Cyberattaque France Travail : quoi faire et comment vérifier
Depuis 2023, France Travail a été confronté à plusieurs cyberattaques ayant exposé des données personnelles à très grande échelle. Ces incidents, survenus dans un contexte de services publics de plus en plus numérisés, rappellent que la sécurité des accès et la gestion des données restent des enjeux majeurs pour les organismes comme pour les usagers.
Résumé :
Face aux fuites massives liées à France Travail, nous vous recommandons d’agir rapidement pour limiter le risque d’usurpation et détecter toute exploitation frauduleuse.
- Vérifiez d’abord si vous êtes concerné, en consultant les annonces sur le site de France Travail et en testant votre adresse e-mail sur Have I Been Pwned.
- Protégez vos accès : changez immédiatement les mots de passe réutilisés, privilégiez des phrases de passe longues et uniques, et activez la double authentification sur vos services sensibles.
- Surveillez vos comptes bancaires et administratifs, signalez toute opération inhabituelle et restez vigilant face aux tentatives d’hameçonnage (e-mails, SMS, appels).
- En cas de fraude, déposez plainte, signalez l’incident via le canal dédié de France Travail et sollicitez l’appui de Cybermalveillance.gouv.fr ou d’une association de consommateurs.
- Pour les organisations, appliquez le principe du moindre privilège, réalisez des audits d’accès réguliers et alignez la sécurité des services tiers (par exemple Kairos, Majorel) sur celle de votre système.
Comprendre la cyberattaque sur France Travail : contexte et ampleur
Les faits sont marqués par une succession d’attaques ayant touché France Travail entre 2023 et 2025. Le périmètre est large, car il concerne non seulement des demandeurs d’emploi récents, mais aussi des personnes inscrites depuis de nombreuses années, parfois sur une période de vingt ans.
En mars 2024, après suppression des doublons, 36,8 millions de personnes ont été concernées sur un périmètre initial de 43 millions d’inscrits. À cela s’ajoutent 340 000 demandeurs d’emploi touchés en juillet 2025 via le portail Kairos, plus de 10 millions de personnes visées par l’attaque d’août 2023 contre Majorel, ainsi que 31 000 demandeurs d’emploi exposés lors d’une troisième attaque en deux ans.
Les données compromises sont de nature identitaire et administrative. On retrouve systématiquement les noms, prénoms, dates de naissance, numéros de Sécurité sociale, adresses e-mail, adresses postales et numéros de téléphone. En revanche, pour l’attaque de mars 2024, les mots de passe et les coordonnées bancaires n’ont pas été concernés, ce qui limite certains risques financiers directs.
La période de compromission identifiée pour mars 2024 s’étend du 6 février au 5 mars 2024. Les investigations ont aussi mis en lumière de vieilles failles non corrigées, des pratiques de sécurité insuffisantes et une authentification peu robuste, ce qui a facilité les intrusions.
Comment les cyberattaques ont eu lieu : techniques et failles exploitées
Les attaques contre France Travail n’ont pas reposé sur une seule méthode. Elles ont combiné des intrusions directes, des portails exposés et des faiblesses d’organisation qui ont offert aux attaquants des points d’entrée opportunistes.
Dans le cas de mars 2024, des mécanismes d’authentification insuffisamment solides ont joué un rôle important. Un compte pouvait supporter jusqu’à 50 essais avant blocage, ce qui ouvre la voie à des tentatives automatisées et à des tests massifs de combinaisons d’accès.
Des vecteurs d’intrusion variés
L’attaque de juillet 2025 est passée par le portail Kairos, utilisé par les organismes de formation. Ce type de porte d’entrée montre qu’un service tiers ou un outil partenaire peut devenir un point de vulnérabilité lorsque sa sécurité n’est pas alignée avec celle de l’ensemble du système.
L’attaque d’août 2023 a, quant à elle, visé Majorel, prestataire chargé de digitaliser des documents de demandeurs. Les données piratées lors de cet épisode ont ensuite été mises en vente sur le dark web, ce qui accroît le risque d’exploitation secondaire par d’autres acteurs malveillants.
Des faiblesses techniques et organisationnelles
Au-delà des outils compromis, les attaques ont exploité des défauts plus structurels, comme des droits d’accès trop généreux, l’absence d’audit régulier et une mauvaise gestion des habilitations. Dans un environnement sensible, ces écarts deviennent rapidement des leviers d’extraction de données.
On retrouve aussi des problèmes récurrents, comme l’absence d’authentification forte, une politique de mot de passe mal définie et le non-respect du principe du moindre privilège. Ce principe impose pourtant que chaque utilisateur n’accède qu’aux données nécessaires à sa mission, ni plus ni moins.
Quels risques et conséquences pour les personnes concernées ?
Une fuite de données personnelles ne donne pas toujours un accès direct à un compte bancaire, mais elle alimente un ensemble de fraudes très concrètes. Les informations volées peuvent être réutilisées pour tromper, faire pression ou contourner certains contrôles de sécurité.
Dans le cas de France Travail, les principaux risques concernent l’hameçonnage, les escroqueries par SMS ou e-mail, l’usurpation d’identité et les tests automatisés d’identifiants sur d’autres plateformes. Les attaquants misent souvent sur la répétition des usages de mots de passe entre plusieurs services.
Phishing, escroqueries et usurpation d’identité
Avec des données comme le nom, l’adresse ou la situation administrative, un pirate peut rédiger un message crédible. Il peut envoyer un faux e-mail, un SMS frauduleux ou même un appel visant à récupérer un code d’accès, un justificatif ou une information confidentielle.
Les escroqueries prennent aussi la forme de demandes de paiement fictives, de factures à régulariser ou de prétendues vérifications urgentes. À partir d’un simple ensemble de données d’identité, un fraudeur peut tenter d’ouvrir des comptes, de souscrire un crédit ou de monter un dossier au nom de la victime.
Quels publics sont concernés ?
Les personnes visées ne se limitent pas aux demandeurs d’emploi actuels. Sont aussi concernées celles inscrites récemment, notamment en février 2022, celles sorties du dispositif depuis moins de douze mois, ainsi que des usagers présents dans les bases depuis de nombreuses années.
Entrent également dans le périmètre les personnes ayant transmis des informations à France Travail ou ayant utilisé Kairos ou Majorel. Même sans preuve d’usage frauduleux immédiat, il convient de rester attentif à toute activité inhabituelle.
Comment vérifier si vos données ont été exposées ou utilisées ?
Face à ce type d’incident, il faut d’abord s’appuyer sur les sources officielles. France Travail publie des informations sur son site et peut mettre en place un dispositif d’accompagnement destiné aux personnes touchées ou susceptibles de l’être.
Si vous avez reçu un courrier, un e-mail ou un SMS directement émis par France Travail, lisez-le avec attention. Un message officiel doit être vérifié dans sa forme, son expéditeur et son contenu, surtout s’il mentionne une action urgente à effectuer.
Vous pouvez aussi utiliser des outils spécialisés pour repérer une exposition passée. Le service Have I Been Pwned permet de vérifier si une adresse e-mail a figuré dans une base de données piratée. Ce contrôle n’explique pas tout, mais il donne un bon premier indicateur. Pour apprendre à évaluer la fiabilité d’un service en ligne, consultez notre guide pour évaluer la fiabilité d’un site.
Il est utile de surveiller vos comptes bancaires et administratifs, ainsi que vos espaces numériques personnels. Une ouverture de compte non sollicitée, une connexion inhabituelle ou une activité suspecte sur un service que vous utilisez doivent vous alerter rapidement.
Pour résumer les points de contrôle les plus utiles, voici un tableau de suivi simple.
| Vérification | Ce qu’il faut observer | Pourquoi c’est utile |
|---|---|---|
| Information officielle France Travail | Courrier, e-mail ou SMS authentifié | Confirmer si vous êtes concerné et connaître les suites données |
| Base de fuites de données | Adresse e-mail déjà exposée | Mesurer le risque de réutilisation de vos identifiants |
| Comptes bancaires et administratifs | Ouverture ou mouvement inhabituel | Détecter une tentative d’usurpation d’identité |
| Messagerie et téléphone | Messages non sollicités liés à France Travail | Repérer une campagne de phishing ciblée |
Que faire concrètement si vous êtes concerné par la cyberattaque France Travail ?
La première règle consiste à ne jamais transmettre d’informations sensibles par téléphone ou par e-mail, même si l’interlocuteur semble crédible. Un organisme officiel ne vous demandera pas un mot de passe, un numéro de Sécurité sociale ou des coordonnées bancaires par ce biais sans procédure de vérification stricte.
Avant toute action, contrôlez l’adresse exacte de l’expéditeur. Un faux message peut reprendre le nom d’un service connu tout en utilisant une adresse très proche de la vraie, avec une orthographe modifiée ou un domaine trompeur.
En cas de doute, il est recommandé de consulter les conseils de Cybermalveillance.gouv.fr, qui propose un diagnostic personnalisé et oriente vers les bons interlocuteurs. Ce réflexe permet de gagner du temps et d’éviter les erreurs de réaction face à une fraude. Pour mieux sécuriser vos usages et vos accès, pensez également à suivre des formations pour maîtriser les outils numériques.
Si une utilisation frauduleuse de vos données est constatée, vous pouvez déposer plainte. Il faut aussi signaler l’incident à France Travail via le canal dédié et suivre les consignes publiées sur le site officiel. Selon la situation, l’aide d’une association de consommateurs, de la CNIL ou d’un organisme spécialisé peut être pertinente.
En cas d’usurpation d’identité, surveillez l’ouverture de comptes à votre nom et faites opposition si nécessaire auprès des banques ou des administrations concernées. Sur le plan numérique, changez immédiatement les mots de passe réutilisés ailleurs et activez la double authentification sur vos services sensibles.
Bonnes pratiques et recommandations des autorités
Les autorités rappellent que la sécurité repose autant sur la technique que sur l’organisation. Pour un organisme public comme pour un particulier, la gestion des accès, la traçabilité des traitements et la solidité des mots de passe constituent des points de contrôle permanents.
La CNIL insiste sur le respect du RGPD, avec un registre de traitement à jour, des audits réguliers des accès et une limitation rigoureuse des droits utilisateurs. L’objectif est de réduire la surface d’exposition et de repérer plus vite les comportements anormaux.
Recommandations pour les organisations
Les mesures attendues sont connues : renforcer la politique de mots de passe, adopter l’authentification à double facteur, chiffrer les archives sensibles et conserver des sauvegardes hors ligne. Ces dispositifs diminuent fortement l’impact d’une intrusion ou d’une fuite interne.
La CNIL a d’ailleurs prononcé une amende de 5 millions d’euros à l’encontre de France Travail après la fuite de mars 2024. En cas de retard de mise en conformité sur la politique de mot de passe, une astreinte de 5 000 euros par jour peut s’appliquer, ce qui montre l’attente forte en matière de sécurité des données.
Conseils pour les particuliers
Vous devez conserver une vigilance constante face aux e-mails ou appels non sollicités, même lorsqu’ils paraissent provenir d’un organisme officiel. La meilleure défense consiste à vérifier par vous-même l’information à partir du site officiel ou d’un canal que vous avez choisi.
Ne cliquez jamais sur un lien ni sur une pièce jointe provenant d’un message suspect. Privilégiez les sites francetravail.fr, cybermalveillance.gouv.fr et cnil.fr pour obtenir des informations fiables et éviter les pièges de l’ingénierie sociale.
Des conseils pratiques pour la mise en conformité sont également disponibles pour les structures qui souhaitent se conformer plus rapidement aux attentes réglementaires.
Les erreurs à éviter et les leçons à tirer
Les incidents liés à France Travail montrent que certaines erreurs reviennent souvent. Cliquer trop vite, répondre à un message non vérifié ou conserver les mêmes identifiants sur plusieurs services multiplie les risques de rebond en cas de fuite.
L’usage d’un mot de passe unique sur plusieurs plateformes est l’un des travers les plus fréquents. Si une base fuit, les pirates testent ensuite les mêmes identifiants sur d’autres services, ce qui peut compromettre des comptes sans lien direct avec l’incident initial.
- Évitez de répondre aux messages non authentifiés, même s’ils évoquent une régularisation urgente.
- Ne réutilisez jamais le même mot de passe sur plusieurs sites ou applications.
- Activez la double authentification dès qu’elle est disponible.
- Conservez des sauvegardes chiffrées et hors ligne pour vos données importantes.
La multiplication des attaques contre France Travail en deux ans montre aussi une tendance de fond, celle d’un secteur public de plus en plus ciblé. Les attaquants combinent désormais failles humaines, erreurs de configuration et exploitation de services tiers pour obtenir des résultats rapides.
Cette évolution impose une hygiène numérique plus rigoureuse, autant dans les usages professionnels que personnels. En gardant des réflexes simples, en vérifiant les sources et en renforçant nos accès, nous réduisons nettement l’impact des cybermenaces actuelles.
Face à la cyberattaque France Travail, la meilleure réponse repose sur trois axes, vérifier, protéger et signaler. En adoptant ces réflexes, vous limitez les risques de fraude et vous renforcez durablement votre sécurité numérique.
