Afpa : jusqu’à 1,7 million de personnes potentiellement concernées par une fuite

Une extraction encore en cours d’évaluation

L’Agence nationale pour la formation professionnelle des adultes (Afpa) enquête sur une possible extraction de données personnelles pouvant concerner jusqu’à 1,7 million de personnes. Deux pirates ont revendiqué mercredi et jeudi avoir obtenu des informations provenant de l’organisme, a expliqué samedi 19 septembre son directeur adjoint, Pierre Prady, à l’AFP.

Les premières investigations ont repéré une possible faille dans l’outil utilisé pour gérer les hébergements proposés aux stagiaires. Cet outil est exploité par un éditeur tiers et se trouve à l’extérieur du système d’information principal de l’Afpa. L’organisme affirme ne pas avoir constaté d’impact sur ses services ou son réseau interne.

Des données ordinaires, mais exploitables

Le périmètre n’est pas encore arrêté. Selon l’Afpa, l’application pouvait contenir des noms, des adresses et, dans certains dossiers, des numéros de téléphone. Les données bancaires et numéros de Sécurité sociale n’y figuraient a priori pas. Le plafond de 1,7 million désigne donc un nombre potentiel de personnes exposées, et non un bilan confirmé de victimes.

Même sans données financières, ces informations peuvent servir à personnaliser des tentatives d’hameçonnage ou d’escroquerie. Cybermalveillance.gouv.fr recommande aux personnes averties d’une fuite de lire attentivement la notification de l’organisme, de se méfier des appels et messages qui exploiteraient les informations dérobées et de ne jamais communiquer codes ou mots de passe.

L’Afpa doit encore identifier les personnes

L’organisme poursuit l’analyse afin de déterminer quelles données ont réellement été extraites et qui devra être prévenu. La Commission nationale de l’informatique et des libertés rappelle qu’une violation présentant un risque pour les droits et libertés doit lui être notifiée dans les 72 heures après que l’organisme en a connaissance. Lorsque le risque est élevé, les personnes concernées doivent aussi être informées, sauf exception prévue par le RGPD.

À ce stade, la revendication des pirates et la possible extraction sont rapportées par l’Afpa, mais le contenu revendiqué n’a pas fait l’objet d’une vérification publique indépendante. La prudence s’impose donc sur le volume définitif comme sur la liste exacte des informations compromises.