L'affaire remonte à mars 2024. L'opérateur public France Travail avait alors révélé avoir été la cible d'une cyberattaque majeure. Des pirates informatiques étaient parvenus à extraire des données personnelles d'une base contenant les informations des demandeurs d'emploi inscrits, mais aussi de "personnes précédemment inscrites au cours des 20 dernières années". Le périmètre initial était colossal : potentiellement 43 millions de personnes. Après vérifications et élimination des doublons, France Travail a confirmé à l'AFP que le nombre final de personnes concernées s'élevait à 36,8 millions, faisant de cet incident l'une des plus grosses fuites de données de l'histoire récente en France.

Face à la gravité de la faille, la Cnil a décidé de frapper fort. La sanction de cinq millions d'euros tient compte, selon l'autorité, de "la méconnaissance des principes essentiels en matière de sécurité", du nombre très élevé de personnes concernées ainsi que du volume et de la sensibilité des données traitées. Les informations volées comprenaient en effet des données d'identification des demandeurs d'emploi, des éléments potentiellement exploités pour des usurpations d'identité ou des fraudes.

La méthode des pirates : de l'ingénierie sociale et des habilitations trop larges

L'enquête de la Cnil a mis en lumière le mode opératoire des cybercriminels et les vulnérabilités qu'ils ont exploitées. Les pirates ont utilisé des techniques d'"ingénierie sociale", c'est-à-dire qu'ils ont manipulé des employés pour usurper des comptes de conseillers de Cap Emploi. Ces conseillers, structures chargées de l'accompagnement des personnes en situation de handicap, disposent d'un accès aux bases de données de France Travail dans le cadre d'un partenariat. La Cnil estime que l'opérateur public a manqué à son obligation de mettre en place des "mesures techniques et organisationnelles" suffisamment robustes pour rendre une telle attaque difficile, notamment en limitant strictement les accès.

Cette amende record constitue un rappel sévère pour l'ensemble des organismes publics et privés traitant des données sensibles. Elle souligne l'impérieuse nécessité de renforcer en permanence les cyberprotections, de former les personnels aux risques d'hameçonnage et d'ingénierie sociale, et de réviser strictement les politiques d'habilitation. Pour les 36,8 millions de personnes dont les données ont fuité, le risque de réutilisation malveillante persiste, illustrant les conséquences durables de ce type de faille de sécurité à grande échelle.