Environ 38 000 élèves et 3 500 enseignants ont vu leurs données personnelles volées lors d’une cyberattaque. Un adolescent de 16 ans a été interpellé dans le canton de Vaud après cette intrusion qui a ciblé la plateforme de support informatique des établissements d’enseignement postobligatoire, selon les annonces de la police cantonale. Cet accès non autorisé a été détecté le 26 octobre 2026 par la Direction générale de l’enseignement postobligatoire.
Une intrusion informatique entre le 23 et le 26 octobre
Le jeune homme fait partie des élèves de la Direction générale de l’enseignement postobligatoire. Il a été arrêté samedi dernier par les forces de l’ordre vaudoises.
Il est soupçonné d’avoir mené une intrusion dans le système informatique. Il est également soupçonné d’avoir soustrait des données sur la plateforme dédiée au support technique des gymnases et des écoles professionnelles entre les 23 et 26 octobre 2026, d’après les précisions fournies par la police vaudoise dans un communiqué transmis à Keystone-ATS.
Les informations dérobées comprennent les noms, prénoms et adresses électroniques scolaires des utilisateurs. Elles incluent aussi le contenu de leurs demandes d’assistance, consistant par exemple à signaler un problème avec un logiciel, avec un clavier d’ordinateur ou une imprimante.
Les autorités cantonales ont tenu à rassurer en précisant qu’aucun mot de passe ni aucune donnée scolaire, telle que les notes ou les dossiers d’élèves, ne se trouvaient enregistrés sur ce système. Le personnel et les élèves de l’école obligatoire ne sont par ailleurs pas concernés par cet incident, dans la mesure où ils utilisent un autre système, indépendant de celui du postobligatoire.
Mesures de sécurité et craintes d’hameçonnage
Dès la découverte de l’accès illicite, la plateforme informatique a été immédiatement déconnectée d’internet. Elle a ensuite été sécurisée avec l’aide du Centre opérationnel de sécurité du canton de Vaud.
Les usagers touchés ont reçu des informations les invitant à observer une vigilance face aux risques d’hameçonnage ciblé. Le corps enseignant et les élèves ont ainsi reçu la consigne de se méfier des messages urgents ou inhabituels se faisant passer pour l’établissement ou pour le support technique.
L’État de Vaud a rappelé les consignes de base à observer : ne jamais communiquer de mot de passe et signaler toute communication suspecte.
L’incident a été officiellement annoncé à l’Office fédéral de la cybersécurité ainsi qu’à l’Autorité de protection des données et de droit à l’information.
Enquête judiciaire et procédures disciplinaires
L’adolescent interpellé a été auditionné par la police de sûreté avant d’être libéré, tandis que son matériel informatique a fait l’objet d’une saisie pour analyse.
La division des enquêtes cyber mène les investigations sous la conduite du Tribunal des mineurs afin de déterminer si les fichiers copiés ont été transmis à des tiers, et une plainte pénale a été déposée.
En parallèle de la procédure judiciaire menée par la justice, les services de Frédéric Borloz indiquent que le jeune suspect s’expose à une sanction administrative pouvant aller jusqu’à l’exclusion de l’établissement.
Face à ces vulnérabilités, des spécialistes comme Lennig Pedron rappellent qu’une intrusion institutionnelle diffère radicalement d’une attaque externe.