CybersécuritéExplication
Fuite de 2024 : France Travail en règle, la CNIL renonce à l’astreinte
La CNIL juge que France Travail a pris à temps les mesures de sécurité exigées après la fuite massive de 2024, et renonce à la pénalité de 5 000 euros par jour. Les données volées, elles, circulent toujours.
France Travail n’aura pas à payer l’astreinte de 5 000 euros par jour de retard dont la CNIL avait assorti, en janvier, ses injonctions de sécurité. Dans une délibération du 23 septembre, publiée le 8 octobre, sa formation restreinte, l’organe de la Commission chargé des sanctions, décide de ne pas « liquider l’astreinte », c’est-à-dire de ne pas exiger cette pénalité, et clôt l’injonction : l’opérateur public a, explique la CNIL, « justifié s’être mis en conformité » dans les délais. L’amende de 5 millions d’euros prononcée le 22 janvier n’est pas concernée par cette décision.
Un piratage par le support informatique
Entre le 6 février et le 5 mars 2024, des attaquants ont pris le contrôle de comptes de conseillers Cap emploi, le réseau qui accompagne les demandeurs d’emploi handicapés. Environ 2 300 de ses salariés accédaient à distance à MAP, l’application métier de France Travail. Selon la délibération de janvier, les pirates se sont fait passer pour ces salariés auprès du support informatique afin d’obtenir des mots de passe réinitialisés. Ils ont extrait 25 gigaoctets de données concernant 36 820 828 personnes (France Travail avait d’abord évoqué jusqu’à 43 millions, rappelait Next) : noms, dates de naissance, numéros de sécurité sociale, adresses, téléphones, courriels. Les dossiers complets, qui peuvent contenir des données de santé, n’ont pas été atteints.
La CNIL a relevé un compte verrouillé seulement après « 50 tentatives infructueuses », un « seuil bien supérieur aux 10 tentatives maximales » qu’elle recommande, l’absence d’authentification multifacteur (une seconde preuve d’identité, comme un code reçu sur un téléphone, en plus du mot de passe), des journaux d’activité (le registre des connexions et consultations) sans dispositif efficace pour les analyser, et des accès trop larges.
Ce qui a changé pour les conseillers
L’organisme a transmis ses justificatifs les 25 février et 31 mars, complétés le 17 juillet. La délibération de septembre détaille : moins de tentatives avant verrouillage, double authentification pour les comptes Cap emploi, un outil de surveillance « reposant sur des technologies d’apprentissage » qui ajuste en continu ses seuils d’alerte. Surtout, les conseillers Cap emploi « n’ont plus accès au NIR », le numéro de sécurité sociale, ni aux personnes situées hors de leur zone géographique.
Pour les inscrits, les données volées restent en circulation
Ces verrous ne rappellent pas les données déjà volées. En août, une enquête de franceinfo citait France Travail parmi les piratages qui alimentent les « lookups », ces annuaires illégaux bâtis sur des fichiers dérobés. Le risque, pour les personnes concernées, reste celui de messages frauduleux crédibles parce qu’ils citent leurs vraies données (nos conseils après une fuite).
L’injonction visait les seuls comptes Cap emploi, alors que d’autres partenaires ont servi de porte d’entrée. En juillet 2025, un compte d’organisme de formation, compromis par un logiciel qui aspire les identifiants, a exposé 340 000 demandeurs d’emploi (Next). En décembre 2025, le piratage du compte d’un agent de mission locale a rendu les données d’environ 1,6 million de jeunes « susceptibles d’être divulguées », selon un communiqué de France Travail et des missions locales rapporté par la Banque des Territoires. Et le 8 octobre, Clubic relayait la revendication, non confirmée par France Travail, du vol d’une base de 62 848 lignes sur ses agents et partenaires.
La CNIL a donc constaté que quatre failles précises étaient comblées, sur les comptes par lesquels était passé le piratage de 2024. Les deux autres portes d’entrée connues, organismes de formation et missions locales, n’entraient pas dans le champ de cette injonction.
