HelloWork : fuite de la CVthèque
Près de 2,8 millions de profils de candidats de la CVthèque HelloWork mis en vente fin décembre 2025, via un compte recruteur détourné selon la plateforme.
- Organisation
- HelloWork
- Secteur
- Réseaux sociaux / Tech
- Pays
- France
- Date des faits
- Données mises en vente le 24 décembre 2025 ; fuite daterait de juin 2025 selon des sources de veille
- Ampleur
- Environ 2,8 millions de profils selon l'annonce de mise en vente ; HelloWork n'a pas communiqué de chiffre officiel
- Vecteur
- Utilisation frauduleuse d'un compte disposant d'un accès « Recruteur » à la CVthèque (extraction de données), selon HelloWork ; pas d'intrusion système revendiquée. La presse spécialisée évoque un débat scraping vs intrusion.
- Données exposées
- Nom et prénom, Adresse e-mail, Métier recherché, Niveau de qualification, Expérience professionnelle, Secteurs d'activité visés, Type de contrat souhaité, Zones de mobilité géographique
La plateforme de recrutement française HelloWork, basée à Rennes, a informé ses utilisateurs le 27 décembre 2025 d’un incident de sécurité touchant sa CVthèque. Selon plusieurs sources de presse, un courriel signé du directeur général François Leverger a été envoyé aux candidats inscrits. L’alerte aurait été déclenchée le 24 décembre en fin d’après-midi, après la détection de la mise en vente de données attribuées à la plateforme sur des canaux frauduleux. Des annonces de veille font état d’une base d’environ 2,8 millions de profils publiée sur un forum criminel le 24 décembre, un volume qui n’a pas été confirmé chiffré par HelloWork.
D’après la communication de l’entreprise, l’incident ne résulterait pas d’une intrusion dans ses systèmes mais de l’utilisation frauduleuse d’un compte disposant d’un accès « Recruteur », ayant permis l’extraction de données. Les informations concernées relèvent du profil professionnel des candidats : nom, prénom, adresse e-mail, métier recherché, niveau de qualification, expérience, secteurs visés et zones de mobilité. HelloWork affirme qu’aucun mot de passe ni donnée bancaire n’a été divulgué. La presse spécialisée souligne toutefois un débat sur la nature réelle de l’incident, entre extraction massive par un compte légitime détourné et possible intrusion.
L’entreprise indique avoir déposé plainte, notifié la CNIL conformément au RGPD et renforcé les contrôles d’accès aux comptes recruteurs. Une adresse dédiée a été mise en place pour les utilisateurs. Le principal risque identifié est l’hameçonnage ciblé, des attaquants pouvant exploiter les profils professionnels pour usurper l’identité de recruteurs et adresser de fausses offres d’emploi.
Le statut est qualifié d’allégué : à la date de la fiche, l’incident a été notifié à la CNIL mais n’a fait l’objet d’aucune décision ou confirmation chiffrée du régulateur, et le volume de 2,8 millions provient de l’annonce de mise en vente, non d’une communication officielle de HelloWork. La fiche s’appuie sur trois sources de presse indépendantes et la référence au communiqué de l’entreprise relayé par celles-ci ; l’image d’agrégateur initiale n’a pas été utilisée comme source primaire.