Hier, on apprenait que le site de France Travail (anciennement Pôle emploi) avait été l'objet d'une cyberattaque. On en sait un tout petit plus aujourd'hui sur l'ampleur de cette dernière.
Une attaque de grande envergure
Le piratage visait Pôle emploi et Cap emploi (pour rappel, il s'agit de l'organisme chargé d'accompagner les personnes en situation de handicap et leurs employeurs). Il a porté sur les données personnelles des demandeurs d'emplois, et ce, sur vingt ans, ce qui explique ce chiffre de 43 millions de victimes potentielles. L'attaque ne serait a priori pas en lien avec celle qui a ciblé plusieurs ministères depuis dimanche soir.
Cela concerne donc des données personnelles d’identification des personnes actuellement inscrites, des personnes précédemment inscrites au cours des 20 dernières années ainsi que des personnes non inscrites sur la liste des demandeurs d’emploi mais ayant un espace sur francetravail.fr.
Selon cybermalveillance.gouv.fr, le dispositif national d'aides aux victimes de cybermalveillance, l'attaque a eu lieu entre le 6 février et le 5 mars. Pour réaliser cette opération, les pirates auraient apparemment réussi à usurper l'identité de deux conseillers Cap emploi pour rentrer dans le système.
Quelles données sont concernées ?
La base de données visée ayant spécifiquement été identifiée, il s'agit des informations personnelles suivante : nom et prénom, date de naissance, numéro de sécurité sociale, identifiant France Travail, adresses mail et postales ainsi que les numéros de téléphone.
En revanche, les mots de passe et les coordonnées bancaires ne sont pas concernés par cet acte de cyber-malveillance. Il n’existe donc aucun risque sur l’indemnisation.
Quels risques à craindre ?
Dans ce cas de figures, il s'agit de la divulgation et de l'exploitation non consentie des données récupérées. En pratique, les mails et numéros de téléphone peuvent être utilisés pour des tentatives d’usurpation d’identité ou de hameçonnage, et ainsi récupérer des coordonnées bancaires. Certaines personnes pourraient ainsi recevoir un mail apparemment officiel (par exemple des impôts ou de la mairie de votre domicile) demandant de confirmer votre numéro de compte pour un prélèvement obligatoire.
Face à ces risques, on vous rappelle qu'aucun site officiel ne vous demandera par mail ou par texto, avec un lien direct de confirmer quoique ce soit, mais vous invitera à aller sur le site officiel pour lire un message, effectuer une opération.
Quelle suite juridique à donner ?
Compte tenu de l'ampleur de l'attaque, cette dernière a été notifiée à la Cnil. Une enquête préliminaire a d'ores et déjà été ouverte par le Parquet de Paris et a été confiée à la Brigade de Lutte Contre la Cybercriminalité de la Direction de la Police judiciaire de Paris. En application du RGP, France Travail a notifié la Cnil, mais également l’Agence nationale de sécurité des systèmes d’information (ANSSI). Pour celles et ceux qui le souhaitent, il est possible de porter plainte en ligne en suivant ce lien (cybermalveillance.gouv.fr)
