Piratage Pôle emploi : les données de 10 millions d'allocataires en vente sur le Dark Web

Suite à la cyberattaque contre un des prestataires de Pôle emploi, les données personnelles de plus de 10 millions de demandeurs d'emploi se retrouvent en vente sur le Dark Web. Et les dégâts sont bien plus importants que prévu…

Soyez vigilant si vous êtes inscrit à Pôle emploi ! Les données personnelles relatives à d'une dizaine de millions d'allocataires compilées par un prestataire de Pôle emploi sont actuellement en vente sur le Dark Web, ont révélé à l'AFP plusieurs experts en cybersécurité ce 25 août. "Il est plus que confirmé que des données de Pôle emploi sont en vente sur le Dark Net. Un pirate très connu, spécialiste de vente de bases de données qu'il pirate ou achète, a mis en vente le 8 août une base de données de Pôle emploi datée de 2022, de 10,2 millions d'usagers, qu'il vend 900 dollars", explique Damien Bancal, notamment connu pour son travail sur le site Zataz.com. Une découverte qui a été confirmée par le chercheur Clément Domingo, alias @_SaxX_ sur X (anciennement Twitter). Une première base de données aurait été mise en ligne le 8 août, avant d'être mise à jour le 21. Au final, "il y a bien plus d'informations que ce que Pôle emploi disait dans son communiqué de presse initial du 23 août", constate Clément Domingo, évoquant notamment la diffusion de numéros de téléphone ou de e-mails.

Dans un communiqué publié le 23 août, l'organisme expliquait avoir pris connaissance il y a quelques semaines "de la violation du système d'information d'un de ses prestataires", à savoir Majorel, une entreprise chargée de la numérisation et du traitement des documents des demandeurs d'emploi. Une enquête est en cours afin de connaître l'origine de l'intrusion. L'établissement public a avoué au Parisien qu'environ dix millions de personnes pourraient être concernées par cette fuite de données, qui comprend les noms, prénoms et numéros de sécurité sociale. Des données particulièrement sensibles, qui pourraient exposer les victimes à de futures tentatives de piratage, de phishing ou d'usurpation d'identité. "Les adresses e-mail, les numéros de téléphone, les mots de passe et les coordonnées bancaires ne sont en revanche pas concernés par cette fuite", avait-il ajouté, précisant qu'"il n'y a aucun risque sur l'indemnisation et l'accompagnement proposé par Pôle emploi". Il semblerait qu'il ait été un peu trop optimiste ! 

Piratage Pôle emploi : un prestataire visé, une plainte à déposer

Les dix millions de personnes susceptibles d'être concernées par cet acte de cybermalveillance pourraient être "celles inscrites à Pôle emploi en février 2022 et celles en cessation d'inscription depuis moins de 12 mois à cette date-là",  détaille la direction de Pôle emploi au Parisien. "Il y a parfois des décalages dans le temps dans la transmission des documents, ce qui explique que les personnes en cessation d'inscription apparaissent dans ce fichier". Elle ajoute que "d'anciens usagers sont [également] potentiellement concernés par ce vol". La date exacte de l'attaque n'a pas encore été révélée. Pôle emploi a procédé à une notification auprès de la Commission nationale de l'informatique et des libertés (CNIL). Une enquête a été ouverte par la section de lutte contre la cybercriminalité du parquet de Paris pour introduction et maintien frauduleux dans un système de traitement automatisé de données.

"Si cet incident ne présente pas de risque sur l'indemnisation ni sur l'accès à l'espace personnel de pole-emploi.fr, nous vous invitons toutefois à rester vigilants face à tout type de démarche ou proposition qui pourrait paraître frauduleuse", écrit Pôle Emploi sur son site Internet. Toutes les personnes concernées par la cyberattaque seront bien évidemment contactées. Un appui sera également disponible via la plateforme téléphonique 39 49 afin d'accompagner ceux qui auraient des interrogations à ce sujet.

Ce n'est pas la première fois que Pôle emploi est victime d'une fuite de données. En juin 2021 déjà, le site avait été dépouillé de 1,2 million de données personnelles concernant pas moins de 120 000 personnes, à la différence que, cette fois-là, les numéros de sécurité sociale n'avaient pas fuités…