Piratage de l’Afpa : jusqu’à 1,7 million de personnes potentiellement concernées par une fuite de données personnelles

L’Agence nationale pour la formation professionnelle des adultes (Afpa) a indiqué, samedi 19 septembre, avoir été la cible d’un piratage informatique susceptible de concerner jusqu’à 1,7 million de personnes. L’attaque aurait visé un outil utilisé pour gérer certains hébergements de données, et non directement les systèmes d’information internes de l’organisme.

L’annonce intervient quelques jours après la présentation d’un plan social au sein de l’Afpa. À ce stade, l’organisme précise toutefois qu’il n’existe pas de lien établi entre cette réorganisation et l’incident informatique. Les investigations se poursuivent afin de déterminer précisément quelles données ont pu être consultées ou extraites.

Une intrusion revendiquée par deux hackers

Selon les informations rapportées par l’Agence France-Presse (AFP), deux hackers ont affirmé, mercredi puis jeudi, avoir récupéré des données provenant de l’Afpa. Après de premières vérifications, l’organisme a reconnu l’existence d’une potentielle extraction de données. Celle-ci pourrait être liée à une faille affectant l’outil utilisé pour gérer les hébergements.

« Deux hackers ont revendiqué mercredi et jeudi avoir récupéré des données personnelles qui provenaient de l’Afpa », a expliqué à l’AFP Pierre Prady, directeur adjoint de l’organisme. D’après lui, les premières investigations internes ont fait apparaître une possible extraction liée à une vulnérabilité de l’outil concerné.

L’Afpa n’a pas, à ce stade, confirmé de manière définitive l’ampleur de la compromission. Le chiffre de 1,7 million de personnes correspond donc à un nombre potentiel de personnes concernées, et non à un bilan établi. L’organisme doit encore analyser les fichiers accessibles et vérifier si les données ont effectivement été récupérées.

Un outil externe aux systèmes de l’Afpa

Pierre Prady a précisé que l’outil en cause était hébergé chez un éditeur tiers. Il se trouvait donc à l’extérieur du système d’information de l’Afpa. Cette distinction est importante : selon l’organisme, l’incident n’aurait pas, « a priori », affecté ses services ni ses systèmes informatiques internes.

Cette affirmation ne signifie pas que les conséquences de l’attaque sont déjà entièrement connues. Elle indique seulement que la faille identifiée concernerait une application ou une infrastructure externalisée. Les équipes de l’Afpa poursuivent leur analyse pour établir la nature exacte de l’incident, son périmètre et les éventuelles mesures à prendre.

Quelles données pourraient être concernées ?

D’après les premières indications communiquées par l’Afpa, les informations potentiellement exposées seraient principalement des données personnelles. Il pourrait notamment s’agir de noms, d’adresses et, éventuellement, de numéros de téléphone.

L’organisme assure qu’aucune donnée particulièrement sensible, comme des coordonnées bancaires ou des numéros de Sécurité sociale, n’était a priori disponible sur l’application visée. Cette précision reste toutefois formulée avec prudence : tant que l’analyse technique n’est pas achevée, l’Afpa ne peut pas dresser une liste définitive des informations concernées.

L’établissement a indiqué vouloir déterminer l’étendue des données accessibles et identifier les personnes susceptibles d’être touchées avant de les informer. Cette étape doit permettre de distinguer les personnes effectivement concernées de celles dont les informations figuraient simplement dans les bases potentiellement accessibles.

Une source à considérer avec prudence

Les éléments disponibles reposent principalement sur les déclarations de l’Afpa, recueillies et rapportées par l’AFP. L’Agence France-Presse constitue une source journalistique de référence, mais son dépêche repose ici sur les informations communiquées par l’organisme victime et sur des investigations encore en cours. Elle permet donc d’établir qu’une revendication de piratage a été formulée et qu’une extraction potentielle a été détectée, mais pas de confirmer définitivement le nombre de personnes touchées ni le volume exact des données exfiltrées.

La fiabilité des informations est ainsi solide concernant la réaction de l’Afpa et les propos attribués à son directeur adjoint, mais plus limitée pour les conséquences techniques de l’attaque. Le nombre de 1,7 million de personnes, comme la nature précise des données, doit encore être considéré comme provisoire tant que l’audit n’est pas terminé.