L’essentiel en bref
Pas de mots de passe ni de RIB cette fois, mais l’annuaire interne d’un des plus grands employeurs publics : noms, fonctions, sites d’affectation et plus de 100 000 numéros de téléphone. Le point d’entrée présumé, un compte Microsoft d’employé, est le maillon que la CNIL reprochait déjà à France Travail en janvier.
Pour une direction informatique, l’incident rappelle qu’un seul compte de messagerie suffit à exporter un annuaire entier si rien ne surveille les volumes. Un audit de sécurité et un test d’intrusion centré sur les identités cloud permet de vérifier ce scénario chez soi. Nous avons suivi des schémas comparables, du compte professionnel détourné chez Bloctel au rapport de l’ANSSI sur le piratage de la DGFiP.
Que contient la base revendiquée ?
L’annonce a été publiée le mardi 6 octobre sur un forum fréquenté par des cybercriminels. Selon l’AFP, le fichier compte 62 848 enregistrements et 100 738 numéros de téléphone fixes et mobiles. Il associe noms, prénoms, adresses électroniques professionnelles, fonctions, lieux d’affectation et identifiants internes. L’agence de presse recense 25 entités territoriales ou organisationnelles, dont l’Île-de-France, la Bretagne, l’Occitanie, la Nouvelle-Aquitaine et l’Auvergne-Rhône-Alpes.
Clubic a examiné l’échantillon de 1 000 lignes fourni par le vendeur : 999 contiennent une adresse électronique, dont 971 en @francetravail.fr. Les autres renvoient à des partenaires du réseau, comme Cap emploi. Le site relève aussi des liens vers des photos de profil hébergées sur l’intranet de l’opérateur, ce qui suggère une extraction depuis un annuaire interne plutôt qu’un fichier de gestion des demandeurs d’emploi.
Aucune donnée bancaire ni aucun mot de passe ne figurerait dans le lot. France Travail indique de son côté qu’il « mène actuellement les vérifications nécessaires à la suite d’une revendication publiée sur le dark web ». Ni la date du vol ni sa réalité n’étaient confirmées au 8 octobre.
Comment l’attaquant serait-il entré ?
D’après l’AFP, l’intrusion serait passée par le compte Microsoft d’un employé. L’accès aurait été repéré et coupé « quelques jours après l’exfiltration des données ». Autrement dit, la détection a fonctionné, mais trop tard pour empêcher la copie.
Le scénario est classique dans les environnements Microsoft 365 : identifiants obtenus par hameçonnage ou par un logiciel voleur d’informations, puis lecture de l’annuaire de l’organisation, accessible par défaut à tout utilisateur authentifié. Aucun exploit sophistiqué n’est nécessaire. Ce que l’on ignore encore : si le compte était protégé par une authentification multifacteur et comment ses identifiants ont été obtenus.
Pourquoi France Travail reste-t-il une cible ?
L’opérateur concentre des données sur des dizaines de millions de personnes et des milliers d’agents et de partenaires qui y accèdent. En 2024, une intrusion a porté sur les données de 43 millions d’inscrits. Le 29 janvier 2026, la CNIL a prononcé une amende de 5 millions d’euros, assortie d’une astreinte. Next rapportait alors les manquements relevés : mots de passe trop faibles, absence d’authentification multifacteur, aucune alerte malgré l’extraction de 9 Go en une journée.
Les incidents se sont poursuivis. L’AFP rappelle qu’en juillet 2026, une attaque a touché environ 340 000 demandeurs d’emploi. L’opérateur avait déjà été mis en cause pour son algorithme de profilage des chômeurs : la question de la gouvernance des données y dépasse la seule sécurité technique.
Quels risques pour les agents et les usagers ?
Un annuaire nominatif avec fonctions et numéros directs est une matière première pour l’ingénierie sociale. Les attaquants peuvent viser les agents par hameçonnage ciblé, en se faisant passer pour un collègue, un service informatique ou un partenaire. Ils peuvent aussi contacter des demandeurs d’emploi en se présentant comme un vrai conseiller, nom et agence à l’appui, pour obtenir des coordonnées bancaires ou des documents d’identité.
Les entreprises partenaires du service public de l’emploi (organismes de formation, structures d’insertion, cabinets de recrutement) sont également exposées : un courriel crédible signé d’un agent réel ouvre plus facilement une conversation.
Quelles leçons pour les entreprises ?
Le cas France Travail se transpose à toute organisation sous Microsoft 365 ou un autre annuaire cloud :
- Authentification multifacteur partout : de préférence résistante à l’hameçonnage (clés FIDO2, passkeys), y compris pour les comptes de partenaires et de prestataires.
- Accès conditionnel : bloquer les connexions depuis des appareils non gérés ou des pays inhabituels, exiger une réauthentification pour les actions sensibles.
- Restreindre la lecture de l’annuaire : limiter ce que les comptes standards et les applications tierces peuvent énumérer.
- Alerter sur les volumes : un export de dizaines de milliers de contacts doit déclencher une alerte en minutes, pas en jours.
- Conserver et analyser les journaux : journaux de connexion et d’audit cloud centralisés, avec une durée de rétention suffisante pour l’enquête.
- Préparer l’après-fuite : message aux équipes et aux clients sur les tentatives d’usurpation, procédure de notification à la CNIL sous 72 heures.
Questions fréquentes
Quelles données d’agents France Travail auraient été volées ?
Selon l’AFP et Clubic, le fichier revendiqué compte 62 848 lignes : noms et prénoms, adresses électroniques professionnelles, plus de 100 000 numéros de téléphone fixes et mobiles, fonctions, type de structure, région et site d’affectation, ainsi que des identifiants internes. Aucune donnée bancaire ni aucun mot de passe ne figurerait dans le lot.
Les demandeurs d’emploi sont-ils concernés ?
Pas directement. Dans l’échantillon de 1 000 lignes analysé par Clubic, 971 adresses se terminent par @francetravail.fr ; les autres appartiennent à des partenaires du réseau, comme Cap emploi. Le risque indirect existe toutefois : ces données facilitent l’usurpation de l’identité d’un conseiller auprès des usagers.
Comment l’intrusion aurait-elle eu lieu ?
D’après l’AFP, l’attaquant serait passé par le compte Microsoft d’un employé. L’accès aurait été détecté et bloqué quelques jours après l’exfiltration des données. France Travail indique mener les vérifications nécessaires et n’a pas confirmé la matérialité du vol à ce stade.
Est-ce la première fuite chez France Travail ?
Non. En 2024, une intrusion a concerné jusqu’à 43 millions de personnes inscrites. Le 29 janvier 2026, la CNIL a infligé 5 millions d’euros d’amende à l’opérateur, en pointant notamment l’absence d’authentification multifacteur. En juillet 2026, un autre incident a touché environ 340 000 demandeurs d’emploi.
Quelles mesures une entreprise doit-elle en tirer ?
Protéger chaque compte de messagerie et d’annuaire par une authentification multifacteur résistante à l’hameçonnage, restreindre l’accès à l’annuaire interne, alerter sur les exports massifs de contacts, journaliser les connexions cloud et préparer les équipes aux appels et courriels d’usurpation qui suivent ce type de fuite.
Sources
AFP, reprise par Sud Ouest — France Travail de nouveau visé par un piratage de données, plus de 100 000 numéros de téléphone concernés (8 octobre 2026)
Clubic — Cyberattaque : France Travail victime d’une nouvelle fuite de données (8 octobre 2026)
Next — France Travail écope de 5 millions d’euros d’amende pour sa gigantesque fuite de données (29 janvier 2026)