France Travail a été condamnée à une amende de cinq millions d’euros, selon Franceinfo, en conséquence de sa gestion d’un piratage qui l’avait ciblé en mars 2024. À la suite de cette attaque, les données de 36 millions de personnes avaient été exfiltrées, notamment des noms, prénoms, identifiants et numéros de Sécurité sociale. Toutes ces données avaient été obtenues via l’usurpation de comptes de conseillers Cap Emploi. Heureusement, les mots de passe et les coordonnées bancaires des utilisateurs n’avaient pas été concernés par cette attaque.
Pour la Commission nationale de l’informatique et des libertés (Cnil), qui a condamné France Travail, l’institution n’a pas mis en place des protections efficaces et «à la hauteur du risque» pour les données des demandeurs d'emploi. Elle exige donc que l’établissement durcisse la sécurité de ses dispositifs, et ceux des agents de Cap Emploi. La double authentification et l’obligation de mots de passe sécurisés ont été mises en place pour pouvoir accéder à son compte professionnel. Elle a également ordonné un meilleur suivi des activités informatiques pour détecter plus rapidement des activités anormales.
Des failles de sécurité liées à l’ingénierie sociale
Selon la Cnil, cette faille de sécurité est en grande partie liée à des techniques dites «d’ingénierie sociale», pour exploiter la confiance d’agents. Les auteurs de la cyberattaque auraient donc d’abord récupéré des données nécessaires à la réinitialisation du mot de passe d’un compte de conseiller Cap Emploi, puis procédé à la réinitialisation des comptes en se faisant passer pour des employés de l’agence. Ils ont ensuite contacté des conseillers dont les comptes avaient été cyberattaqués en se faisant passer pour le support informatique, afin de leur communiquer leur nouveau mot de passe. Ils ont ainsi pu accéder à une très large base de données qui contenait des données sensibles sur les demandeurs d’emploi.
De son côté, France Travail affirme reconnaître sa responsabilité mais aussi la gravité des faits, et a assuré «prendre acte» de la sanction, qu’elle qualifie toutefois de «sévère». Selon l’institution, elle aurait déjà mis en place des mesures correctives depuis deux ans, notamment une meilleure formation des agents, qui comprend des modules de cybersécurité obligatoires et périodiques, tous les six mois.
