Fin octobre 2026, les données d’environ 41 500 élèves et enseignants vaudois ont été copiées depuis une plateforme de support informatique. Le canton précise qu’aucune donnée sensible n’est concernée. C’est probablement vrai, et c’est justement l’occasion de regarder une autre base de données, bien plus sensible : celle qui contient votre passeport, votre selfie, votre adresse et les montants de bitcoins que vous avez achetés.

1. Ce qui s’est passé dans le canton de Vaud

• Les faits. Le 26 octobre 2026, la Direction générale de l’enseignement postobligatoire a détecté un accès non autorisé à la plateforme de support informatique des gymnases et écoles professionnelles. Noms, prénoms et adresses e-mail scolaires d’environ 3500 enseignants et 38 000 élèves ont été copiés, ainsi que le contenu des demandes d’assistance (État de Vaud, communiqué du 31.10.2026).
• Ce qui n’a pas fui. Les mots de passe ne sont pas stockés sur la plateforme, et ni les notes ni les dossiers d’élèves ne sont concernés, selon le canton. Le principal risque annoncé : des messages frauduleux ciblés se faisant passer pour l’école.
• Le suspect. Selon la RTS, tout porte à croire que le vol a été commis par un élève (RTS, 31.10.2026).
• La nuance. Le Temps rappelle qu’une telle fuite ne doit pas être sous-estimée, les conséquences pouvant être durables, surtout lorsqu’il s’agit de mineurs (Le Temps, 01.11.2026).

La leçon n’est pas que le canton aurait mal travaillé. Elle est plus banale : toute base de données centralisée finit tôt ou tard par être copiée. Par un hacker d’État, un employé soudoyé ou, apparemment, un élève.

2. Votre KYC est une base de données comme une autre

Quand vous achetez des bitcoins sur une plateforme régulée, vous fournissez une pièce d’identité, un selfie, une adresse, parfois un justificatif de fortune. Ce dossier est ensuite lié à chaque achat. C’est la règle anti-blanchiment, et elle s’applique. Mais il faut savoir ce que cela crée : une liste de personnes, avec leur adresse, et une estimation de ce qu’elles possèdent.

• Ledger, 2020. Une clé d’API mal configurée a permis l’accès à la base e-commerce. Le 20 décembre 2020, environ 272 000 fiches avec nom, adresse postale et téléphone, plus environ un million d’e-mails, ont été publiées sur un forum (Ledger, FAQ ; The Block, 20.12.2020). Ce n’était même pas un KYC, juste une liste de clients.
• Ledger, encore, 2026. En janvier 2026, le prestataire Global-e a subi un accès non autorisé aux données de commande : nom, adresse, téléphone, produit et prix payé (Ledger, janvier 2026).
• Coinbase, 2025. Des agents de support soudoyés ont copié noms, adresses, images de pièces d’identité, soldes et historiques de transactions. Coinbase a estimé le coût entre 180 et 400 millions de dollars (déclaration SEC, 14.05.2025).

3. Les risques réels

L’hameçonnage ciblé. Un fraudeur qui connaît votre nom, votre adresse et votre plateforme écrit des messages très crédibles. C’est exactement le risque que le canton de Vaud signale à ses élèves.

L’extorsion physique. Les spécialistes parlent de « wrench attacks » : on ne pirate pas la clé, on menace son détenteur. La France a recensé 77 enlèvements, extorsions ou tentatives liés aux cryptomonnaies au premier semestre 2026, contre 45 sur toute l’année 2025. La société CertiK cite parmi les causes l’exhibition, l’auto-divulgation et l’exposition due aux fuites de données (Cointelegraph, 2026).

Il ne s’agit pas de céder à la paranoïa. La grande majorité des détenteurs n’est jamais visée. Mais le risque se réduit surtout en amont, en limitant ce qui existe sur vous.

4. Les alternatives, dans le cadre légal suisse

En Suisse, un intermédiaire financier doit identifier son client lorsqu’une transaction en monnaie virtuelle, ou plusieurs transactions liées, atteignent 1000 francs, hors relation d’affaires durable. Pour les paiements en espèces, il doit empêcher par des mesures techniques que ce seuil soit dépassé par des transactions liées sur 30 jours (art. 51a OBA-FINMA ; FINMA, 02.11.2022). Ces seuils sont la loi, pas un défi : fractionner volontairement pour les contourner n’est ni légal ni conseillé.

• Distributeurs de bitcoins. Sous le seuil légal, l’identification n’est pas obligatoire, mais certains exploitants demandent une pièce d’identité à chaque transaction (bitcoin-kaufenschweiz.ch, état au 27.10.2026). Renseignez-vous avant.
• Échange de pair à pair. Bisq, RoboSats ou HodlHodl mettent en relation acheteurs et vendeurs sans base KYC centrale. Les obligations fiscales et légales restent les mêmes, et le risque de contrepartie est le vôtre.
• Applications suisses à KYC limité. Certaines applications d’épargne régulière en bitcoin appliquent une vérification allégée pour de petits montants, dans le cadre de leur organisme d’autorégulation. Lisez leurs conditions.

5. Les bonnes habitudes

• Minimiser. Ne donnez que ce qui est exigé. Une adresse e-mail dédiée par service, pas de numéro de téléphone si ce n’est pas obligatoire.
• Garder soi-même. Retirez vers votre propre portefeuille (voir comment choisir un portefeuille open source). Une base volée ne contient alors qu’un historique, pas vos fonds.
• Se taire. Pas de captures d’écran de solde, pas de montants sur les réseaux, pas d’autocollant sur la boîte aux lettres. La discrétion reste la meilleure sécurité physique.
• Douter des messages. Aucune plateforme ne vous demandera votre phrase de récupération. Jamais.

En résumé

Dans le canton de Vaud, des noms et des e-mails. Ailleurs, des passeports et des soldes. La différence entre une fuite gênante et une fuite dangereuse tient à ce que la base contient. La seule donnée qui ne peut pas fuiter est celle qui n’a jamais été collectée.