Cette fois, ce ne sont pas les demandeurs d’emploi mais les agents. Un pirate revendique le vol de près de 63 000 lignes de données internes à France Travail. C’est le dernier épisode d’une série qui court depuis trois ans.
Cette fois, ce sont les agents
L’annonce est tombée début octobre sur un forum spécialisé. Comme le rapporte FrenchBreaches, un pirate se présentant sous le pseudonyme « 0xrune » affirme détenir une base de 62 848 lignes, issue d’une attaque qui remonterait à septembre. France Travail n’a, pour l’heure, confirmé ni cette date ni la réalité du vol. Le profil des victimes change pourtant la nature de l’affaire. Dans l’échantillon de 1 000 lignes mis en avant par le pirate, FrenchBreaches a relevé 999 adresses e-mail, dont 971 en « @francetravail.fr ». Les autres appartiennent à des structures partenaires, comme Cap emploi.
Noms et prénoms, adresse e-mail professionnelle, téléphones fixe et portable, fonction, type de structure, région de rattachement, site ou agence. S’y ajoutent des liens vers des photos de profil qui pointent vers l’intranet de l’opérateur. Selon FrenchBreaches, ni donnée bancaire ni mot de passe n’y figureraient. Le média en profite pour poser un constat peu flatteur : parmi les institutions françaises frappées par des cyberattaques, France Travail se distingue par le nombre d’incidents d’envergure.
Côté opérateur, la communication reste minimale. Dans un message transmis à l’AFP et relayé par Epoch Times, France Travail indique qu’il « mène actuellement les vérifications nécessaires » à la suite de cette revendication. Le calendrier, lui, a quelque chose de cruel. Le 8 octobre, la CNIL a publié sa décision de clore l’injonction prononcée en janvier contre l’établissement, actée par une délibération du 23 septembre. Elle estime que France Travail s’est mis en conformité dans les délais et renonce donc à lui réclamer les pénalités de retard prévues.
Pour y parvenir, l’opérateur a renforcé l’authentification des comptes des conseillers Cap emploi, avec une politique de mots de passe plus robuste et du MFA. Il a également prévu des mesures complémentaires pour l’analyse de ses journaux d’activité, ainsi qu’une limitation des données accessibles à ces conseillers selon leurs fonctions. Rien ne relie à ce stade la nouvelle revendication aux failles corrigées sous l’œil du régulateur. La concomitance, elle, pique.
2024, la fuite qui a servi de leçon
Pour comprendre pourquoi cette annonce comptait tant, il faut remonter au premier trimestre 2024. Selon le parquet de Paris, entre le 6 février et le 5 mars, des comptes d’agents Cap Emploi habilités à accéder au système d’information de France Travail ont servi à télécharger la base des demandeurs d’emploi, évaluée à 43 millions de données personnelles. Trois personnes sont interpellées.
Le séisme avait eu un précédent. Dans une question écrite, la députée Marianne Maximi rappelait qu’en août 2023, Pôle emploi avait déjà subi une cyberattaque touchant 10 millions de personnes. Elle s’interrogeait aussi sur la conservation de ces informations jusqu’à vingt ans, comme le permet un décret de 2016.
Le 22 janvier 2026, la CNIL inflige 5 millions d’euros d’amende à France Travail pour ne pas avoir assuré la sécurité des données des demandeurs d’emploi. Elle l’assortit d’une injonction à justifier ses mesures correctrices selon un calendrier précis. Seule consolation : les attaquants n’ont pas atteint les dossiers complets, qui peuvent contenir des données de santé.
Le plus cinglant tient en une ligne du communiqué de la CNIL. Pour fixer le montant de l’amende, la formation restreinte a pris en compte que la plupart des mesures adéquates figuraient déjà dans les analyses d’impact de France Travail, sans avoir été déployées. Le remède était identifié. Il dormait dans un tiroir.
Les partenaires, maillon faible récurrent
Entre-temps, les alertes se sont enchaînées. En juillet 2025, d’après IT-Connect, c’est une alerte du CERT-FR, émise le 12 juillet, qui permet à France Travail de découvrir une nouvelle intrusion. Elle visait l’application Kairos, identifiée par Next selon IT-Connect. Toujours selon le site, France Travail va accélérer le déploiement de la double authentification sur cette application.
En décembre, l’opérateur doit cette fois communiquer lui-même. Ses équipes ont détecté un acte de cybermalveillance ayant permis de consulter les données d’environ 1,6 million de jeunes suivis par les Missions locales. Ces données comprennent le nom et le prénom, la date de naissance, le numéro de sécurité sociale, l’identifiant France Travail, les adresses mail et postale et le téléphone. Trois comptes sont suspendus dès la découverte.
IT-Connect relaie les précisions de France Travail sur le rôle du compte en cause. Il s’agit d’un responsable chargé des demandes d’habilitation de ses collègues au SI partagé, mis en place par France Travail dans le cadre de la loi pour le plein emploi. En réponse, l’opérateur annonce la double authentification systématique pour tous les collaborateurs de ses partenaires. Il poursuit son travail avec la DINUM et déclare l’incident à l’ANSSI et à la CNIL.
Après la sanction, France Travail prend acte et liste ses chantiers dans son communiqué de janvier 2026. Ils portent sur la politique de mots de passe, les habilitations, l’authentification multifacteur, la réduction des périmètres d’accès aux données et la surveillance des activités. L’opérateur y ajoute la sensibilisation de ses collaborateurs et de ceux de ses partenaires, et qualifie la cybersécurité de « défi majeur qui nécessite une vigilance constante ». La surface à défendre est à la mesure de l’enjeu : près de 900 agences et 55 000 collaborateurs, sans compter les partenaires connectés au système d’information.
