Une importante fuite de données est revendiquée contre l’AFPA, l’Agence nationale pour la formation professionnelle des adultes. Un acteur utilisant le pseudonyme xMetah affirme avoir récupéré un fichier contenant 971 420 enregistrements et propose désormais la base à la vente.
Les échantillons diffusés avec l’annonce contiennent des informations particulièrement détaillées : nom, prénom, date de naissance, adresse postale, ville, numéro de téléphone, identifiants internes et informations liées à un partenaire. Le nombre de 971 420 correspond toutefois à des lignes et ne permet pas d’affirmer qu’autant de personnes distinctes sont concernées.
L’AFPA au cœur de la formation professionnelle en France
L’AFPA est l’un des principaux acteurs français de la formation professionnelle des adultes. Elle accompagne notamment des demandeurs d’emploi, salariés et personnes en reconversion dans l’acquisition de nouvelles compétences et l’accès à l’emploi.
Son activité implique naturellement le traitement de nombreuses informations sur les personnes accompagnées, leurs parcours et les organismes partenaires.
971 420 enregistrements proposés à la vente
xMetah affirme disposer d’un fichier unique contenant précisément 971 420 enregistrements. Contrairement à certaines fuites directement rendues publiques, la base complète est ici proposée à la vente.
Le hacker ne précise pas la date de l’extraction, la méthode utilisée pour obtenir les informations ni le système depuis lequel elles auraient été récupérées.
Il reste donc impossible à ce stade de déterminer si les données proviennent directement d’un environnement de l’AFPA, d’une application utilisée par l’organisme, d’un partenaire ou d’un ancien export.
Noms dates de naissance adresses et téléphones dans les échantillons
Cyberattaque.org s’est procuré les échantillons diffusés avec l’annonce. Les enregistrements observés contiennent plusieurs catégories de données permettant d’identifier directement les personnes :
- civilité, nom et prénom ;
- date de naissance ;
- adresse postale complète ;
- code postal et ville ;
- pays ;
- numéro de téléphone ;
- identifiant interne ;
- informations relatives à un partenaire associé au dossier.
La structure comporte également des champs prévus pour des adresses e-mail, des seconds numéros de téléphone ou d’autres coordonnées. Dans les échantillons observés, plusieurs de ces champs sont cependant vides.
Des données provenant de toute la France
Les exemples diffusés montrent des personnes domiciliées dans de nombreuses régions françaises, y compris en Guadeloupe, Martinique, La Réunion, Hauts-de-France, Nouvelle-Aquitaine et Pays de la Loire.
Cette dispersion géographique est cohérente avec la dimension nationale de l’AFPA, mais elle ne suffit pas à confirmer à elle seule l’origine exacte du fichier.
La mention d’un partenaire apparaît dans tous les exemples
Un élément mérite une attention particulière : les échantillons communiqués comportent un champ « partenaire ». Dans les lignes observées, celui-ci contient notamment la valeur LHEA.
Cette structure pourrait indiquer que les données sont issues d’un flux partenaire, d’une application intermédiaire ou d’un environnement connecté à l’AFPA. Il n’est cependant pas possible de déterminer la fonction exacte de ce partenaire à partir des seuls échantillons.
Il serait donc prématuré d’affirmer que les 971 420 lignes ont été extraites directement de la base principale du site afpa.fr.
Des identifiants internes permettent de relier les dossiers
Les fichiers contiennent également plusieurs champs techniques, dont un contextId et un identifiantAB. Ces valeurs semblent servir à relier chaque personne à un dossier ou à un contexte applicatif spécifique.
Pris isolément, ces identifiants n’ont pas nécessairement de valeur pour un fraudeur. Mais associés à une identité complète, une adresse et une date de naissance, ils peuvent aider à construire un profil beaucoup plus précis de la personne concernée.
971 000 lignes ne signifient pas 971 000 victimes uniques
Le chiffre mis en avant par xMetah doit être interprété avec prudence. Il correspond à 971 420 enregistrements, et non nécessairement à autant de personnes différentes.
Une même personne peut théoriquement apparaître plusieurs fois, disposer de plusieurs dossiers ou avoir été enregistrée dans différents contextes. Sans accès à l’ensemble du fichier et sans déduplication, le nombre réel d’individus concernés reste inconnu.
Un risque important d’usurpation et de phishing ciblé
La combinaison des données revendiquées est particulièrement intéressante pour des cybercriminels. Un nom complet associé à une date de naissance, une adresse et un numéro de téléphone fournit déjà suffisamment d’éléments pour préparer de nombreuses tentatives d’usurpation.
Les victimes pourraient notamment recevoir de faux appels ou messages prétendant provenir de l’AFPA, d’un organisme de formation, de France Travail ou d’un autre acteur lié à leur parcours professionnel.
Un attaquant peut également exploiter ces informations pour tenter d’obtenir des données supplémentaires sous prétexte de mettre à jour un dossier, confirmer une inscription ou compléter une démarche administrative.
Les dates de naissance augmentent fortement la sensibilité de la fuite
La présence des dates de naissance complètes constitue l’un des principaux points sensibles. Cette information est encore régulièrement utilisée pour vérifier l’identité d’une personne lors d’un échange avec un service client ou une administration.
Associée au téléphone et à l’adresse postale, elle peut donc faciliter certaines attaques d’ingénierie sociale et d’usurpation d’identité.
Une fuite revendiquée mais dont l’origine reste à établir
À ce stade, la base est uniquement revendiquée par xMetah. Les échantillons montrent bien des données structurées et cohérentes avec des dossiers administratifs contenant de nombreuses informations personnelles, mais l’origine exacte du fichier n’est pas encore établie.
Il reste notamment à déterminer si l’AFPA a directement subi une compromission, si les données proviennent d’un partenaire ou d’un ancien environnement, ainsi que la période couverte par les 971 420 enregistrements.
Une confirmation de l’AFPA permettra également de connaître le nombre réel de personnes concernées et de déterminer si d’autres catégories de données ont pu être compromises au-delà de celles visibles dans les échantillons diffusés.
Il y a un mois, un autre hacker avait revendiqué l’accès à des comptes, et des accès administrateur avaient été publiés.