Masowy wyciek danych we Francji

• Nieautoryzowany dostęp do systemu COMPAS uzyskano 15 marca 2026 r. poprzez przejęcie zewnętrznego konta.
• Wyciek objął dane około 243 tys. pracowników, w tym dane tożsamości, kontaktowe i informacje o nieobecnościach.
• Ministerstwo rozpoczęło procedurę zawiadomienia o przestępstwie.

Jak informuje w komunikacie francuskie Ministerstwo Edukacji Narodowej, do incydentu doszło w systemie COMPAS wykorzystywanym do zarządzania stażystami szkół podstawowych i średnich.

Francuskie służby bezpieczeństwa zostały poinformowane o sprawie 19 marca 2026 r., a analiza wykazała, że naruszenie miało miejsce kilka dni wcześniej.

Wstępne ustalenia wskazują, że wykradziono dane około 243 tys. osób, zarówno pracowników zatrudnionych na stałe, jak i stażystów.

Zakres naruszenia obejmuje dane identyfikacyjne, adresy, numery telefonów oraz informacje dotyczące okresów nieobecności, bez szczegółów medycznych.

Mechanizm ataku i reakcja służb

Według informacji resortu, atak został przeprowadzony poprzez przejęcie i wykorzystanie zewnętrznego konta, co umożliwiło nieautoryzowany dostęp do systemu.

Po wykryciu incydentu uruchomiono sztab kryzysowy, a zespoły techniczne natychmiast rozpoczęły działania zabezpieczające.

Zewnętrzny dostęp do systemu COMPAS został zawieszony, a równolegle prowadzone są kontrole innych systemów informatycznych ministerstwa.

Działania naprawcze i zgłoszenia do instytucji

Ministerstwo Edukacji Narodowej Francji zgłosiło incydent do Krajowej Agencji Bezpieczeństwa Systemów Informatycznych (ANSSI) oraz do Krajowej Komisji ds. Informatyki i Wolności (CNIL). Trwa również procedura formalnego zawiadomienia o przestępstwie.

Resort podkreśla, że podejmuje działania mające na celu ograniczenie skutków naruszenia oraz wzmocnienie zabezpieczeń infrastruktury IT.

Ryzyko phishingu i ostrzeżenie dla pracowników

W związku z wyciekiem danych ministerstwo apeluje do pracowników o zachowanie szczególnej ostrożności. Istnieje podwyższone ryzyko prób oszustw, w tym phishingu oraz podszywania się pod instytucje lub osoby trzecie.

Osoby, których dane mogły zostać naruszone, mają zostać poinformowane w możliwie najkrótszym czasie.