Belgique – IFAPME : les données de 700 000 personnes se retrouvent sur le dark web
Avant de parler de piratage, de données personnelles et de dark web, une petite explication s’impose pour nos nombreux lecteurs français qui se demanderaient ce que vient faire cet étrange “IFAPME” dans cette histoire (On prononce “Ifapéhèmhé”, merci).
L’IFAPME est un organisme public wallon consacré principalement à la formation professionnelle en alternance. Pour donner un équivalent français, on peut grosso modo le comparer au réseau des CFA, les Centres de formation d’apprentis, même si la comparaison n’est pas parfaite.
En Belgique francophone, l’IFAPME permet notamment à des jeunes de se former à un métier en alternance, avec une partie de la formation en entreprise et une autre dans un centre de formation. Mais l’organisme ne s’arrête pas à l’apprentissage des jeunes. Il propose également des formations pour adultes, des formations continues ainsi que des formations destinées aux personnes qui souhaitent créer ou reprendre une entreprise.
Bref, imaginez un gros morceau de la formation professionnelle française concentré dans un organisme wallon, et vous aurez une assez bonne idée de la bête. Et c’est précisément cet organisme qui vient de connaître un “petit problème informatique” dont on se serait volontiers passé.
Une attaque qui revient faire coucou
L’affaire remonte à février 2026, lorsque l’IFAPME a été victime d’une cyberattaque. Plusieurs mois plus tard, le dossier vient de refaire surface avec la publication de données volées sur un forum du dark web. Et cette fois, les données ne seraient même plus proposées contre de l’argent. Elles auraient été mises gratuitement à disposition, ce qui est une manière assez particulière de passer du “nous allons vendre vos données !” à “Bon, finalement, servez-vous, c’est gratuit !”.
Selon les informations disponibles, jusqu’à 700 000 personnes pourraient être concernées. Les données exposées comprennent notamment des noms et prénoms, adresses postales, email, numéros de téléphone et dates de naissance. Plus embêtant encore, plus de 85 000 IBAN figureraient également dans les données dérobées. Youpie (Non).
Dans certains cas, des numéros de registre national seraient également concernés. Et là, on passe clairement dans la catégorie des informations que l’on aimerait éviter de voir circuler sur Internet.
Non, votre compte bancaire n’est pas automatiquement vidé
La présence d’un IBAN dans une fuite de données ne signifie pas qu’un pirate peut soudainement se connecter à votre banque et vider votre compte comme dans un mauvais film de hackers des années 90.
Le véritable danger est plutôt dans le croisement des informations. Un nom, une adresse, une date de naissance, un numéro de téléphone, un email et un IBAN réunis dans le même fichier constituent un formidable carburant pour les tentatives de phishing, les arnaques téléphoniques, l’usurpation d’identité ou les opérations de manipulation visant à récupérer encore davantage d’informations ou à vider vos maigres économies. C’est arrivé à une amie de ma douce, c’est vraiment triste à mourir.
Autrement dit, le pirate n’a pas nécessairement besoin de votre mot de passe si quelqu’un lui fournit déjà une bonne partie du dossier administratif permettant de vous convaincre qu’il est votre banque, votre assurance, votre opérateur téléphonique ou même une administration.
Le problème avec les données volées, c’est qu’elles ne reviennent pas
C’est probablement le point le plus pénible dans ce genre d’affaire. Un mot de passe compromis peut être modifié. Une carte bancaire peut être remplacée. Une adresse électronique peut éventuellement être abandonnée, bien que c’est assez exaspérant de le faire…
Un numéro de registre national, une date de naissance ou une adresse postale ne sont par contre pas des informations qu’on peut modifier à chaque fois qu’un serveur se fait pirater.
Et même lorsque les systèmes informatiques concernés sont sécurisés après une attaque (en principe…), les données déjà copiées continuent évidemment d’exister ailleurs. Elles peuvent être revendues, publiées, recopiées ou combinées avec d’autres bases de données pendant des années, à l’infini.
C’est tout le problème des cyberattaques modernes : reboucher à l’enduit en titane les brèches de sécurité sur le serveur est une chose, récupérer les données qui se sont déjà échappées dans la nature en est une autre. Bref, il est quasi impossible de revenir en arrière en mode “Retour vers le futur”. Doc n’existe pas.
Et maintenant, vigilance maximale
Pour les personnes potentiellement concernées, “la prudence est donc de mise”, comme on dit, particulièrement face aux emails, SMS ou appels téléphoniques qui semblent connaître beaucoup de détails personnels.
Un message qui contient votre véritable nom, votre adresse ou une information bancaire n’est pas forcément légitime. Au contraire, dans le contexte d’une fuite de données, ce genre de détail peut précisément servir à rendre une arnaque beaucoup plus crédible.
Le bon réflexe reste donc de ne pas cliquer précipitamment sur un lien reçu par message, de ne jamais communiquer un code de validation à quelqu’un qui vous le demande par téléphone ou, pire, de se connecter à IstMe pour permettre à votre interlocuteur de transformer votre compte en banque en morne pleine. Bref, contactez directement l’organisme concerné en utilisant ses coordonnées officielles.
Parce qu’au fond, une fuite de données, c’est un peu comme perdre son portefeuille dans la rue. Sauf que quelqu’un a pris une photo de tout ce qu’il contenait avant de vous le rendre, et qu’il a décidé de publier la photo sur Internet quelques mois plus tard, gratuitement.
Et cette fois, personne n’a demandé si vous étiez d’accord d’accepter les cookies pour capturer quelques infos.
Sources
- IFAPME : des données volées sont mises en ligne sur le dark web
RTBF, Belgique. 5 octobre 2026.
Informations sur la publication des données volées et l’ampleur potentielle de la fuite. - Gegevens van 700.000 mensen gratis op het dark web na hack bij IFAPME, waaronder bankgegevens
ITdaily, Belgique. 4 octobre 2026.
Détails sur les données compromises, notamment les informations bancaires (NL). - Incident de sécurité – Base de données IFAPME
IFAPME, Belgique. 9 avril 2026.
Communication officielle de l’IFAPME concernant l’incident de sécurité affectant l’une de ses bases de données.
