Fuites de données d’octobre : la CAF, France Travail et le Quai d’Orsay dans le deuxième bilan REACTIV de l’ANSSI

Le 12 novembre 2026, le CERT-FR, le centre de réponse aux incidents de l'ANSSI, a publié le deuxième bilan de l'opération REACTIV, qui recense les fuites de données dans les administrations françaises. Le nombre d'incidents signalés baisse sur le périmètre des ministères, mais les dossiers restent lourds : la CAF, France Travail, l'Office français de la biodiversité, l'Agence de services et de paiement et le ministère des Affaires étrangères figurent dans le rapport d'octobre.

REACTIV, pour Réponse et Action Interministérielle face aux Violations de données, a été lancé le 1er septembre 2026 à la demande du Premier ministre. Il donne à l'ANSSI le pouvoir d'imposer des mesures d'urgence aux ministères quand une fuite est détectée. Le premier bilan, publié le 30 septembre, recensait déjà 99 violations signalées depuis le 1er août 2026, dont 67 confirmées.

Ce que révèle le deuxième bilan REACTIV

Depuis le 30 septembre 2026, 64 nouvelles violations de données ont été portées à la connaissance de l'ANSSI. Sur ce total, 5 concernent des ministères ou des organismes publics qui en dépendent. L'agence note une baisse importante du nombre de violations détectées ou revendiquées sur ce périmètre. Mais le rapport insiste sur un point : les causes des incidents d'octobre sont exactement les mêmes que celles listées en septembre. Aucune faiblesse nouvelle n'a été mise en évidence.

Le schéma se répète d'un incident à l'autre : des identifiants volés servent à se connecter à une application avec des accès qui ont l'air légitimes, puis les données sont extraites en masse. Les attaquants n'ont souvent pas besoin de forcer quoi que ce soit.

La CAF, première victime par le nombre

L'incident le plus important du mois concerne la CAF. Entre le 8 et le 10 octobre, les données de vacaf.org, la plateforme d'aide aux vacances des caisses d'allocations familiales, ont été extraites de façon automatisée. Deux failles ont été combinées : des comptes de partenaires, volés par des logiciels malveillants qui récupèrent les identifiants enregistrés sur les postes, n'étaient pas protégés par une double authentification, et une adresse web exposait les identifiants des dossiers, ce qui permettait de consulter les dossiers des autres allocataires en changeant un numéro dans l'adresse.

L'ANSSI évoque près de 1,2 million de dossiers concernés. La Caisse nationale des allocations familiales, dans son communiqué du 2 novembre, parle de 1 619 893 allocataires concernés. Parmi les données extraites figurent les matricules, le quotient familial et les identités d'enfants. En revanche, ni les données bancaires ni les mots de passe ne feraient partie du lot, selon les informations publiées. Dans les deux cas, l'ampleur est considérable.

France Travail et l'Office français de la biodiversité

Le deuxième incident concerne France Travail. Le 26 septembre, des données ont été exfiltrées grâce au compte compromis d'un agent, alors que le second facteur, un code reçu par SMS, avait été validé. Le rapport ne précise pas comment ce code a été obtenu. La vente des données de plus de 60 000 agents et professionnels a été revendiquée le 8 octobre.

Troisième organisme cité, l'Office français de la biodiversité. Le 4 octobre, une faille de contrôle d'accès sur l'interface de paiement du portail d'inscription à l'examen du permis de chasser a exposé les données de plus de 1 000 personnes, dont des mineurs, publiées le jour même. Le site a été remis en ligne au cours du mois d'octobre, après correction des vulnérabilités. La faille est du même type que celle de la CAF : changer un identifiant dans l'adresse pour accéder aux données d'autrui.

Les Affaires étrangères et l'Agence de services et de paiement

Deux autres incidents complètent le tableau. Le 30 septembre, le portail DEFI de l'Agence de services et de paiement, qui gère la rémunération des stagiaires, a été compromis : les données de 30 500 usagers ont été exfiltrées, et ces usagers ont depuis été notifiés. Le 20 octobre, une intrusion a été détectée sur le portail des bibliothèques du ministère de l'Europe et des Affaires étrangères, où un tiers aurait utilisé des comptes techniques volés pour accéder aux données d'une centaine d'utilisateurs. Le nombre de personnes concernées est modeste, mais le symbole compte : même le Quai d'Orsay n'échappe pas à ces intrusions.

Toujours les mêmes failles

La liste des causes est identique à celle du mois précédent. L'absence de double authentification, ou une authentification faible reposant sur un seul mot de passe, arrive en tête. Vient ensuite la sous-traitance : un prestataire piraté qui dispose d'un accès au système ouvre la porte à l'attaquant. Les comptes compromis par des logiciels qui volent les identifiants enregistrés sur un poste forment la troisième cause. Les failles de type IDOR, qui permettent de consulter les données d'autrui en modifiant un numéro dans une adresse web, reviennent dans deux des cinq incidents du mois. Les défauts de développement et de configuration complètent la liste.

Ce qui progresse malgré tout

Le rapport n'est pas que négatif. L'ANSSI évoque des progrès significatifs, notamment sur la double authentification, et l'avancement global des objectifs 2026 de la feuille de route de sécurité numérique de l'État atteint 70 pour cent. En publiant un bilan mensuel, l'ANSSI rend visibles des incidents qui, sans cela, resteraient souvent dans l'ombre. Le prochain bilan dira si la baisse se confirme.

Si vous êtes allocataire de la CAF, demandeur d'emploi ou agent de France Travail, restez vigilant : les données volées servent souvent à des tentatives d'hameçonnage qui reprennent vos informations personnelles pour paraître crédibles. Ne cliquez jamais sur un lien reçu par message ou par courriel qui vous demande de saisir vos identifiants. La règle de base reste la même : un mot de passe unique par service, une double authentification activée partout où elle existe, et de préférence une clé de sécurité ou une clé d'accès plutôt qu'un code reçu par SMS.

Frequently Asked Questions

Qu'est-ce que l'opération REACTIV de l'ANSSI ?

REACTIV, pour Réponse et Action Interministérielle face aux Violations de données, est un dispositif lancé le 1er septembre 2026 à la demande du Premier ministre. Il permet à l'ANSSI d'imposer des mesures d'urgence aux ministères quand une fuite est détectée, et le CERT-FR publie un bilan mensuel des violations signalées.

Combien de personnes sont concernées par la fuite de la CAF ?

L'ANSSI évoque près de 1,2 million de dossiers extraits de vacaf.org entre le 8 et le 10 octobre. La Caisse nationale des allocations familiales parle de 1 619 893 allocataires concernés. Les données extraites comprennent les matricules, le quotient familial et les identités d'enfants, mais ni les données bancaires ni les mots de passe.

Pourquoi le code SMS n'est-il pas une bonne double authentification ?

Le code reçu par SMS peut être intercepté ou détourné, et le rapport REACTIV montre qu'un compte de France Travail a été compromis alors même que le second facteur par SMS avait été validé. Les spécialistes recommandent plutôt une clé de sécurité physique ou une clé d'accès, liées au site légitime et donc résistantes à l'hameçonnage.