuiter des données personnelles de ses usagers sans que son propre système d'information soit touché : l'attaque visait deux prestataires, Atexo et Docaposte, qui traitaient ces données pour son compte. Toute entreprise est exposée au même risque. Pour le réduire, il faut connaître ses sous-traitants, vérifier leurs contrats (article 28 du RGPD) et faire l'inventaire de ceux qui envoient des emails ou hébergent des sous-domaines en votre nom. Votre enregistrement SPF et vos DNS en donnent déjà une bonne partie.
Cet article s'appuie uniquement sur les informations publiées par la Région et la presse. L'enquête est en cours, et rien ici ne préjuge des responsabilités.
Ce qui s'est passé : les faits publiés
| Date | Fait | Source |
|---|
| 3 octobre 2026 | La Région annonce qu'Atexo et Docaposte ont subi une attaque « ayant permis un accès non autorisé à des données personnelles traitées pour son compte ». Elle porte plainte et alerte l'ANSSI. | Communiqué de la Région, repris par franceinfo et l'AFP |
| 3 octobre 2026 | Les plateformes concernées sont fermées : la plateforme des aides régionales (Atexo) et celle de la carte Génération #HDF (Docaposte). La Maison des entrepreneurs Hauts-de-France est aussi citée, avec un incident « résolu ». | franceinfo |
| 3 octobre 2026 | Données citées par la Région : noms, prénoms, adresses électroniques, et « potentiellement » des RIB et d'autres données d'identification. | Communiqué, via Next et Clubic |
| 5 octobre 2026 | Le président de la Région, Xavier Bertrand, chiffre à près de 545 000 les personnes concernées : jusqu'à 515 000 sur la plateforme Atexo (sur 745 000 inscrits) et environ 30 000 sur la carte Génération #HDF. | AFP |
À côté de ces faits confirmés, un pirate se présentant sous le nom « ChimeraZ » a revendiqué sur un forum une base de 782 583 lignes portant sur 708 068 personnes, et une archive de 90 011 fichiers PDF. Le site FrenchBreaches évoque notamment 36 720 RIB et des contrats d'apprentissage. Ces chiffres sont revendiqués, et la Région ne les a pas validés.
La Région a aussi prévenu ses usagers qu'ils pourraient recevoir des emails, SMS ou appels frauduleux à son nom, en rappelant qu'elle ne demande jamais de mot de passe ni de coordonnées bancaires par courriel.
Un schéma qui se répète
Le même mois, DEKRA Automotive a informé ses clients d'un incident survenu le 20 octobre chez l'un de ses sous-traitants, touchant des données de réservation de contrôle technique (nom, email, téléphone). L'entreprise indique avoir notifié la CNIL et porté plainte. Dans ces deux cas, l'organisation que connaissent les usagers est celle qui doit répondre, alors que l'incident a eu lieu ailleurs.
Ce que dit le RGPD sur les sous-traitants
L'article 28 du RGPD fixe trois principes. Vous ne pouvez faire appel qu'à des sous-traitants qui présentent « des garanties suffisantes ». Le sous-traitant ne peut pas recruter lui-même un autre sous-traitant sans votre autorisation écrite. Et la relation doit être encadrée par un contrat qui prévoit notamment que le sous-traitant :
- ne traite les données que sur vos instructions documentées ;
- garantit la confidentialité des personnes qui y ont accès ;
- prend les mesures de sécurité requises par l'article 32 ;
- vous aide à respecter vos obligations en cas de violation (articles 33 et 34) ;
- supprime ou vous rend les données à la fin de la prestation ;
- vous donne les informations nécessaires et accepte les audits.
L'article 33.2 ajoute que le sous-traitant doit vous notifier toute violation « dans les meilleurs délais après en avoir pris connaissance ». La notification à la CNIL et l'information des personnes restent à votre charge. La marche à suivre est détaillée dans notre guide des 48 premières heures après une fuite.
Les clauses à relire dans vos contrats
| Clause | Ce qu'il faut y trouver |
|---|
| Délai d'alerte | Un délai chiffré (24 ou 48 heures), compatible avec vos 72 heures face à la CNIL |
| Contenu de l'alerte | Nature de l'incident, données et personnes concernées, mesures prises, contact |
| Sous-traitants ultérieurs | Liste nominative et information préalable en cas de changement |
| Localisation des données | Pays d'hébergement et de support |
| Fin de contrat | Suppression ou restitution, et désactivation des accès, des DNS et des envois en votre nom |
| Audit | Droit de demander des preuves (certifications, rapports de test d'intrusion) |
La dernière ligne est souvent oubliée. Un prestataire quitté depuis deux ans peut encore être autorisé à envoyer des emails en votre nom, ou pointer l'un de vos sous-domaines.
Inventaire n°1 : qui envoie des emails en votre nom ? Lisez votre SPF
Votre enregistrement SPF est la liste publique des services autorisés à envoyer des emails avec votre domaine. Chaque include: correspond à un tiers. Affichez-le :
dig +short TXT votre-domaine.fr | grep spf1
Exemple de résultat :
"v=spf1 include:_spf.google.com include:spf.brevo.com include:sendgrid.net include:mx.ovh.com ip4:203.0.113.25 -all"
Lisez-le terme par terme :
| Mécanisme | Service autorisé | Question à vous poser |
|---|
include:_spf.google.com | Google Workspace | Votre messagerie actuelle ? |
include:spf.brevo.com | Brevo (emailing) | Qui a accès au compte ? Est-il encore utilisé ? |
include:sendgrid.net | SendGrid (emails transactionnels) | Quel outil l'utilise : boutique, CRM, application ? |
include:mx.ovh.com | Serveurs mail OVHcloud | Reste d'une ancienne messagerie ? |
ip4:203.0.113.25 | Un serveur précis | À qui appartient cette adresse IP ? |
Pour un include: que vous ne reconnaissez pas, interrogez-le directement : dig +short TXT spf.brevo.com. Le nom du domaine suffit souvent à identifier le prestataire. Pour une adresse IP, la commande whois 203.0.113.25 indique l'opérateur du réseau.
Chaque prestataire de cette liste peut techniquement émettre des emails qui passeront le contrôle SPF de votre domaine. Si son compte est compromis, ces emails partiront avec une authentification valide. Supprimez les services que vous n'utilisez plus, et vérifiez que chacun de ceux qui restent signe aussi avec DKIM sur votre domaine.
Deux pièges à éviter pendant ce ménage. Un domaine ne doit avoir qu'un seul enregistrement SPF, sinon tout le SPF est invalide (voir deux enregistrements SPF : la panne que personne ne voit). Et SPF est limité à 10 requêtes DNS, include: imbriqués compris. Le générateur SPF vous aide à reconstruire un enregistrement propre.
Le SPF ne dit pas tout : certains outils envoient avec leur propre domaine technique et signent avec DKIM sur le vôtre. Les rapports DMARC (rua) complètent l'inventaire, car ils listent tous les serveurs qui ont réellement envoyé des emails en votre nom.
Inventaire n°2 : quels sous-domaines sont confiés à des tiers ?
Une plateforme d'aides, un espace client, un portail de recrutement : ces services hébergés par un prestataire sont souvent publiés sous un sous-domaine qui pointe vers lui.
dig +short CNAME aides.votre-domaine.fr
client123.plateforme-prestataire.com.
Ce sous-domaine porte votre nom, mais son contenu dépend entièrement du prestataire. Deux risques en découlent. Pendant le contrat, une faille chez lui touche une adresse que vos usagers associent à vous. Après le contrat, si le CNAME reste en place alors que le compte chez le prestataire est supprimé, un tiers peut parfois réclamer cette ressource et publier ce qu'il veut sous votre sous-domaine. C'est le subdomain takeover, expliqué dans notre article sur les sous-domaines oubliés.
Pour lister vos sous-domaines, exportez la zone depuis votre hébergeur DNS, puis complétez avec les logs de Certificate Transparency (crt.sh, recherche %.votre-domaine.fr) : chaque certificat émis y est inscrit, y compris pour des sous-domaines créés par des prestataires.
Le plan d'action en six étapes
- Listez vos sous-traitants qui traitent des données personnelles, à partir de votre registre des traitements et de vos factures.
- Relisez les contrats avec le tableau ci-dessus. Demandez un avenant si le délai d'alerte n'est pas chiffré.
- Lisez votre SPF et rapprochez chaque
include: d'un contrat en cours. Supprimez le reste.
- Listez vos sous-domaines et, pour chacun qui pointe vers un tiers, notez le prestataire et la date de fin du contrat.
- Prévoyez la sortie : à chaque fin de contrat, retirez l'
include: SPF, le sélecteur DKIM et les CNAME associés.
- Préparez l'incident : qui vous alerte chez chaque prestataire, et qui décide chez vous de notifier la CNIL.
Ce que Domains Defender surveille
Domains Defender n'audite pas vos prestataires et ne détecte pas les fuites de données. Il surveille votre domaine : il vous alerte quand un enregistrement DNS change, y compris votre SPF, et quand votre configuration SPF, DKIM ou DMARC se dégrade. Sur le plan Pro, il signale les nouveaux sous-domaines apparus dans les logs de Certificate Transparency et les sous-domaines exposés au détournement. Le détail figure sur la page des offres.
Questions fréquentes
Qui est responsable en cas de fuite de données chez un sous-traitant ?
Le responsable de traitement reste chargé de notifier la CNIL et d'informer les personnes. Le sous-traitant a ses propres obligations (sécurité, alerte sans délai, assistance) et peut aussi être sanctionné s'il ne les respecte pas.
Que doit contenir un contrat de sous-traitance RGPD ?
L'article 28 impose notamment : traitement sur instructions documentées, confidentialité, mesures de sécurité, encadrement des sous-traitants ultérieurs, aide en cas de violation, suppression ou restitution des données en fin de contrat, et droit d'audit.
Comment savoir quels services envoient des emails en mon nom ?
Lisez votre enregistrement SPF : chaque include: correspond à un service autorisé. Complétez avec les rapports DMARC, qui listent les serveurs ayant réellement envoyé des emails avec votre domaine.
Combien de personnes sont concernées par la fuite des Hauts-de-France ?
La Région parle de près de 545 000 personnes. Un pirate revendique des données sur 708 068 personnes, un chiffre que la Région n'a pas confirmé.