Des pirates ont aspiré des dossiers de la CAF sans aucune technique sophistiquée

Pendant trois jours, du 8 au 10 octobre, des dossiers de familles sont sortis de vacaf.org, le site qui gère les aides aux vacances des caisses d'allocations familiales (CAF). Derrière cette fuite, aucune technique sophistiquée : des identifiants de comptes de partenaires volés, et une adresse web qui laissait voir les numéros des dossiers.

Le récit figure dans le deuxième point de situation de l'opération REACTIV de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), publié le 12 novembre par son centre d'alerte, le CERT-FR. Lancé le 1^er septembre à la demande du Premier ministre, ce dispositif permet à l'agence d'imposer aux ministères des mesures d'urgence contre les vols de données. Depuis le point précédent, le 30 septembre, 64 nouvelles violations de données ont été portées à sa connaissance, dont cinq touchent des ministères ou des organismes sous leur tutelle. Sur ce périmètre, l'agence note « une baisse importante ».

À la CAF, des comptes de partenaires sans double authentification

Les identifiants provenaient d'« infostealers », des programmes conçus pour voler des informations comme les données de connexion. Ces comptes de partenaires n'avaient pas de double authentification. L'adresse qui exposait les identifiants des dossiers a ensuite permis une extraction automatisée. La fuite a été détectée le 9 octobre, après la mise en vente de bases de données.

Selon l'ANSSI, près de 1,2 million de dossiers sont concernés : noms, matricules CAF, quotient familial, identités de mineurs, aides et réservations, mais ni données bancaires ni mots de passe. La Caisse nationale des allocations familiales (Cnaf) avait chiffré le 2 novembre à 1 619 893 le nombre d'allocataires touchés, tous prévenus par courriel. L'ANSSI compte des dossiers, la Cnaf des allocataires, et le rapport ne rapproche pas les deux chiffres. D'après la Cnaf, vacaf.org a rouvert le 2 novembre avec une double authentification, après des tests d'intrusion.

À France Travail, le code SMS a été validé

Le 26 septembre, des données ont été extraites à France Travail grâce au compte d'un agent, dont le second facteur, un code envoyé par SMS, a été validé. Le 8 octobre, la vente des données de plus de 60 000 agents et professionnels a été revendiquée sur un forum cybercriminel : noms, adresses électroniques professionnelles, téléphones, fonctions, agences et identifiants internes. Le rapport ne dit pas comment ce second facteur a été validé.

Au ministère de l'Agriculture, l'histoire s'est mieux terminée. Grâce à des indices d'attaque partagés, il a repéré des certificats VPN compromis, mais la double authentification a empêché l'attaquant de se connecter.

Le rapport recense aussi de nouvelles fuites à l'Office français de la biodiversité (plus de mille personnes, dont des mineurs, via le portail du permis de chasser), à l'Agence de services et de paiement (30 500 usagers notifiés) et au ministère des Affaires étrangères, où un intrus aurait accédé aux données d'une centaine d'utilisateurs du portail des bibliothèques.

Toujours les mêmes portes d'entrée

Aucune faiblesse nouvelle, souligne l'agence. Ce sont celles déjà relevées en septembre : absence de double authentification ou authentification faible, prestataires et sous-traitants, comptes volés par des infostealers, défauts de contrôle d'accès comme à la CAF, erreurs de développement et de configuration. La technique récurrente consiste à réutiliser des secrets volés pour entrer dans une application et en extraire les données « de manière légitime ». L'ANSSI relevait déjà, dans un retour d'expérience publié le 20 octobre, que beaucoup de violations de données applicatives se faisaient sans exploiter de vulnérabilité technique.

Elle relève toutefois des progrès « significatifs », notamment sur la double authentification, et estime à 70 % l'avancement interministériel des objectifs 2026 de la feuille de route de sécurité numérique de l'État.

Que faire dans votre organisation ?

Pas de prouesse technique dans ces fuites : les remèdes de l'ANSSI valent donc bien au-delà de l'État. L'agence recommande de commencer par le premier point, et d'y associer les suivants :

• renouveler les mots de passe et autres secrets compromis ou suspectés de l'être ;
• imposer une authentification forte et contrôler strictement les comptes à privilèges ;
• durcir le filtrage des accès pour empêcher l'exfiltration de données ;
• renforcer la sécurité des applications exposées à Internet ou à des réseaux tiers.

Le cas de la CAF invite aussi à recenser les comptes ouverts à des partenaires. Côté allocataires, la Cnaf conseille de se méfier des messages qui créent un sentiment d'urgence ou évoquent la situation familiale, et de passer directement par caf.fr.

Le prochain point de situation dira si la baisse d'octobre se confirme. Une question reste ouverte : comment le code SMS de l'agent de France Travail a-t-il été validé ?