PSB Paris School of Business : 864 dossiers d'étudiants avec pièces d'identité mis en vente — l'établissement comme chambre forte des données d'inscription

Article publié le 21 juillet 2026 — Statut de l'incident au moment de la publication : revendiqué, jugé crédible par les observateurs — non confirmé officiellement par l'établissement

Un incident discret, mais d'une gravité hors norme

Le 18 juillet 2026, une publication diffusée sur un forum fréquenté par des cybercriminels revendique la compromission de PSB Paris School of Business, école de commerce parisienne appartenant au groupe Galileo Global Education. Le dépôt annoncé contiendrait 864 dossiers d'inscription d'étudiants et près de 11 500 fichiers potentiellement associés.

En volume brut, 864 personnes peut sembler modeste. C'est exactement ce qui rend cet incident trompeur — et particulièrement grave.

Car ce ne sont pas 864 adresses e-mail ou numéros de téléphone qui circulent. Ce sont 864 dossiers d'inscription complets, tels que constitués lors de l'admission dans une grande école : pièces d'identité recto-verso, justificatifs de domicile, relevés bancaires (IBAN, RIB), passeports, photographies du visage. L'ensemble des éléments qu'une personne produit, généralement une seule fois dans sa vie pour ce niveau de procédure, et qu'elle ne s'attend jamais à voir exposés publiquement.

Ce que contient un dossier d'inscription : une mine pour un fraudeur
Les catégories de données exposées

Selon les informations disponibles, chaque dossier pourrait contenir tout ou partie des éléments suivants :

- Documents d'identité officiels
- Carte nationale d'identité (recto-verso)
- Passeport
- Titre de séjour pour les étudiants étrangers
- Justificatifs financiers
- IBAN
- RIB (Relevé d'Identité Bancaire)
- Potentiellement des relevés de compte ou attestations de ressources
- Justificatifs de domicile
- Quittances de loyer, factures d'énergie ou de téléphone
- Attestation d'hébergement
- Données biométriques et photographiques
- Photo d'identité du visage
- Potentiellement des selfies de vérification si des procédures KYC ont été utilisées
- Données administratives et scolaires
- Nom, prénom, date de naissance, nationalité
- Adresse postale
- Parcours académique et diplômes
- Statut d'inscription

Un profil d'identité complet et immédiatement exploitable

Ce qui distingue fondamentalement cette fuite d'une violation de base de données classique, c'est que les documents exposés ne sont pas des données brutes — ce sont des originaux numériques produits par les personnes elles-mêmes dans un contexte de confiance institutionnelle.

Un fraudeur n'a pas besoin de reconstruire une identité : elle est là, complète, avec le document officiel qui l'atteste, la photo qui la visualise, et les coordonnées bancaires qui permettent de l'exploiter financièrement.

11 500 fichiers : ce chiffre mérite une attention particulière

La revendication mentionne près de 11 500 fichiers pour seulement 864 dossiers. Ce ratio — environ 13 fichiers par personne — est révélateur de la densité documentaire de chaque dossier d'inscription.

Un dossier d'entrée en grande école comprend typiquement : plusieurs versions de la pièce d'identité (recto, verso, parfois des scans de mauvaise qualité refaits), un passeport si l'étudiant est international, une ou plusieurs photographies, un ou plusieurs justificatifs de domicile, un RIB, parfois des relevés de notes, des lettres de motivation, des lettres de recommandation et des CV.

Ces 11 500 fichiers représentent donc la documentation exhaustive de 864 parcours d'inscription — un niveau de granularité que peu d'autres types de fuites atteignent.

Les risques concrets pour les étudiants concernés
Usurpation d'identité facilitée par les documents officiels

C'est le risque premier et le plus grave. Disposer d'une carte nationale d'identité ou d'un passeport scanné en haute résolution permet de :

Ouvrir des comptes bancaires en ligne frauduleux (néobanques, comptes de paiement)
Contracter des crédits à la consommation au nom de la victime
S'inscrire à des services exigeant une vérification d'identité
Créer des comptes sur des plateformes de vente ou de services pour réaliser des escroqueries
Fabriquer des faux documents dérivés à partir de l'original numérique

La présence simultanée de la photo du visage et du document d'identité officiel est particulièrement problématique : elle permet de contourner certaines procédures de vérification biométrique qui comparent un selfie à la pièce d'identité fournie.

Fraude bancaire directe via l'IBAN et le RIB

L'IBAN d'une personne, combiné à son identité complète, permet de :

Initier des prélèvements SEPA frauduleux (le créancier n'a besoin que de l'IBAN et d'un mandat signé, facile à falsifier)
Cibler la victime avec des escroqueries de type "remboursement" ou "trop-perçu" utilisant ses coordonnées réelles
Vendre les coordonnées bancaires sur des forums criminels spécialisés

Le prélèvement SEPA est un vecteur de fraude souvent sous-estimé : contrairement à une carte bancaire, l'IBAN ne peut pas être simplement bloqué ou changé sans démarches longues auprès de la banque et de tous les créanciers existants.

Phishing et ingénierie sociale de très haute précision

Un attaquant disposant du nom, du prénom, de la date de naissance, de l'adresse et du parcours scolaire d'un étudiant peut construire des communications frauduleuses d'une crédibilité absolue :

Fausse notification de l'école concernant les frais de scolarité ou un virement erroné
Faux message du groupe Galileo Global Education annonçant une procédure administrative
Fausse relance d'un organisme de bourses ou de financement étudiant
Fausse demande de mise à jour des coordonnées bancaires pour le versement d'une aide
Faux contact d'un cabinet de recrutement connaissant le parcours exact de la victime

La connaissance des informations scolaires précises — établissement, formation suivie, statut — rend ces approches quasi indétectables pour la victime.

Des risques amplifiés pour les étudiants étrangers

Si des étudiants internationaux figurent dans les dossiers — ce qui est probable dans une école accréditée AACSB et AMBA accueillant une forte proportion d'étudiants étrangers — les risques s'étendent à :

L'exploitation de titres de séjour numérisés pour des demandes frauduleuses
Des tentatives d'usurpation affectant le statut administratif de l'étudiant en France
Des fraudes ciblant leur pays d'origine en utilisant leur identité française
PSB dans l'écosystème Galileo Global Education : une exposition systémique

PSB Paris School of Business appartient au groupe Galileo Global Education, l'un des plus grands groupes d'enseignement supérieur privé en Europe. Le groupe rassemble de nombreuses établissements en France et à l'international.

Cette appartenance à un groupe de grande taille soulève une question structurelle : les systèmes de gestion des inscriptions sont-ils centralisés au niveau du groupe ou gérés établissement par établissement ?

Si les dossiers d'inscription de plusieurs établissements du groupe transitent par des plateformes communes, une compromission partielle peut avoir un périmètre réel bien supérieur à ce que révèle la revendication initiale. L'incident PSB doit donc être lu non seulement comme un cas isolé, mais comme un signal d'alerte sur la sécurisation des données d'inscription dans l'ensemble de l'écosystème Galileo.

Ce que dit le RGPD sur la gestion des dossiers d'inscription
Des données particulièrement sensibles dès l'admission

Les dossiers d'inscription des établissements d'enseignement supérieur constituent des traitements de données personnelles soumis au RGPD. Ils présentent plusieurs caractéristiques aggravantes au regard de la réglementation :

Volume documentaire exceptionnel — Un dossier d'inscription concentre en un seul endroit l'ensemble des éléments permettant d'identifier, localiser et usurper l'identité d'une personne. Ce niveau de concentration justifie des mesures de sécurité renforcées.

Durée de conservation — Les établissements conservent souvent les dossiers d'admission bien au-delà de la durée strictement nécessaire — parfois plusieurs années après la fin des études, voire indéfiniment. Chaque année de conservation supplémentaire représente une fenêtre d'exposition potentielle.

Copies de documents officiels — Le RGPD encadre strictement la collecte de copies de pièces d'identité. L'article 9 du RGPD ne classe pas directement les pièces d'identité comme données de catégorie spéciale, mais les lignes directrices de la CNIL et la jurisprudence nationale les traitent avec une rigueur particulière en raison des risques d'usurpation.

Les obligations applicables à l'établissement

Article 32 — Sécurité des traitements : PSB est tenu de mettre en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles traitées dans le cadre des inscriptions. La concentration de documents d'identité et de coordonnées bancaires dans un même système justifie des mesures renforcées : chiffrement au repos, contrôles d'accès stricts, journalisation des accès, limitation du nombre de personnes autorisées à accéder aux dossiers complets.

Article 5 — Minimisation et limitation de la conservation : L'établissement doit s'interroger sur la nécessité de conserver l'intégralité des dossiers d'inscription — y compris les pièces d'identité et les RIB — au-delà de la période d'admission. Une politique de suppression ou d'anonymisation progressive réduit mécaniquement le risque en cas de compromission.

Article 33 — Notification à la CNIL : Si l'incident est confirmé, la notification devra être effectuée dans les 72 heures. La CNIL porte une attention particulière aux violations impliquant des copies de pièces d'identité et des données bancaires.

Article 34 — Notification aux personnes concernées : Au regard de la nature des données (identité officielle, données bancaires, biométrie photographique), le seuil de risque élevé est incontestablement atteint. Les étudiants concernés devront être informés directement, avec des conseils précis sur les mesures à prendre.

Ce que doivent faire les étudiants potentiellement concernés
Mesures immédiates

Surveiller leurs comptes bancaires — Vérifier l'historique des prélèvements SEPA et signaler immédiatement toute opération non reconnue à leur banque. Demander à leur conseiller bancaire d'activer des alertes sur les nouveaux mandats de prélèvement.

Activer une alerte sur leur identité — En France, il est possible de signaler une usurpation d'identité suspectée auprès de la Préfecture et de déposer une main-courante préventive. Le service Perceval (BanqueDeFrance) permet également de signaler un risque sur une carte bancaire.

Documenter leur identité actuelle — Conserver une trace horodatée de leurs documents d'identité actuels afin de pouvoir démontrer leur légitimité en cas de litige futur lié à une usurpation.

Vigilance sur les communications reçues

Tout message se réclamant de PSB Paris School of Business, de Galileo Global Education ou d'un organisme lié (banque, établissement partenaire, recruteur) et demandant une action urgente — mise à jour de coordonnées bancaires, règlement de frais, validation d'un formulaire — doit être vérifié directement auprès de l'établissement via ses canaux officiels avant toute réponse ou clic.

Le fait que l'interlocuteur connaisse votre formation, votre promotion ou votre adresse n'est pas une preuve d'authenticité si ces informations figurent dans les données potentiellement exposées.

Ce que doivent faire les établissements d'enseignement supérieur

L'incident PSB est l'occasion d'une prise de recul nécessaire sur la gestion des dossiers d'inscription dans l'ensemble du secteur.

Revoir la politique de collecte documentaire — Toutes les pièces demandées sont-elles strictement nécessaires à l'admission ? Un RIB est-il indispensable dès le dossier d'inscription, avant même l'acceptation de l'étudiant ? Une réflexion sur la minimisation des données collectées à chaque étape du processus d'admission permettrait de réduire significativement le risque.

Sécuriser les plateformes de gestion des candidatures — Les systèmes de candidature en ligne et les espaces de dépôt documentaire doivent être soumis à des tests d'intrusion réguliers et à des contrôles d'accès rigoureux. L'accès aux dossiers complets, incluant les pièces d'identité et les RIB, ne doit pas être possible depuis un simple profil utilisateur.

Définir une politique de conservation et de suppression — Les dossiers de candidats non admis ou d'anciens étudiants doivent faire l'objet d'une politique de suppression ou d'anonymisation dans des délais définis et documentés. La conservation indéfinie de pièces d'identité numérisées d'étudiants diplômés depuis plusieurs années ne répond à aucune nécessité légale.

Former les équipes d'admission aux enjeux RGPD — Le personnel traitant les dossiers d'inscription manipule quotidiennement des données parmi les plus sensibles de l'établissement. Une formation spécifique aux règles de traitement, de conservation et de sécurisation de ces données est indispensable.

Conclusion : quand la confiance institutionnelle devient un vecteur d'exposition

Lorsqu'un étudiant dépose son dossier d'inscription dans une grande école, il le fait dans un contexte de confiance institutionnelle forte. Il produit ses documents d'identité, ses coordonnées bancaires, sa photographie — non pas parce qu'il y est légalement contraint, mais parce qu'il fait confiance à l'établissement pour les traiter avec le niveau de soin que leur sensibilité exige.

Cette confiance est une ressource précieuse, et fragile. Elle repose sur l'hypothèse que l'établissement a mis en place les protections techniques et organisationnelles à la hauteur de la sensibilité des données confiées.

La revendication visant PSB questionne cette hypothèse. Pas nécessairement parce que l'établissement aurait fait preuve de négligence manifeste — nous ne le savons pas encore. Mais parce que le simple fait qu'un tel dépôt soit possible révèle qu'un système donnant accès à des centaines de dossiers complets, incluant pièces d'identité et coordonnées bancaires, était accessible à un attaquant.

Dans un secteur où la compétition entre établissements se joue aussi sur la réputation et la confiance des candidats, la sécurisation des données d'inscription n'est pas seulement une obligation légale. C'est un engagement envers des personnes qui ont fait le choix de confier leurs documents les plus sensibles à une institution.

Il est temps que ce sujet soit traité avec la même rigueur que les accréditations académiques.

Sébastien Alonso est Président et DPO de S@FE SASU, société spécialisée en cybersécurité et conformité RGPD, référencée sur cybermalveillance.gouv.fr et la plateforme 17Cyber. Il intervient en accompagnement post-incident, en mission de DPO externalisé et en sensibilisation des équipes dans les secteurs de l'enseignement supérieur, de la santé, des assurances et des collectivités.

Cet article est rédigé à partir des éléments publiquement disponibles au 21 juillet 2026. Il ne constitue pas un avis juridique. L'incident décrit reste revendiqué et n'a pas été confirmé officiellement par PSB Paris School of Business ni par le groupe Galileo Global Education.

Sources :

cyberattaque.org — PSB Paris School of Business : 864 dossiers d'inscription d'étudiants mis en vente avec pièces d'identité — 20 juillet 2026
frenchbreaches.com — Paris School of Business — 18 juillet 2026 (données : Documents, Factures, IBAN, RIB, cartes nationales d'identité, justificatifs de domicile, passeports, photos du visage)