CFDT : fuite de données d'adhérents

La CFDT, premier syndicat français, a confirmé le 18 février 2026 dans un communiqué officiel avoir été victime d’une cyberattaque ayant entraîné le téléchargement illégal de fichiers contenant des données personnelles de ses adhérents. Dès la découverte de l’incident, l’organisation indique avoir isolé et arrêté le serveur hébergeant les applications concernées, ouvert des investigations, notifié la CNIL et l’ANSSI, et déposé plainte.

Les données exfiltrées comprennent des noms, prénoms, adresses postales, adresses e-mail, numéros d’adhérent ainsi que le rattachement aux structures internes de la CFDT (syndicat, fédération, région). Cette dernière information révèle l’appartenance syndicale des personnes, une catégorie de données sensibles au titre de l’article 9 du RGPD, ce qui accroît la gravité de la fuite. Selon la CFDT et la presse spécialisée, les données bancaires ne seraient pas concernées.

L’ampleur exacte reste incertaine. Un acteur malveillant a revendiqué sur le dark web la détention de données portant sur environ 1,4 million de personnes, un chiffre qui dépasse les quelque 640 000 adhérents actifs de la CFDT au 31 décembre 2024 et qui inclurait vraisemblablement des données historiques d’anciens adhérents ou des doublons. La CFDT n’a pas validé officiellement ce volume. Des analyses presse évoquent l’exploitation d’une vulnérabilité dans un outil de partage de fichiers et une revendication par le groupe de rançongiciel Cl0p, mais ces éléments d’attribution ne sont pas confirmés par le syndicat.

Les adhérents sont exposés à un risque accru d’hameçonnage ciblé et d’usurpation d’identité, d’autant que la divulgation d’une appartenance syndicale touche à la vie privée. Il est recommandé aux personnes concernées de se méfier des sollicitations non sollicitées par e-mail, courrier ou téléphone, et de ne communiquer aucune information personnelle ou bancaire en réponse à de tels messages.