Piratage du CUC Loisirs & Vacances : les données de milliers d’enfants et de parents exposées CUC Loisirs & Vacances fait l’objet d’une revendication de fuite de données particulièrement sensible. Un pirate affirme avoir récupéré une base contenant 8 915 lignes liées aux inscriptions et aux usagers de la structure. Les données présentées comprennent des informations sur des enfants et leurs responsables : noms, dates de naissance, adresses, téléphones, e-mails, numéros de sécurité sociale, données CAF et certaines informations médicales. Une nouvelle fuite de données revendiquée concerne CUC Loisirs & Vacances, une structure du Clermont Université Club basée à Clermont-Ferrand. Le CUC Loisirs & Vacances organise notamment des centres de loisirs, activités périscolaires, stages sportifs et colonies de vacances à destination des enfants et adolescents. :::embed ::: Le 18 septembre 2026, un utilisateur utilisant le pseudonyme TimeSape a publié sur un forum cybercriminel un message affirmant avoir compromis le site cuc-loisirs.fr et récupéré une base liée aux inscriptions. Le pirate revendique 8 915 lignes/utilisateurs dans un fichier CSV d'environ 2,9 Mo. À ce stade, ce chiffre correspond à la revendication du pirate et ne doit pas nécessairement être interprété comme 8 915 personnes uniques, certaines personnes pouvant apparaître dans plusieurs inscriptions. image Des données concernant des enfants et leurs parents L'échantillon diffusé par le pirate montre que la fuite de données du CUC Loisirs & Vacances pourrait être particulièrement sensible en raison de la présence d'informations concernant des mineurs. Les fichiers présentés contiennent notamment : • noms et prénoms des enfants ; • sexe ; • dates de naissance et âge ; • adresses postales ; • villes et codes postaux ; • numéros de téléphone ; • adresses e-mail ; • activités, stages ou séjours auxquels les enfants étaient inscrits ; • informations relatives à la CAF et numéros d'allocataire ; • noms et coordonnées des responsables légaux ; • professions et employeurs des responsables ; • situation familiale ; • numéros de sécurité sociale ; • personnes autorisées à récupérer l'enfant ; • informations indiquant si l'enfant sait nager ou fait la sieste. Tous ces champs ne sont pas nécessairement renseignés pour chaque dossier. Les données visibles semblent principalement provenir d'anciennes inscriptions, notamment des années 2015 et 2016, même si la période exacte couverte par l'ensemble du fichier reste à confirmer. Des informations médicales apparaissent également Plus préoccupant, certains champs de la base concernent la santé des enfants. L'échantillon et les intitulés de colonnes comportent notamment des informations relatives : • à l'asthme ; • aux allergies ; • aux traitements ou recommandations médicales ; • à certaines informations utiles à l'encadrement des enfants pendant les activités. Certaines inscriptions contiennent effectivement des réponses ou indications dans ces champs. Il s'agit de données particulièrement sensibles, d'autant plus qu'elles peuvent être associées à l'identité d'enfants et aux coordonnées de leurs responsables légaux. FrenchBreaches ne reproduit pas les informations personnelles présentes dans l'échantillon afin de ne pas exposer davantage les personnes concernées. Le pirate affirme avoir récupéré la base d'inscriptions Dans sa publication, TimeSape affirme avoir récupéré l'intégralité d'une base d'inscriptions et d'utilisateurs. Le pirate indique également que les informations auraient été obtenues à partir de fichiers exposés, qui lui auraient permis d'accéder aux données. Ces déclarations décrivent toutefois la version fournie par l'auteur de la revendication. À ce stade, elles ne permettent pas de déterminer indépendamment la vulnérabilité exploitée, la date exacte de l'intrusion ou la manière dont les fichiers auraient été rendus accessibles. Des données anciennes, mais toujours sensibles Une grande partie des inscriptions visibles dans l'échantillon remonte à 2016. L'ancienneté des informations ne signifie cependant pas qu'elles sont devenues sans risque. Des éléments comme les noms, dates de naissance, numéros de sécurité sociale ou certaines informations familiales et médicales peuvent conserver leur caractère sensible pendant de nombreuses années. Les adresses e-mail et numéros de téléphone peuvent également être utilisés pour du phishing, de l'ingénierie sociale ou des tentatives d'usurpation d'identité. Une fuite de données encore à confirmer officiellement La publication du pirate contient un échantillon structuré correspondant à des inscriptions à différentes activités du CUC. Elle ne permet cependant pas, à elle seule, de confirmer l'intégralité des affirmations de l'auteur. Plusieurs éléments restent notamment à déterminer : • le nombre exact de personnes uniques concernées ; • l'authenticité de l'ensemble des 8 915 lignes revendiquées ; • la période exacte couverte par les fichiers ; • l'origine technique
CUC Loisirs & Vacances : piratage et fuite de données — ce que l’on sait, que faire
