1,7 million de personnes sont potentiellement concernées par la cyberattaque de l'Afpa. L'organisme a indiqué avoir repéré une possible extraction de données, liée à une faille sur l'outil de gestion des hébergements d'un éditeur tiers.
C'est une rentrée plutôt morose pour l'Afpa, l'Agence nationale pour la formation des adultes. Après avoir annoncé plan social de 800 personnes, elle confirme une intrusion de deux pirates qui ont revendiqué chacun un fichier.
xMetah a d'abord mis en vente 971 420 enregistrements, puis Cybernox a revendiqué 1 732 811 lignes. Ce second fichier est presque deux fois plus volumineux que le premier, et aucun élément public n'indique s'ils se recoupent. L'Afpa n'a pas nommé l'éditeur de l'outil, et les sites spécialisés listent davantage de données que l'organisme.
Des données de l'Afpa revendiquées par deux pirates
Selon l'Afpa, l'application piratée contenait l'identité et l'adresse des personnes, avec éventuellement leur numéro de téléphone, mais « a priori » aucune donnée bancaire ni aucun numéro de Sécurité sociale. D'après Cyberattaque.org, les fichiers revendiqués comportent en plus la date de naissance complète de chaque personne, un identifiant interne et des informations liées à un partenaire de l'Afpa. FrenchBreaches ajoute les adresses e-mail et les nationalités, et indique que les données concernent les années 2006 à 2026. Des personnes formées il y a près de vingt ans peuvent donc être touchées, mais on ne sait pas ce qui explique cet écart entre les deux sources.
Le nombre exact de personnes distinctes n'est pas connu non plus, car des lignes en double sont possibles et l'Afpa n'a pas établi si les deux jeux de données ont été extraits d'un environnement unique. En août, près de 700 000 personnes ont vu leurs données compromises dans le piratage du fisc, et le volume potentiel de l'Afpa est plus de deux fois supérieur.
Le 7 août, les identifiants de 101 comptes de la plateforme AFPABox ont par ailleurs été diffusés sur un forum cybercriminel, mais là encore, on ignore s'il y a une lien avec l'intrusion dont nous parlons aujourd'hui.
L'outil de gestion des hébergements de l'Afpa en cause
Pierre Prady est directeur adjoint de l'Afpa. Il a expliqué à l'AFP, d'après franceinfo, que deux hackers ont revendiqué mercredi et jeudi la récupération de données personnelles de l'organisme, puis que l'Afpa a pu remarquer, après de premières investigations, une « potentielle extraction de données » liée à une faille sur son outil de gestion des hébergements. Cet outil « est hébergé chez un éditeur tiers et est externe à notre système d'information, donc il n'y a pas eu a priori d'impact sur les services et systèmes d'information de l'Afpa », a-t-il ajouté. L'organisme n'a pas nommé l'éditeur. Sa formulation est prudente, puisque l'extraction est « potentielle » et que le lien avec la faille « serait » établi.
Cybernox évoque une vulnérabilité de l'outil, alors que l'Afpa n'a confirmé aucun scénario technique précis. Pour rappel, le RGPD impose à un responsable de traitement de notifier une violation de données à la CNIL dans un délai de 72 heures, sauf risque improbable pour les personnes concernées. Lorsque ce risque est élevé, il doit aussi informer directement les personnes. Dans les éléments communiqués jusqu'ici, l'Afpa ne mentionne ni notification à la CNIL ni plainte. La CNIL peut ensuite contrôler l'organisme. C'est d'ailleurs ce qu'elle a fait en janvier dernier en infligeant à France Travail une amende de 5 millions d'euros pour des mesures de sécurité insuffisantes après une fuite de 44,3 millions de dossiers.
Si vous êtes concernés, sachez que le risque que vous encourrez est d'être victime de phishing. Les pirates peuvent revendre ces informations à des personnes malveillantes. Méfiez-vous donc des numéros de téléphone et des adresses e-mail qui vous contactent.
Cyberattaque.org met en garde contre les faux appels et messages émis au nom de l'Afpa ou de France Travail, pour réclamer une mise à jour de dossier ou la confirmation d'une inscription. Vérifiez l'adresse de l'expéditeur et connectez-vous directement au site officiel, sans cliquer sur le lien reçu.
L'organisme continue d'examiner « l'étendue des données et des personnes concernées pour ensuite les prévenir », a précisé Pierre Prady.
