En mai 2026, des pirates ont volé puis effacé les galeries de Portraitbox, utilisées par des photographes de garderies et d’écoles allemandes et suisses.
La journée photo, tout le monde l’aime. Les enfants se mettent sur leur trente-six, le photographe installe son fond et ses parapluies dans la salle de motricité, et quelques semaines plus tard, les parents reçoivent un code pour voir la galerie et commander leurs tirages. Ce que peu de gens se demandent, c’est où dorment ces photos entre la séance et la commande.
En Allemagne et en Suisse, des milliers de familles ont eu la réponse en mai 2026. Les galeries de quelque 2 000 studios et photographes, dont des photographes de Kitas (l’équivalent allemand de nos garderies) et d’écoles primaires, étaient hébergées par un même fournisseur technique, Portraitbox GmbH, établi à Paderborn. Des pirates y sont entrés, ont téléchargé les photos et les données des clients, puis ont tout effacé en menaçant de publier.
Ce qui s’est passé
- Fin de semaine des 16 et 17 mai 2026 : des attaquants obtiennent un accès aux comptes Amazon Web Services (AWS) de Portraitbox, téléchargent les photos et les données des clients qui y sont stockées, puis les suppriment. Ils menacent de publier les données (heise online, citant le portail juridique anwalt.de). Selon watson, l’accès s’est vraisemblablement fait au moyen d’une clé d’accès technique (clé API) volée ou compromise, qui donnait en quelque sorte un passe-partout à toute l’infrastructure.
- 20 mai 2026 : Portraitbox informe par courriel les studios photo, ses clients (heise online).
- 22 mai 2026 : heise online révèle l’affaire, constate que les galeries sont hors ligne et rappelle que, comme sous-traitant, Portraitbox n’a pas à aviser lui-même les familles : ce sont les photographes, responsables du traitement, qui doivent déclarer l’incident à leur autorité de protection des données et informer les personnes photographiées.
- 25 et 26 mai 2026 : selon l’agence dpa (reprise par IT-Daily puis CIO), le parquet de Cologne, par sa cellule spécialisée en cybercriminalité, ouvre une enquête contre inconnu. Le radiodiffuseur public NDR rapporte que des Kitas et des écoles de Basse-Saxe sont touchées.
- 27 mai 2026 : Schuelfoti GmbH, photographe scolaire suisse partenaire de Portraitbox, écrit aux enseignants et aux parents de ses écoles (watson).
- 29 mai 2026 : watson publie que le Préposé fédéral à la protection des données et à la transparence (PFPDT) a reçu des annonces de photographes suisses. Le quotidien Freie Presse rapporte que des photos de Kitas et d’écoles de Saxe font partie du lot.
- 2 juin 2026 : 20 Minuten donne la parole à des parents d’élèves de deux écoles primaires suisses.
Personne ne sait combien d’enfants sont touchés. Portraitbox compte environ 2 000 clients dans la photographie, selon heise online, qui fait ce calcul : si chaque studio n’avait photographié que 100 personnes, on arriverait déjà à 200 000. C’est une estimation du média, pas un décompte. Les sources consultées ne signalent aucune publication des photos.
Les données touchées
Selon la lettre de Schuelfoti citée par watson, les attaquants ont vraisemblablement eu accès à :
- des photos d’enfants et des photos de classe ;
- les noms des clients (parents, proches) ;
- les adresses courriel ;
- les adresses de livraison et de facturation ;
- les historiques de commandes ;
- les données d’accès (mots de passe) aux galeries en ligne protégées.
Selon watson, les données de paiement des parents, comme les cartes de crédit, ne seraient pas directement touchées, car elles sont généralement traitées par des prestataires de paiement externes.
Le point le plus délicat est le lien entre une photo et un nom. Schuelfoti affirme que les photos elles-mêmes ne contiennent aucune identification par nom et qu’un lien avec l’enfant n’est possible qu’« avec difficulté et uniquement en combinaison directe avec les données d’accès et de commande » (watson). L’organisme Kinderschutz Schweiz (Protection de l’enfance Suisse) estime au contraire que les images ont très probablement été classées sous le nom complet de l’enfant sur la plateforme (20 Minuten). Les deux positions se rejoignent sur un point : avec les données de commande, que les attaquants possèdent, le lien devient possible.
Ce qu’en disent les parents, les experts et les autorités
Le parent d’un élève d’une école primaire du canton d’Argovie a confié à 20 Minuten : « Es ist extrem beunruhigend » (« C’est extrêmement inquiétant », traduction libre). Ce parent craint que les données soient désormais disponibles en ligne pour toujours et s’inquiète d’usurpation d’identité, d’hameçonnage ciblé, de cyberintimidation et de faux profils ou contenus générés par l’intelligence artificielle. Il critique aussi la communication de l’école, qui se serait limitée à renvoyer les questions au studio photo. L’école répond qu’elle a transmis l’information aux parents dès réception de la lettre du photographe.
Un autre parent, dont l’enfant fréquente une école servie par un studio de Thurgovie, juge probable que des milliers de photos d’enfants se trouvent maintenant sur le « réseau illégal » (20 Minuten, traduction libre).
Kinderschutz Schweiz a expliqué à 20 Minuten que ces images peuvent être détournées à des fins de violence sexuelle, comme la sollicitation en ligne ou la sextorsion, ou partagées dans des cercles pédocriminels, et qu’une seule image suffit aujourd’hui pour fabriquer des contenus abusifs avec l’intelligence artificielle. Selon l’organisme, les auteurs connaissent désormais l’école et le nom complet de l’enfant, ce qui met en danger la protection de sa personnalité.
Du côté des autorités, le PFPDT a confirmé à watson qu’« un grand nombre de personnes en Suisse sont également touchées », que les photographes ont été invités à informer leurs clients et qu’il est en contact avec l’autorité allemande compétente pour Portraitbox. En Allemagne, le commissaire à la protection des données du Mecklembourg-Poméranie-Occidentale a déclaré que tout indiquait que des photos d’enfants pouvaient être touchées, et avoir reçu de 20 à 25 annonces d’incident en quelques heures (dpa, via CIO). Le parquet de Cologne a confirmé son enquête, à un stade très précoce.
Schuelfoti, enfin, écrit aux familles que la situation est « particulièrement frustrante » parce qu’il s’agit de données photographiques particulièrement sensibles concernant des enfants (watson). Portraitbox n’avait pas répondu aux questions de watson au moment de sa publication.
Ce que ça enseigne à un CPE québécois
Ce n’est pas la première fois. Nous avons déjà raconté comment des photos d’élèves ont été rançonnées chez le sous-traitant américain d’un photographe scolaire canadien. Portraitbox reproduit le même schéma, à plus grande échelle : le maillon faible n’est ni l’école ni le photographe, c’est le fournisseur du fournisseur. C’est aussi le fil conducteur de notre article sur les fournisseurs piratés qui deviennent votre problème.
La photo d’un enfant est un renseignement personnel. Elle permet de l’identifier, surtout accompagnée de son nom, de son groupe et du nom de son service de garde. La question du consentement, que nous avons traitée dans notre article sur le formulaire de consentement photo, n’est que la première étape. La deuxième, c’est le parcours de la photo après le clic.
Qui est responsable dépend de ce que vous transmettez. Si le CPE remet au photographe la liste des enfants, leurs groupes ou les courriels des parents, il lui communique des renseignements personnels pour l’exécution d’un contrat. La Loi sur la protection des renseignements personnels dans le secteur privé exige alors un contrat écrit qui précise les mesures de protection, interdit l’usage hors du mandat et la conservation après l’expiration du contrat, et oblige le photographe à aviser sans délai votre responsable de toute violation (art. 18.3). Si les renseignements sont stockés à l’extérieur du Québec, une évaluation des facteurs relatifs à la vie privée est requise avant de les communiquer (art. 17). Portraitbox était hébergé chez AWS : demandez où se trouve le nuage de votre photographe, et relisez notre article « Hébergé au Canada » ne suffit pas.
Le sous-traitant n’avise pas les familles ; votre photographe, peut-être pas non plus. En Europe, Portraitbox a prévenu les studios, et chaque studio devait prévenir ses clients. Une école suisse a appris l’incident par la lettre du photographe. Si votre contrat ne prévoit pas que le photographe vous avise, vous pourriez être les derniers informés, alors que les parents vous appelleront, vous.
Ce que ça change pour votre service de garde
- Signer un contrat écrit avec le photographe avant la prochaine journée photo. Il doit préciser les renseignements transmis, l’usage permis, les mesures de sécurité, la durée de conservation des galeries et l’obligation de vous aviser sans délai de tout incident, y compris chez ses propres fournisseurs (P-39.1, art. 18.3). Coût : une page ajoutée à l’entente existante.
- Demander le nom et l’emplacement de la plateforme de galeries. Quel fournisseur héberge les photos, dans quel pays, avec quel accès pour le photographe ? S’il s’agit d’un hébergement hors Québec, documentez l’évaluation exigée par l’article 17. Délai : avant de signer. Coût : nul.
- Transmettre le minimum. Le photographe a-t-il besoin du nom complet de l’enfant ? Un code de groupe et un numéro de fiche suffisent souvent pour trier les photos ; le parent ajoute le prénom à la commande s’il le souhaite. Coût : nul.
- Fixer une date d’expiration des galeries. Les galeries ne devraient pas rester en ligne des années après la séance. Exigez par écrit une suppression des galeries et des fichiers sources après la période de commande, par exemple 60 ou 90 jours, avec confirmation. Coût : nul.
- Exiger des codes d’accès individuels et non devinables. Un code par famille, envoyé au parent seulement, vaut mieux qu’un code par groupe affiché au babillard. Les données d’accès aux galeries faisaient partie du vol chez Portraitbox : demandez au photographe s’il peut désactiver et régénérer les codes en cas d’incident. Coût : nul.
- Prévoir la réponse aux parents. Ajoutez à votre procédure d’incident un scénario « fournisseur du photographe piraté » : qui contacte le photographe, qui inscrit l’incident au registre, qui évalue le risque de préjudice et qui avise les familles. Délai : 90 jours. Coût : une rencontre de travail.
Foire aux questions
Des CPE ou des garderies du Québec sont-ils touchés par l’attaque contre Portraitbox ?
Rien ne l’indique. Les sources consultées parlent de photographes, d’écoles et de Kitas en Allemagne et de photographes scolaires en Suisse. Le cas intéresse le Québec parce que nos journées photo reposent sur le même modèle de galeries en ligne.
Le photographe de la journée photo est-il un sous-traitant du CPE ?
Si le CPE lui transmet des renseignements personnels, comme la liste des enfants, pour exécuter un contrat, la loi exige un contrat écrit avec des mesures de protection et une obligation de vous aviser sans délai de toute violation (P-39.1, art. 18.3).
Combien de temps un photographe peut-il garder les photos des enfants ?
La loi ne fixe pas de durée précise pour les photos : le renseignement doit être détruit ou anonymisé une fois les fins accomplies (P-39.1, art. 23). Fixez une date de suppression des galeries dans le contrat.
Que faire si le photographe nous annonce que ses galeries ont été piratées ?
Inscrivez l’incident au registre, évaluez le risque de préjudice avec votre responsable de la protection des renseignements personnels et, s’il est sérieux, avisez avec diligence la Commission d’accès à l’information et les parents (P-39.1, art. 3.5 et 3.8).
Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].
Sources
- heise online, « Security incident at photo provider: Is Portraitbox being blackmailed? » (version anglaise), 22 mai 2026
- CIO (dépêche dpa), « Hacker knacken Fotodienst: Datenleck gefährdet Kinderfotos », 26 mai 2026
- watson, « Cybercrime : des milliers de photos d’enfants suisses dérobées », 29 mai 2026
- Freie Presse, « Zehntausende Kinderbilder von Plattform Portraitbox gestohlen », 29 mai 2026 (accès payant, chapeau consulté)
- 20 Minuten, « Kinderfotos gehackt: Was der Angriff auf Portraitbox für betroffene Familien bedeutet », 2 juin 2026
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 3.5, 3.8, 17, 18.3 et 23, LégisQuébec
À lire aussi
Fraude du président : des OBNL du Saguenay et un CIUSSS visés, un CPE a le même profil
3 octobre 2026 · 10 min de lecture
Segma, Xpayrience, CodeRED : quand le fournisseur piraté devient votre problème
8 septembre 2026 · 10 min de lecture