Fuites CAF et France Travail : des comptes volés ouvrent la porte, pas un piratage de génie
Ce que révèle le dernier point de situation de l'ANSSI, et les contrôles à faire dans votre entreprise
Image générée par IA (art. 50 AI Act)
Analyse 2LKATIME
Le 12 novembre, le CERT-FR de l'ANSSI a publié le deuxième point de situation de l'opération REACTIV, consacré aux fuites de données de l'État en octobre. Nous avons lu le rapport lui-même, ainsi que le communiqué de la Cnaf du 2 novembre sur VACAF. Les chiffres de l'ANSSI sont provisoires, comme elle le précise.
Un identifiant volé suffit
Sur VACAF, des identifiants de comptes partenaires volés par des infostealers, sans double authentification, ont permis d'extraire automatiquement environ 1,2 million de dossiers selon l'ANSSI. Aucune faille rare n'a été nécessaire. Votre entreprise a probablement les mêmes comptes, aux mêmes endroits.
La CAF, France Travail, l'Office français de la biodiversité, l'Agence de services et de paiement et le ministère des Affaires étrangères ont tous eu une fuite de données en septembre ou octobre. Le rapport de l'ANSSI en tire une conclusion simple : les attaquants réutilisent des secrets volés pour se connecter, puis extraient les données par des accès en apparence légitimes.
Ce constat concerne directement les PME. Elles n'ont ni les équipes ni la supervision de l'État, et utilisent pourtant les mêmes outils en ligne, les mêmes prestataires et les mêmes habitudes de mots de passe. Voici ce que le rapport établit, ce qu'il laisse ouvert, et ce qu'il faut vérifier chez vous cette semaine.
1. Ce que dit le rapport de l'ANSSI
64
Nouvelles violations de données signalées à l'ANSSI depuis le 30 septembre
5
Concernent des ministères ou des organismes sous tutelle
1 619 893
Allocataires CAF touchés par la fuite VACAF, selon la Cnaf
60 000+
Agents et professionnels France Travail dont les données ont été mises en vente
Depuis le 30 septembre, 64 nouvelles violations de données ont été portées à la connaissance de l'ANSSI. Seules cinq touchent des ministères ou des organismes sous tutelle, et l'agence note une baisse importante du nombre de violations détectées ou revendiquées sur ce périmètre. Ces 64 événements regroupent des signalements et des incidents avérés, et le rapport ne détaille pas ceux qui sortent du périmètre de l'État.
Le point qui compte pour vous est ailleurs. Les nouvelles violations n'ont révélé aucune faiblesse inédite. Elles reprennent celles de septembre : absence de double authentification ou authentification faible, sous-traitance et chaîne d'approvisionnement, comptes compromis par des infostealers, failles de type IDOR, défauts de développement et de configuration.
L'ANSSI décrit une technique récurrente : la réutilisation de secrets volés pour accéder à des applications, ce qui permet d'en extraire les données de manière légitime. Elle note aussi des progrès, notamment sur la double authentification, avec 70 % d'avancement des objectifs 2026 de la feuille de route de sécurité numérique de l'État.
2. Les cinq incidents d'octobre
Le rapport détaille cinq nouveaux incidents. Les voici avec leur mécanisme, tel que l'ANSSI le décrit.
| Organisme | Date | Mécanisme | Données concernées |
|---|---|---|---|
| CAF (VACAF) | 8 au 10 octobre | Identifiants de comptes partenaires volés par des infostealers, sans double authentification, et URL exposant les identifiants de dossiers (IDOR). Extraction automatisée. | Noms, matricules, quotient familial, identités d'enfants, aides et réservations. Ni données bancaires ni mots de passe. |
| France Travail | 26 septembre | Compte d'un agent compromis, second facteur par SMS validé. Vente revendiquée le 8 octobre. | Noms, e-mails professionnels, téléphones, fonctions, agences, identifiants internes de plus de 60 000 agents et professionnels. |
| Office français de la biodiversité | 4 octobre | Faille IDOR sur l'API de paiement du portail d'inscription au permis de chasser. | Données de plus de mille personnes, dont des mineurs, publiées en accès libre le jour même. |
| Agence de services et de paiement | 30 septembre | Portail DEFI compromis via un compte usurpé et l'exploitation d'une vulnérabilité. Revendiqué le 9 octobre. | Données de 30 500 usagers, notifiés. Deux autres portails de l'agence avaient déjà été compromis en août. |
| Ministère de l'Europe et des Affaires étrangères | 20 octobre | Intrusion sur le portail des bibliothèques avec des comptes techniques volés sur un serveur déjà compromis. Élévation de privilèges bloquée. | Données d'une centaine d'utilisateurs : agents, bibliothécaires et usagers externes. |
Le cas VACAF est le plus parlant. Selon la Cnaf, l'incident a été identifié le 9 octobre, l'accès à vacaf.org a été suspendu le 10, une plainte a été déposée le 11 et le site a rouvert le 2 novembre après des tests d'intrusion, avec une double authentification. La Cnaf précise que ni coordonnées de contact, ni données bancaires, ni mots de passe n'ont été captés, et que le versement des prestations n'a pas été affecté.
Le rapport cite aussi un contre-exemple. Au ministère de l'Agriculture, des certificats VPN compromis ont été repérés, mais la double authentification a empêché l'attaquant de se connecter. C'est la démonstration la plus nette de ce qu'elle apporte.
3. Ce que le rapport ne dit pas
Quelques précautions avant de tirer des conclusions. L'ANSSI parle de près de 1,2 million de dossiers pour VACAF, alors que la Cnaf a informé 1 619 893 allocataires. Les deux chiffres viennent de sources différentes à des dates différentes et l'ANSSI avertit que les siens peuvent évoluer. Nous les donnons tels quels, sans les concilier.
Pour France Travail, le rapport indique que le second facteur par SMS a été validé lors de la compromission du compte de l'agent, sans expliquer comment. Nous ne savons donc pas si le code a été intercepté, obtenu auprès de l'agent ou contourné autrement. Enfin, le rapport ne dit pas comment les infostealers ont infecté les postes des partenaires de VACAF.
Notre lecture : ces organismes ne sont pas des entreprises, et leurs contraintes diffèrent des vôtres. Mais les faiblesses citées sont courantes dans les PME aussi. C'est pourquoi le rapport vaut comme liste de contrôle.
4. Le même scénario dans une PME
Chaque faiblesse du rapport a son équivalent dans une entreprise de 20 ou 200 personnes.
Un mot de passe seul
Messagerie, CRM, espace client, outil de facturation : si un identifiant volé suffit pour se connecter, l'attaquant fait ce que l'employé légitime fait, y compris exporter tout un fichier.
Un prestataire avec ses propres accès
Comptable, agence web, infogérant : leurs comptes sur vos outils sont des portes d'entrée. À la CAF, ce sont des comptes de partenaires qui ont servi.
Un poste personnel qui enregistre les mots de passe
Un infostealer lit ce que le navigateur a mémorisé. Il suffit d'un ordinateur familial utilisé pour travailler ou d'un téléchargement douteux.
Une application qui ne contrôle pas les droits
Votre site, votre extranet ou votre application sur mesure affiche-t-il un dossier à partir d'un numéro ? Testez ce qui se passe quand vous changez ce numéro.
Des comptes oubliés
Comptes techniques, comptes de stagiaires partis, accès de migration : personne ne les regarde, et ils n'ont souvent aucune protection supplémentaire.
5. Que vérifier cette semaine
Voici six contrôles, classés du plus efficace au moins urgent. Les deux premiers coupent la plupart des scénarios décrits plus haut.
1. Activer la double authentification partout où c'est possible
Commencez par la messagerie, les comptes administrateurs, les accès à distance et les comptes de vos prestataires. Visez une application d'authentification, une clé FIDO2 ou une passkey plutôt que le SMS.
2. Cesser d'enregistrer les mots de passe professionnels dans les navigateurs
Surtout sur les postes personnels. Utilisez un gestionnaire de mots de passe d'entreprise et un antivirus ou une protection des postes à jour.
3. Renouveler les identifiants suspects
C'est la première action d'endiguement citée par l'ANSSI : changer les secrets compromis ou susceptibles de l'être, puis resserrer les droits des comptes à privilèges.
4. Tester le contrôle d'accès de vos applications
Connectez-vous avec un compte sans droits particuliers et essayez d'ouvrir un dossier qui ne vous appartient pas en modifiant l'identifiant dans l'adresse. Si ça marche, c'est une IDOR.
5. Repérer les extractions anormales
Les données de VACAF ont été extraites de façon automatisée en deux jours. Une alerte sur le nombre de dossiers consultés par un même compte, ou sur un volume d'export inhabituel, aurait de la valeur.
6. Surveiller ce qui fuit
Savoir si vos adresses et mots de passe circulent sur des forums ou des marchés clandestins permet de réagir avant qu'ils servent. C'est l'objet d'une surveillance du darkweb.
6. Conformité
Si un compte volé a donné accès à des données personnelles de clients, de salariés ou de mineurs, il s'agit d'une violation de données au sens du RGPD. L'article 33 impose de notifier la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation n'entraîne vraisemblablement aucun risque pour les personnes. Si le risque est élevé, l'article 34 impose d'informer aussi les personnes concernées, comme la Cnaf l'a fait par courriel. Toute violation, notifiée ou non, doit être consignée dans un registre.
L'article 32 exige des mesures de sécurité adaptées au risque. Les cinq faiblesses de ce rapport font partie des mesures de base qu'un contrôle ou un contentieux regarderait en premier. Les entités soumises à NIS2 doivent en outre émettre une alerte précoce dans les 24 heures en cas d'incident significatif.
7. Ce que 2LKATIME recommande
Traitez les comptes comme votre première surface d'attaque : double authentification généralisée, comptes de prestataires cloisonnés, mots de passe hors des navigateurs, et surveillance de ce qui fuit. Nos audits cybersécurité testent vos applications et vos accès comme un attaquant le ferait, y compris le contrôle d'accès aux dossiers. Notre surveillance du darkweb vous prévient quand vos identifiants apparaissent dans une fuite.
Sur le même sujet des identifiants qui fuient, lisez notre article sur les mots de passe publiés par les assistants de code. Les entreprises de Paris, de Lyon ou de Bordeaux trouveront les formules sur nos pages tarifs. L'accompagnement se fait aussi à distance partout en France.
FAQ - Comptes volés et fuites de données
Une PME est-elle exposée au même scénario que la CAF ou France Travail ?
Oui, car les faiblesses relevées par l'ANSSI n'ont rien de propre aux administrations : mot de passe sans double authentification, compte d'un prestataire, identifiants volés sur un poste, application qui ne vérifie pas les droits. Une PME a même moins de supervision pour s'en apercevoir. La taille de l'entreprise ne change pas le mécanisme, seulement l'ampleur des dégâts.
Un code reçu par SMS protège-t-il suffisamment un compte ?
Pas toujours. Dans le cas de France Travail, le rapport indique que le compte d'un agent a été compromis avec validation du second facteur par SMS, sans préciser comment. Un second facteur vaut mieux que rien, mais préférez une application d'authentification, une clé FIDO2 ou une passkey pour les comptes sensibles. L'ANSSI renvoie vers son guide sur l'authentification multifacteur.
Qu'est-ce qu'un infostealer ?
C'est un logiciel malveillant qui vole les identifiants enregistrés sur un ordinateur, par exemple les mots de passe mémorisés dans le navigateur. Il s'installe souvent sur un poste personnel utilisé pour le travail. Les identifiants volés sont ensuite revendus ou réutilisés, ce qui permet de se connecter sans forcer quoi que ce soit.
Qu'est-ce qu'une faille IDOR ?
Une application affiche un dossier à partir d'un identifiant, par exemple un numéro dans l'adresse de la page. Si elle ne vérifie pas que l'utilisateur connecté a le droit de voir ce dossier, il suffit de changer le numéro pour lire ceux des autres. Un script peut le faire des milliers de fois, ce qui explique l'extraction automatisée constatée sur VACAF.
Mes identifiants apparaissent dans une fuite : que faire en premier ?
Changez le mot de passe du compte concerné et de tous ceux qui le réutilisent, activez la double authentification, puis déconnectez les sessions ouvertes. Vérifiez ensuite les accès récents et les règles de redirection de la messagerie. Si des données personnelles de clients ou de salariés ont pu être consultées, évaluez l'obligation de notifier la CNIL sous 72 heures.
Sources
Vos comptes et vos applications tiendraient-ils face à ce scénario ?
2LKATIME vérifie vos protections de comptes, teste le contrôle d'accès de vos applications et recherche vos identifiants dans les fuites connues. Vous repartez avec une liste d'actions classées par priorité.