France Travail : un fichier de 62 848 lignes sur ses agents et partenaires mis en vente, sans confirmation de l'opérateur

Le 7 octobre 2026, un acteur se présentant sous le pseudonyme 0xRune a mis en vente sur un forum cybercriminel un fichier de 62 848 lignes concernant des agents et des professionnels du réseau de France Travail, sous l’intitulé « France Travail September 2026 ». Un échantillon de 1 000 lignes et 22 champs accompagnait l’annonce, analysé le soir même par FrenchBreaches, Fuites Infos et Cyberattaque.org, puis relayé par Clubic le 8 octobre. Ces analyses reposent toutes sur la même annonce et le même échantillon, de sorte qu’elles ne constituent pas une confirmation indépendante de l’authenticité du fichier : il s’agit d’une revendication, non d’un incident reconnu.

Le chiffre de 62 848 désigne des lignes et non des personnes : France Travail indique mobiliser 54 000 agents, et Fuites Infos souligne que le nombre de personnes figurant dans le fichier complet n’est pas connu. L’échantillon éclaire en partie l’écart, puisque 971 des 999 adresses électroniques renseignées sont en @francetravail.fr tandis que les autres appartiennent à des structures partenaires, dont des organismes Cap emploi, et que Fuites Infos y relève aussi des volontaires en service civique et des apprentis. Cyberattaque.org évoque en outre d’éventuels anciens profils, sans qu’une déduplication soit établie. Quant à la mention « September 2026 », c’est le libellé du vendeur, qui peut désigner la constitution, la mise à jour ou l’extraction du fichier plutôt qu’une intrusion, et le vendeur ne dit rien de la manière dont il aurait obtenu ces données.

Les champs observés sont professionnels : identité, adresse électronique, numéros de téléphone fixe et mobile (ces derniers renseignés sur 709 fiches, sans précision sur leur usage professionnel ou personnel), fonction, site et région de rattachement, identifiants internes et indicateur d’habilitation. Ni mot de passe, ni donnée bancaire, ni donnée de demandeur d’emploi n’apparaissent dans l’échantillon, ce qui justifie une gravité modérée. Le fichier n’est pourtant pas anodin : France Travail traite les données de millions de demandeurs d’emploi, et un annuaire à jour de ses agents donne à un fraudeur de quoi se faire passer, auprès d’un agent précis, pour un collègue, un faux support informatique ou un responsable, avec un contexte crédible. Ce risque d’ingénierie sociale pèse davantage que la sensibilité des champs, d’autant que les intrusions antérieures de l’opérateur sont passées par des comptes d’agents ou de partenaires, l’une d’elles par l’usurpation de comptes de conseillers Cap emploi selon la CNIL.

Cette revendication est distincte de la compromission d’un compte d’agent de mission locale de décembre 2025, qui avait exposé les données d’environ 1,6 million de jeunes (voir la fiche France Travail et Missions Locales), et de l’intrusion de 2024 sanctionnée par la CNIL en janvier 2026, deux affaires visant des usagers là où celle-ci vise le personnel. Elle l’est aussi de l’affaire AKAOLIFE, revendiquée le 24 juin 2026 contre un prestataire RH de France Travail en Île-de-France : selon Fuites Infos, qui renvoie à AEF info, la direction générale a confirmé le 21 août l’exfiltration de données d’agents après une attaque visant un prestataire RH qu’elle n’a pas nommé, le nom AKAOLIFE provenant des attaquants. Les acteurs, les données revendiquées et le périmètre diffèrent, et Fuites Infos écrit que rien ne relie à ce stade les deux affaires, sans que l’absence de lien soit démontrée.

À la date du 8 octobre 2026, aucune source consultée ne relève de confirmation publique de France Travail, et Clubic précise que ni la date ni la matérialité du vol n’ont été confirmées. Aucune notification à la CNIL, aucun signalement à l’ANSSI et aucune plainte ne sont mentionnés, ce qui ne prouve pas leur absence mais interdit de les affirmer.

Les agents, conseillers Cap emploi et autres professionnels du réseau gagnent à se méfier de tout appel ou message se présentant comme émanant du support informatique, de la direction ou d’un collègue et réclamant un identifiant, un code, une réinitialisation de mot de passe ou l’ouverture d’un lien, et à rappeler l’interlocuteur sur un numéro de l’annuaire officiel plutôt que sur celui qui s’affiche. Tout contact suspect mérite d’être signalé au service de sécurité interne, et l’authentification multifacteur doit être activée partout où elle est proposée, car c’est la compromission d’un compte qui a ouvert l’accès aux données dans les incidents précédents.