Un pirate affirme avoir exfiltré les données de 72 916 personnes chez Croq’Vacances, un organisateur de séjours de vacances pour enfants et adolescents. Selon ZATAZ, l’archive contiendrait notamment 1 730 dossiers médicaux et autant de numéros de sécurité sociale. L’entreprise n’a pas confirmé l’incident ; il s’agit d’une revendication.
Ce que le pirate affirme détenir
Le pirate a diffusé une archive présentée comme échantillon et preuve de l’exfiltration. D’après le décompte publié par ZATAZ, elle porterait sur :
| Type de données | Volume revendiqué |
|---|---|
| Comptes utilisateurs (dont 25 administrateurs) | 72 639 |
| Mots de passe hachés en bcrypt | 69 477 |
| Contacts | 71 181 |
| Candidatures (animateurs) | 9 021 |
| Documents téléversés | 17 356 (24 Go) |
| Dossiers médicaux complets | 1 730 |
| Numéros de sécurité sociale | 1 728 |
| Références de cartes d’identité | 1 713 |
| Références de passeports | 433 |
Les documents évoqués comprennent des CV, des diplômes, des scans de pièces d’identité, des certificats de vaccination, des photos, des projets pédagogiques et des échanges par email. Les dossiers médicaux mentionneraient allergies, traitements et antécédents. Les candidatures incluraient adresse, téléphone, date de naissance et informations sur le permis de conduire.
Pourquoi c’est sensible
Un organisateur de colonies collecte par nécessité des informations médicales sur les enfants accueillis et des pièces justificatives sur les animateurs qu’il recrute. Si la revendication est exacte, une partie des personnes concernées seraient donc des mineurs, avec des données de santé, ce qui fait partie des catégories les plus protégées par le RGPD.
Point plutôt rassurant : les mots de passe seraient hachés avec bcrypt, un algorithme lent conçu pour résister au cassage. ZATAZ les juge inutilisables en l’état. Le risque principal porte sur les documents d’identité et les données de santé, qui ne se changent pas.
La revendication s’inscrit dans une série d’intrusions visant le tourisme, sur lesquelles ZATAZ alertait en mai et juin 2026. D’autres organisations françaises ont été citées par des pirates les mêmes jours.
Tant que Croq’Vacances n’a pas communiqué, ces chiffres restent ceux du pirate. Ils peuvent être gonflés ou mélanger des doublons.
Que faire si vous êtes concerné
- Si vous avez inscrit un enfant ou candidaté comme animateur, méfiez-vous des messages qui citent un séjour, un dossier d’inscription ou un document médical pour réclamer un paiement ou des pièces complémentaires.
- Si une copie de votre pièce d’identité a pu être exposée, soyez attentif à toute ouverture de compte ou de crédit à votre nom ; en cas d’usurpation, déposez plainte et signalez-le à la banque concernée.
- Si vous réutilisiez le mot de passe de votre compte ailleurs, changez-le par précaution.
- Vous pouvez interroger l’organisateur sur la base de votre droit d’accès (article 15 du RGPD) pour savoir quelles données il détenait sur vous ou votre enfant.
Nous mettrons cet article à jour si l’entreprise réagit.