CAF, France Travail, OFB… l’ANSSI fait le point sur les fuites de données d’octobre 2026
64 nouvelles violations de données signalées en un mois, dont 5 dans des ministères ou des organismes publics qui en dépendent : l'ANSSI vient de publier le deuxième point de situation de l'opération REACTIV. CAF, France Travail, OFB... et toujours les mêmes failles. Voici ce qu'il faut retenir.
Pour rappel, l'opération REACTIV ("REponse & ACTion Interministérielle face aux Violations de données") a été lancée le 1er septembre 2026 à la demande du Premier ministre. Comme je l'expliquais dans cet article sur le lancement de REACTIV et les nouveaux pouvoirs de l'ANSSI face aux ministères, l'agence peut désormais imposer des mesures d'urgence aux ministères, dans des délais contraints.
Le premier point de situation, publié le 30 septembre, recensait 99 violations de données signalées depuis le 1er août 2026, dont 67 confirmées. C'est dans ce document que l'on avait appris que le laboratoire d'innovation de l'ANSSI et deux instances de la DINUM avaient été compromis via une faille Metabase. Le 12 novembre 2026, le CERT-FR a publié le deuxième point de situation de l'opération REACTIV, consacré au mois d'octobre 2026.
Toujours des fuites dans les ministères, avec toujours les mêmes failles
Depuis le 30 septembre 2026, accrochez-vous bien : 64 nouvelles violations de données ont été portées à la connaissance de l'ANSSI. Seules 5 concernent des ministères ou des organismes publics qui en dépendent, et l'agence française note "une baisse importante" du nombre de violations détectées ou revendiquées sur ce périmètre. Tant mieux.
Par contre, les causes restent les mêmes... En effet, les incidents survenus en octobre 2026 n'ont mis en évidence aucune faiblesse supplémentaire par rapport à celles listées en septembre :
Absence de double authentification (MFA) ou authentification faible (un mot de passe seul)
Sous-traitance et chaîne d’approvisionnement (un prestataire piraté qui dispose d’un accès au système)
Comptes compromis par des infostealers (logiciels qui volent les identifiants enregistrés sur un poste, par exemple un PC personnel utilisé pour le travail)
Vulnérabilités de type IDOR (changer un numéro de dossier dans l’URL pour consulter celui d’un autre)
Défauts de développement et de configuration (une API qui renvoie plus de données que nécessaire, une interface d’administration exposée sur Internet et j'en passe !)
Ce qui donne le schéma récurrent : réutiliser des secrets volés (identifiants, mots de passe, jetons) pour se connecter à des applications, puis en extraire les données avec des accès en apparence légitimes. Voyons tout de même une note positive : l'ANSSI évoque tout de même des progrès significatifs, notamment sur le MFA, et l'avancement global des objectifs 2026 de la feuille de route de sécurité numérique de l'État atteint 70 %.
CAF, France Travail, OFB : les cinq nouveaux incidents
Pour autant, il y a eu ces 5 nouveaux incidents révélés par l'ANSSI :
CAF (VACAF) : entre le 8 et le 10 octobre, les données de vacaf.org, la plateforme d'aide aux vacances des CAF, ont été extraites de façon automatisée grâce à des comptes partenaires volés par des infostealers (sans MFA) et à une URL exposant les identifiants des dossiers (IDOR). L'ANSSI évoque près de 1,2 million de dossiers, tandis que la Cnaf dans son communiqué du 2 novembre évoque 1 619 893 allocataires concernés. Parmi les données dans la nature : matricules, quotient familial et identités d'enfants font partie du lot, mais ni données bancaires ni mots de passe.
France Travail : le 26 septembre, des données ont été exfiltrées via le compte compromis d'un agent, le second facteur (SMS) ayant été validé. La vente des données de plus de 60 000 agents et professionnels a été revendiquée le 8 octobre.
Office français de la biodiversité : le 4 octobre, une faille IDOR sur l'API de paiement du portail d'inscription à l'examen du permis de chasser a exposé les données de plus de 1 000 personnes, dont des mineurs, publiées le jour même. "Après correction des vulnérabilités, le site a pu être remis en ligne au cours du mois d’octobre.", précise l'ANSSI.
Agence de services et de paiement : le portail DEFI (rémunération des stagiaires) a été compromis le 30 septembre, et les données de 30 500 usagers, depuis notifiés, ont été exfiltrées.
Ministère de l'Europe et des Affaires étrangères : une intrusion a été détectée le 20 octobre sur le portail des bibliothèques. Un tiers aurait utilisé des comptes techniques volés pour accéder aux données d'une centaine d'utilisateurs.
Comme ce fût le cas lors de précédents incidents, il est encore question de failles basiques dans certains cas. VACAF est un exemple, avec une faille IDOR exploitée (faille de contrôle d'accès) : l'application ne vérifie pas si l'utilisateur connecté a le droit de consulter l'objet demandé. Il suffit alors de modifier un identifiant, par exemple un numéro de dossier dans l'URL, pour accéder aux données d'autrui.
Pour France Travail, le rapport ne précise pas comment le second facteur d'authentification, à savoir le code par SMS, a été validé. L'occasion de rappeler que le code SMS n'est pas un facteur résistant, il est préférable d'utiliser une clé FIDO2 ou une passkey.
Qu'en pensez-vous ?
Ajouter IT-Connect à mes
sources préférées
Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.