Une arnaque redoutable cible en ce moment les recruteurs qui passent par France Travail Pro, qui reçoivent un e-mail authentique, avec un CV en pièce jointe qui contient un piège à mots de passe.
Une vague de phishing frappe en ce moment les entreprises qui recrutent via France Travail Pro, et vous allez voir que le stratagème des pirates est assez imparable. L'arnaque prend la forme d'une candidature reçue depuis le canal pro officiel de France Travail, avec un CV en pièce jointe, ce qui est normal ici. Sauf que ce CV cache en réalité une fausse page de connexion, qui redirige vers un formulaire Google dans lequel est réclamé sans détour le mot de passe de l'espace recruteur. À la clé, l'escroc obtient un accès direct à toutes les données personnelles des candidats, et une porte grande ouverte vers d'autres entreprises.
Un CV piégé menace les recruteurs sur la plateforme France Travail
Dans le détail, cette attaque par la chaîne de confiance consiste pour un cybercriminel à se faire passer pour un candidat. Il postule normalement à une offre d'emploi. France Travail joue son rôle d'intermédiaire habituel et transmet la candidature à l'employeur, avec CV en pièce jointe, exactement comme la plateforme le fait des milliers de fois par jour. Il n'y a rien d'inhabituel, donc rien qui puisse déclencher la moindre alarme. C'est évidemment ce qui rend l'arnaque redoutable. Plutôt que d'attaquer directement sa cible, le pirate détourne un intermédiaire de confiance pour se faire ouvrir la porte sans éveiller le moindre soupçon.
Le piège se déclenche dès l'ouverture du document. Au lieu d'un CV classique, la victime tombe sur une page conçue pour ressembler à s'y méprendre à l'espace « Connexion entreprise » de France Travail, logo et mise en forme inclus. Le message qui l'accompagne joue sur l'urgence, avec une prétendue mise à jour des conditions générales, à valider sans attendre pour continuer à recevoir les CV des candidats. La pression psychologique est courante dans ce cas-là et elle pousse à cliquer avant de réfléchir. « Le mail était vrai. La pièce jointe, non », résume le hacker éthique Ludovic Laborde, consultant en cybersécurité, qui a documenté l'attaque sur LinkedIn, et que nous avons contacté.
En cliquant sur le bouton, la victime atterrit sur un formulaire Google Form qui lui demande le nom de sa société, son adresse e-mail, et son mot de passe. Le choix du PDF est logique pour Ludovic Laborde, puisque celui-ci ne contient aucun script malveillant, juste un lien de redirection vers un formulaire et un service que beaucoup utilisent au quotidien. Résultat, le lien passe sous les radars des antivirus et filtres de sécurité. Le hacker éthique explique à Clubic avoir tout de même soumis le document à VirusTotal, outil qui teste un fichier auprès de dizaines de moteurs antivirus. Seuls deux d'entre eux ont identifié le document comme du phishing.
Des centaines de victimes potentielles derrière une simple usurpation
L'ampleur de la campagne malveillante, détectée ce 16 septembre 2026 par Ludovic Laborde, a de quoi inquiéter, car elle touche des pans entiers de l'économie, notamment les secteurs qui recrutent en continu comme le transport ou l'hôtellerie. Pour les attaquants, c'est forcément une aubaine, puisque plus les embauches s'enchaînent, plus les recruteurs ouvrent de CV dans l'urgence, sans prendre le temps de vérifier chaque pièce jointe. C'est d'ailleurs un signalement client qui a mis Ludovic Laborde sur la piste de cette arnaque. Il nous dit qu'une entreprise avait été contactée par France Travail, officiellement au sujet d'un « problème de publication » sur son compte, avant d'apprendre qu'elle était en réalité visée par une cyberattaque en cours. Les équipes de France Travail traiteraient déjà le dossier en interne, mais pour l'instant, il n'y a pas eu de communication publique à ce sujet.
Une fois le mot de passe volé, le pirate informatique se connecte à l'espace recruteur de l'entreprise piégée, comme s'il en était le titulaire légitime. Là, il met la main sur l'ensemble des CV et données personnelles des candidats déjà reçus. Mais surtout, il peut publier de nouvelles offres d'emploi bidon depuis ce compte usurpé, offres qui paraîtront parfaitement crédibles puisqu'elles émanent d'une entreprise réelle et vérifiée. Ces fausses annonces serviront à leur tour à piéger d'autres candidats, puis d'autres recruteurs chez d'autres employeurs. Une simple usurpation de compte se transforme ainsi en attaque en chaîne, capable de toucher des centaines de victimes à partir d'un seul point d'entrée.
Pour Ludovic Laborde, la faille de fond se situe surtout du côté de la plateforme elle-même. Aucun contrôle ne semble filtrer le contenu des pièces jointes envoyées via les candidatures, alors que c'est justement par là que le piège s'infiltre. Il imagine une piste de défense basée sur l'intelligence artificielle, par exemple un outil capable de scanner chaque CV reçu, d'y repérer des structures ou des formulations suspectes, un peu comme un antivirus détecte un fichier malveillant, mais appliqué au contenu du document lui-même. En théorie, France Travail propose la double authentification (MFA). Pourtant, Ludovic Laborde affirme que le compte a été usurpé sans double MFA.
En attendant une éventuelle réponse technique de la plateforme, la meilleure protection reste la vigilance de chacun, comme pour n'importe quel phishing. Un CV, ça se lit : s'il vous demande à la place de « vous connecter » ou de « confirmer votre espace », ce n'est plus un CV, mais un leurre. La même logique s'applique au mot de passe. Aucun service sérieux ne vous le réclamera jamais via un simple formulaire en ligne, quel que soit le prétexte invoqué. Le bon réflexe, en cas de doute, reste d'ignorer le lien reçu par e-mail et de taper soi-même l'adresse du site concerné dans son navigateur, surtout quand le message cherche à précipiter le clic en jouant sur l'urgence. « La méfiance n'est pas de la paranoïa. C'est de l'hygiène », résume à juste titre le hacker éthique dans son message de sensibilisation.
