Urssaf, ANTS, CAF : un an de fuites de données publiques

Même le gendarme français de la cybersécurité n'y échappe pas. Ces derniers jours, des pirates se sont introduits dans un outil du laboratoire d'innovation de l'ANSSI et ont compromis les comptes de 118 utilisateurs. Dans la foulée, la Caisse nationale des allocations familiales suspendait sa plateforme d'aides aux vacances après une fuite de données. Et Infogreffe confirmait un incident de son côté.

Ces nouvelles tombent en plein Cybermois, le mois de sensibilisation aux risques numériques. Elles s'ajoutent à une liste déjà longue : en un an, plus d'une cinquantaine d'administrations, de services de l'État et d'opérateurs publics ont été visés, sans compter les hôpitaux, les universités ou les fédérations sportives. Le compte spécialisé FrenchBreaches, qui recense ces attaques, en a dressé l'inventaire, relayé ce mercredi sur les réseaux sociaux.

Qui figure dans les fichiers volés ?

Les chiffres donnent le vertige. Pris un par un, certains incidents concernent quelques milliers de personnes. Mis bout à bout, ils touchent une grande partie de la population. Un salarié embauché récemment, un parent qui a demandé une aide pour la rentrée, un conducteur passé par le site des cartes grises : chacun peut figurer dans plusieurs bases à la fois.

Les fuites les plus marquantes

Le tableau ci-dessous reprend la liste dressée par FrenchBreaches, des fuites les plus massives aux plus modestes. Une distinction compte : certaines sont confirmées par les organismes, d'autres seulement revendiquées par les pirates, qui ont souvent intérêt à gonfler leurs chiffres pour mieux vendre leurs fichiers.

La mention « recensé » signifie que l'incident figure dans ce relevé, sans que son ampleur ait forcément été confirmée par l'organisme concerné. Au fil des lignes, aucun public n'est épargné : salariés, familles, étudiants ou contribuables.

Et ce tableau ne retient que les fuites chiffrées. Le même relevé cite une longue liste d'incidents sans volume connu. On y trouve quatorze services départementaux d'incendie et de secours, au moins cinq hôpitaux dont l'AP-HP et les Hospices civils de Lyon, une trentaine de fédérations sportives et huit établissements d'enseignement supérieur. Le ministère de l'Intérieur, la police nationale, les douanes, la messagerie sécurisée de l'État, le CNRS ou les agences régionales de santé y figurent aussi.

Comment les pirates entrent-ils ?

Dans beaucoup de cas, il ne s'agit pas d'une attaque spectaculaire contre un serveur. Les pirates utilisent le plus souvent des identifiants volés. À l'Urssaf, ils se sont servis des codes d'accès d'un partenaire officiel pour interroger le service des déclarations d'embauche. Au fisc, c'est l'usurpation des identifiants d'un fonctionnaire qui a ouvert la porte du fichier des comptes bancaires.

Une fois à l'intérieur, ils aspirent un maximum de données avant d'être repérés, parfois pendant plusieurs jours. À l'Éducation nationale, certaines archives revendiquées remontent au début des années 2000. Plus un fichier est ancien et volumineux, plus la fuite est lourde de conséquences. Et une fois publiées sur un forum, ces informations ne peuvent plus être récupérées : elles circulent pendant des années.

Du fichier piraté au faux appel de la banque

Un nom, une date de naissance ou un employeur semblent anodins pris isolément. Croisés entre plusieurs fichiers, ils deviennent une mine d'or pour les fraudeurs. Les mots de passe et les scans de pièces d'identité ont rarement fuité, mais les escrocs n'en ont pas besoin pour tromper leurs victimes.

Le faux conseiller qui connaît tout de vous

Le scénario le plus courant commence par un coup de fil. La personne au bout du fil se présente comme un conseiller bancaire, un agent des impôts ou de l'Assurance maladie. Elle connaît votre nom, votre date de naissance, parfois votre employeur ou votre banque. Elle annonce une opération suspecte en cours et insiste sur l'urgence, pour empêcher de réfléchir. Mise en confiance, la victime accepte de « valider une opération » ou de communiquer un code reçu par SMS. Quelques minutes plus tard, son compte est vidé.

Les messages piégés suivent la même logique. Un courriel ou un SMS aux couleurs d'un organisme officiel évoque un remboursement, un dossier bloqué ou un titre à renouveler. Le lien mène vers une copie du vrai site, conçue pour récupérer identifiants et numéros de carte.

L'IBAN, une porte vers les prélèvements

Les coordonnées bancaires posent un autre risque. Avec un IBAN et une identité, un fraudeur peut tenter de mettre en place des prélèvements à votre nom. La parade existe : une opération non autorisée peut être contestée auprès de sa banque pendant treize mois. Encore faut-il le repérer, d'où l'intérêt de surveiller ses relevés. Pour un débit que l'on a soi-même accepté, le délai de contestation est de huit semaines.

Méfiance au téléphone, vigilance sur les relevés

Impossible de savoir avec certitude dans quels fichiers volés figure son nom. Mieux vaut donc partir du principe que ses données circulent, et adopter quelques habitudes simples. Elles ne demandent ni compétences techniques ni logiciel particulier, juste un peu de méfiance au bon moment.

Ne jamais rien valider au téléphone

Ni les banques ni les administrations ne demandent un code, un mot de passe ou la validation d'une opération par téléphone. Au moindre doute, il faut raccrocher, puis rappeler soi-même le numéro habituel de sa banque ou de l'organisme. Même chose pour les liens reçus par courriel ou SMS : mieux vaut taper soi-même l'adresse officielle dans le navigateur.

Pour les comptes en ligne, la double authentification ajoute une protection précieuse. Changer les mots de passe réutilisés sur plusieurs sites limite aussi les dégâts en cas de fuite.

Surveiller et signaler

Un coup d'œil régulier sur ses relevés bancaires permet de repérer vite un débit inconnu. Certaines banques proposent aussi de bloquer les prélèvements de créanciers non autorisés. En cas d'arnaque ou de tentative, le site officiel cybermalveillance.gouv.fr guide les victimes, et le 17Cyber permet de signaler une cyberattaque. Pour vérifier si une adresse e-mail apparaît dans une fuite connue, des services gratuits comme Have I Been Pwned permettent de la tester en quelques secondes.

De son côté, l'État a annoncé une enveloppe de 200 millions d'euros pour renforcer la sécurité de ses systèmes. En attendant que ces efforts portent leurs fruits, la vigilance de chacun reste la meilleure protection.