Nouvelle fuite de données chez France Travail, 1,6 million de comptes concernés
Bis repetita placent
France Travail a indiqué lundi 1ᵉʳ décembre avoir été victime d'un acte de cyber malveillance ayant entraîné une fuite de données personnelles. En l'occurrence, ce sont les informations relatives à environ 1,6 million de jeunes suivis par le réseau des Missions Locales (antennes dédiées à l'insertion faisant partie du service public de l'emploi) qui sont concernées, soit parce qu'ils étaient inscrits à France Travail, soit parce qu'ils s'étaient vu prescrire une formation via l'outil Ouiform opéré par France Travail.
1,6 million de comptes de jeunes inscrits à la mission locale
Le jeu de données exfiltrées comprend des informations complètes d'état civil : nom et prénom, date de naissance, numéro de sécurité sociale, identifiant France Travail, adresses mail et postale et numéros de téléphone, indiquent France Travail et le réseau des Missions Locales dans un communiqué commun. « Aucun mot de passe ni aucune coordonnée bancaire n’ont été extraits », ajoutent les deux organismes.
D'après les premières investigations, c'est par l'intermédiaire du compte d'un agent d'une mission locale que l'intrusion aurait été réalisée. En tant que responsable gestion de compte (RGC), ce dernier était en mesure de traiter les demandes d'habilitation de ses collègues (et donc d'autres comptes utilisateurs) au système d'information partagé mis en place par France Travail pour faciliter la collaboration avec des organismes tiers.
« En utilisant les droits du compte compromis, l’attaquant a pu créer deux nouveaux comptes via le service ProConnect, donnant ensuite l’accès aux outils métier permettant la consultation des dossiers des jeunes accompagnés », décrit France Travail, qui affirme que les trois comptes concernés ont été suspendus, et assure faire son maximum pour concilier ouverture et protection des données personnelles.
Ouverture contre sécurité
« Avec l’ouverture de son système d’information aux partenaires dans le cadre de la loi pour le plein emploi, France Travail avait déjà mis en place la double authentification systématique de tous les collaborateurs de ses partenaires et rendu obligatoire une formation pour tous les RGC. L'accès au SI de France Travail est en outre conditionné à la réussite d'une évaluation à l'issue de cette formation. France Travail va désormais aller plus loin en mettant en place une sensibilisation obligatoire à renouveler tous les 6 mois pour tous les collaborateurs de nos partenaires qui conditionnera leur accès au système d’information. »
France Travail affirme par ailleurs collaborer avec la Direction interministérielle du numérique (Dinum) « pour renforcer l’identification via Proconnect et l’enrôlement des comptes de tiers par le SI France Travail ». En attendant, la prudence est donc de mise pour les jeunes en recherche d'emploi passés par la mission locale la plus proche de chez eux : le périmètre des données exposées autorise en effet des scénarios avancés de phishing ou d'usurpation d'identité.
Quatrième vol de données en deux ans
Ce nouvel incident ne redorera pas le blason d'un service public de l'emploi déjà largement terni en matière de fuites de données. Rappelons que le service dédié aux demandeurs d'emploi a été victime, début 2024, d'une fuite de données massive qui avait conduit à l'exposition des informations relatives à quelque 43 millions d'inscrits. La portée réelle de l'intrusion avait toutefois été relativisée par la suite.
Depuis, France Travail a dû communiquer sur une fuite affectant 340 000 dossiers en juillet, survenue par l'intermédiaire d'un portail dédié à ses partenaires, puis sur un nouvel incident fin octobre, qui pourrait concerner jusqu'à 31 000 personnes.
Commentaires (33)
Abonnez-vous pour prendre part au débat
Déjà abonné ? Se connecter
Cet article est en accès libre, mais il est le fruit du travail d'une rédaction qui ne travaille que pour ses lecteurs, sur un média sans pub et sans tracker. Soutenez le journalisme tech de qualité en vous abonnant.
Accédez en illimité aux articles
Profitez d’un média expert et unique
Intégrez la communauté et prenez part aux débats
Partagez des articles premium à vos contacts
Abonnez-vousLe 01/12/2025 à 20h39
Le best-of du 31 décembre sera bien différent cette année, s'il faut compter le nombre d'incidents similaires
Modifié le 04/12/2025 à 11h19
Le 04/12/2025 à 11h29
Le 01/12/2025 à 20h40
Le 01/12/2025 à 20h42
Faut croire que non, puisque ça semble être déjà le cas 😭
Le 01/12/2025 à 20h51
Parce que là, visiblement, on était dans les bonnes pratiques pour des profils à privilèges.
On pourrait évoquer les timeout de session et j'en passe, mais là on tombe dans le très difficile dosage entre la sécurité et la dégradation de l'expérience utilisateur. Si c'est pour se reconnecter toutes les 10 minutes et perdre son travail à chaque fois, autant dire que ça n'ira pas.
Le 02/12/2025 à 08h34
La segmentation des accès à une zone bien plus réduite aurait été appréciable pour une mission LOCALE.
Y'a des mesures annexes qui auraient dues être prises et ne l'ont pas été pour aider à prévenir ce genre de choses.
Modifié le 02/12/2025 à 13h42
Pour résumer, non seulement ils n’ont pas supprimé mon compte (ils ont l’obligation de conserver les données pendant 20 ans, mais laisser le compte actif est autre chose, je crois qu’ils ne connaissent pas le principe d’archivage), mais en plus ils ont modifié l’adresse mail de mon compte pour en mettre un qui se termine par rouen.fr (je n’ai rien à voir avec la ville de Rouen).
Le 02/12/2025 à 14h02
Le 02/12/2025 à 16h16
La sécurité est une question de culture d'entreprise autant qu'une question technique ou de bonnes pratiques.
Si tout le monde à accès à tout, et que chaque fois que c'est interrogé (par ex. après une fuite) il y a quelqu'un pour expliquer que c'est normal et ne doit surtout pas changer, c'est un problème de culture de la sécurité.
La réponse "France Travail va désormais aller plus loin en mettant en place une sensibilisation obligatoire à renouveler tous les 6 mois pour tous les collaborateurs de nos partenaires" indique qu'ils n'ont pas du tout pris la mesure du problème et qu'il y a bien un problème culturel majeur dans cette organisation.
Modifié le 02/12/2025 à 19h56
Le fait qu'un tel profil à privilège soit derrière MFA est une bonne pratique de sécurité quoi qu'on en dise. Le fond reste à savoir comment il a pu être compromis (d'où mon hypothèse du poste laissé à l'abandon avec session ouverte, un grand classique)
Par contre, s'il est capable de créer et d'attribuer des droits à d'autres (ce qui est sa finalité, toujours de ma compréhension de l'article), c'est peut-être ce panel de droits possibles et attribuables qui est en cause et qui auraient permis cette extraction massive.
Le 01/12/2025 à 21h14
Modifié le 01/12/2025 à 21h17
Le 02/12/2025 à 00h24
Modifié le 02/12/2025 à 09h53
J'ajouterais que le sms ou le mail comme système de double-authentification est trop faiblement sécurisé. C'est déjà mieux que rien.
Le 02/12/2025 à 12h20
Le 02/12/2025 à 19h17
Modifié le 02/12/2025 à 20h38
Et de toute façon le SMS n'est pas possible car tout le monde n'a pas de téléphone portable. Reste que le mail qui est déjà obligatoire pour créer le compte, immédiat à créer si on n'en a pas, et totalement gratuit.
Le 01/12/2025 à 22h51
Je veux dire : il serait possible de limiter le nombre de "fiches personnelles" disponibles sur un temps donné (genre pas plus de 10 par jour) : ça réduirait vachement les risques...
Le 02/12/2025 à 07h40
L'exfiltration de données peut se réaliser sur la durée. Extraire en masse c'est ce qui fait paniquer un SOC un principe (quand il y en a un et que la chaîne d'audit est présente, bien entendu).
Après, il est difficile de limiter le nombre maximum de fiches autorisées à traiter. Il se passe quoi si l'agent est bloqué avec une file d'attente qui s'impatiente ? Il doit téléphoner au support pour demander une extension de droits ? Qu'est-ce qui dit que ce n'est pas un appel frauduleux ?
On en revient à ce que je disais en #4 : doser la sécurité et la dégradation du geste métier.
Pour avoir bossé pour l'IT de l'Assedic, j'ai eu l'occasion de voir les risques encourus par les agents sur site quand j'y intervenais, lorsqu'un type débarque en furie et gueule parce qu'il a pas touché ses allocs et que la nana est toute seule à l'accueil. Ce genre de problématique ne se résout pas de manière simple. Un parallèle non technique : je te laisse imaginer les engueulades que tu peux voir entre le juridique et le métier dans d'autres domaines où l'un veut respecter la loi et l'autre veut faire du business.
Le 02/12/2025 à 08h39
Tu limites au max au département, les gens qui vont en mission locale, c'est pas pour aller à trifouilli la galette pour bosser.
Et l'article parle de 2 comptes frauduleux et non 3, et d'un compte légitime vérolé celui qui a servi à créer les deux autres, ça fait 3 comptes suspendus, le compte est bon ;)
Le 02/12/2025 à 10h13
Et là, je pars du principe que chaque compte à le droit de voir 100 fiches par jour et 7j/7.
Donc en fait, il n'ont pas de limite, apparemment.
Le 02/12/2025 à 10h33
Le 02/12/2025 à 12h00
Le 02/12/2025 à 07h15
Sérieux?
Bon ben à dans 5 mois pour la 5e.
Le 02/12/2025 à 08h43
Exemple équivalent, tu ouvre un compte bancaire avec une carte, le code est strictement personnel.
Ton gamin voit le code quand tu fais les courses, il tire 50 balles au distributeur avec ta carte, le défaut confidentialité il est où ? Ta banque n'est pas responsable, elle t'as donné les outils et les règles pour protéger ton argent, t'as pas fait le taf.
Là c'est pareil, France Travail c'est la banque, le gestionnaire de compte c'est toi, les petits malins sont ceux qui ont pu créer des comptes frauduleux et récupérer les données (le distributeur et les billets).
Modifié le 02/12/2025 à 09h46
Faut pas pousser. Ils doivent contrôler ce qui se passe. La gestion de la sous-traitance, c'est pas pour les chiens. La gestion des accès non plus. Exfiltrer des données ne devrait plus être possible, encore moins vu le passif.
Sinon, c'est bon, on continue avec une fuite majeure tous les 6 mois et on dit juste "ah ben c'est pas de chance dis donc. On va faire une réunion interministérielle pour en discuter parce que houlala, pfiou..."
Là, leur "sensibilisation 1 fois tous les 6 mois", c'est pas ce que j'appelle avoir pris la mesure du problème. Déjà 1. de la sensibilisation digne de ce nom, c'est pas des one shots éparpillés dans le temps, et 2. c'est tout? Vraiment? Genre on sensibilise et tout est réglé y aura plus jamais de fuite?
À quoi bon se casser le cul à essayer de faire les choses correctement dans mon boulot si l'approche de FT est suffisante? Y a qu'à prendre ça par dessus la jambe et tout ira mieux...
Ce serait la 1e fois, ça ferait chier comme pour tous les autres qu'on a à longueur de temps. Mais bon...
Là, chez FT, c'est non-stop!
Et ils sont manifestement beaucoup plus forts pour trouver des excuses que des solutions.
Je sais pas moi, vous imaginez la même chose avec Interpol par exemple? "Ah ben ils y peuvent rien, vous voyez, c'est comme la banque et votre gamin..." Genre, juste, non! Et de fait ça n'arrive pas. Et si ça arrivait, il est inimaginable que ça se reproduise, 4 FOIS EN 2 ANS!
Le 02/12/2025 à 13h49
Je ne dis pas non plus que France Travail est 100% innocent, mais en revanche, le suivi des règles par un utilisateur n'est pas de sa responsabilité mais de celle de l'utilisateur ayant un compte à privilèges.
L'utilisateur n'est pas un employé FT mais "ML" (Mission Locale), soit une structure semi-indépendante.
En gros c'est Utilisateur MS FT et non Utilisateur FT comme tu l'entends.
La comparaison avec le secteur bancaire était voulue, le client signe un contrat avec sa banque pour la remise d'une carte, comme la MS à signé un contrat de service avec FT.
L'enfant dans mon exemple à un contrat moral avec le parent, l'utilisateur avait un contrat de travail avec la MS.
FT est responsable de mettre en place les règles pour que ça se passe bien, en revanche, l'usage abusif et le non respect des règles de sécurité est de la responsabilité de l'utilisateur et de la MS.
Modifié le 02/12/2025 à 10h00
Le 02/12/2025 à 09h37
Le 02/12/2025 à 09h42
Le 02/12/2025 à 14h32
Le 02/12/2025 à 14h47
Signaler un commentaire
Voulez-vous vraiment signaler ce commentaire ?