Plurélya : l'association d'action sociale des agents publics reconnaît un incident après la mise en vente d'une base revendiquée de 150 114 personnes

Le 25 septembre 2026, un acteur se présentant sous le pseudonyme « ChimeraZ » a mis en vente sur un forum cybercriminel ce qu’il décrit comme une « base partielle » de Plurélya, association lilloise à but non lucratif qui gère l’action sociale des agents des collectivités adhérentes, pour 250 dollars et un fichier d’environ 4,4 Go. Il revendique 965 575 lignes correspondant à 150 114 personnes, soit 60 245 agents et 89 869 enfants, dont 50 572 entrées comportant des coordonnées bancaires partielles. Fuites Infos, Cyberattaque.org et FrenchBreaches ont publié le jour même, puis Fuites Infos et FrenchBreaches ont mis leur article à jour le 28 septembre pour relayer la reconnaissance d’un incident de sécurité par l’association elle-même.

Le statut « confirmée » de cette fiche porte sur l’incident, non sur la revendication : Plurélya ne se prononce ni sur le volume, ni sur la mise en vente, ni sur la nature des données, et tous les chiffres cités restent ceux de l’attaquant. Les 150 114 personnes sont cohérentes avec la répartition annoncée entre agents et enfants, mais contrastent avec les 965 575 lignes : FrenchBreaches suppose qu’un même utilisateur figure dans plusieurs ensembles de données, sans pouvoir garantir que chaque entrée d’enfant corresponde à une personne distincte. Le numéro de sécurité sociale est lui aussi contesté : Fuites Infos affirme que l’extrait en contient, FrenchBreaches constate un champ prévu mais vide dans son échantillon et Cyberattaque.org n’en parle pas, si bien qu’il n’est pas retenu parmi les données concernées. Quant aux plus de trois millions de documents (pièces d’identité et fiscales) évoqués par le pirate, il reconnaît lui-même avoir été détecté avant de pouvoir les récupérer.

Selon sa politique de confidentialité, Plurélya agit en qualité de sous-traitant de la collectivité de rattachement de chaque agent, qui est le responsable de traitement : en cas de violation, elle la signale à cette collectivité, laquelle informe ensuite l’agent. Les collectivités concernées n’étant pas identifiées, l’information des agents repose sur des employeurs que personne n’a nommés, auxquels il reviendrait aussi en principe de notifier la CNIL. Les enfants, près de 90 000 soit environ 60 % des personnes revendiquées, constituent l’autre enjeu : il s’agit de mineurs identifiés par leur nom, leur prénom, leur date de naissance et leur rattachement au compte d’un parent. Le pseudonyme « ChimeraZ » est par ailleurs associé à d’autres revendications françaises de la période, dont celle de la CAPEB le 2 octobre 2026, sans qu’aucun élément public ne relie ces incidents.

Selon les échantillons examinés par les médias, les fichiers associent à chaque agent son identité, ses coordonnées, sa date de naissance, des identifiants internes, des informations de carrière et des données fiscales, tandis que les entrées bancaires se limitent au titulaire, au BIC et à un IBAN partiellement masqué ; aucune donnée de santé ni pièce d’identité n’est rapportée pour les enfants. Cette combinaison se prête surtout à la fraude au contexte : un faux message de Plurélya, de la collectivité ou d’un organisme social, évoquant un remboursement ou un changement de coordonnées bancaires, serait d’autant plus crédible qu’il s’appuierait sur des informations exactes concernant la situation professionnelle, les revenus et la famille du destinataire.

Dans l’avis relevé le 28 septembre, sur l’espace réservé aux bénéficiaires selon Fuites Infos, Plurélya reconnaît un incident de sécurité affectant sa plateforme, indique avoir mis fin à l’accès en cause et fermé temporairement la plateforme, déclare avoir informé les autorités et déposé plainte sans les nommer, et prévoit d’informer directement les personnes concernées, ses investigations se poursuivant avec un prestataire technique. Cet avis n’étant pas consultable sur les pages publiques du site de l’association, sa teneur n’est connue que par ces deux relais, dont les formulations concordent. Aucune source consultée ne mentionne la CNIL ou une communication des collectivités, et aucune reprise par la presse régionale ou nationale d’information n’a été retrouvée au 8 octobre 2026.

Les agents dont l’employeur public recourt à Plurélya, et les parents d’enfants rattachés à leur compte, ont intérêt à se méfier de tout message ou appel se réclamant de l’association, de leur employeur ou d’un organisme social, surtout s’il évoque un remboursement ou une modification de coordonnées bancaires, et à vérifier la demande par un canal déjà connu. Il est recommandé de changer le mot de passe de l’espace Plurélya et de tout service où il serait réutilisé, de surveiller ses relevés bancaires et de contester toute opération non autorisée auprès de sa banque. Les droits peuvent s’exercer auprès de la collectivité ou à l’adresse rgpd@plurelya.fr, et les messages frauduleux se signalent sur cybermalveillance.gouv.fr.