Un pirate informatique copie un fichier sur son ordinateur - Illustration générée par IA
Une faille chez un prestataire, pas dans les ordinateurs de l'Afpa
La fuite ne vient pas des ordinateurs de l'Afpa. Elle part d'un logiciel que l'organisme utilisait pour gérer ses hébergements, confié à un prestataire. Samedi 19 septembre, Pierre Prady, directeur adjoint de l'Afpa, a expliqué à l'AFP que deux hackers avaient revendiqué mercredi et jeudi le vol de données personnelles, et que les premières vérifications internes relevaient une « potentielle extraction de données » liée à une faille de cet outil. Le logiciel est hébergé chez un éditeur tiers, extérieur au système d'information de l'agence, dont l'Afpa n'a pas donné le nom.
Pour vous, cette nuance ne change pas grand-chose. Les fiches rangées dans cet outil sont celles de personnes passées par l'Afpa, et c'est à l'Afpa que vous aviez confié votre identité en vous inscrivant. Le règlement européen sur les données est clair sur ce point : l'organisme qui collecte vos informations en reste responsable, même quand un prestataire les héberge pour son compte.
Pour vous, cette nuance ne change pas grand-chose. Les fiches rangées dans cet outil sont celles de personnes passées par l'Afpa, et c'est à l'Afpa que vous aviez confié votre identité en vous inscrivant. Le règlement européen sur les données est clair sur ce point : l'organisme qui collecte vos informations en reste responsable, même quand un prestataire les héberge pour son compte.
La Newsletter SeniorActu
Chaque vendredi
Retraite, santé, pouvoir d'achat : la synthèse de l'actualité des seniors directement dans votre boîte mail.
Stagiaires, hébergés, reconvertis : qui peut figurer dans le fichier
L'Agence nationale pour la formation professionnelle des adultes forme des salariés qui changent de métier et des demandeurs d'emploi qui préparent un titre professionnel. Beaucoup de ses stagiaires ont été logés sur place, dans le centre où se déroulait leur formation, pendant plusieurs semaines. Et c'est précisément la gestion de ces hébergements que le logiciel piraté assurait. Beaucoup d'entre nous connaissent d'ailleurs un proche passé par un centre Afpa après un licenciement.
Selon les premiers éléments fournis par l'organisme, l'application contenait des noms, des adresses et éventuellement des numéros de téléphone. Elle ne comportait a priori ni données bancaires ni numéro de Sécurité sociale. Le site spécialisé FrenchBreaches, qui dit avoir examiné des échantillons du fichier, y relève aussi des dates de naissance et des dossiers qui s'étalent de 2006 à 2026. Cette période n'a pas été confirmée par l'Afpa.
Vous avez suivi un stage qualifiant au milieu des années 2000, ou une remise à niveau il y a trois ans ? Vous êtes donc peut-être dans le lot. Nous ne pouvons pas vous en dire plus à ce stade, et l'Afpa non plus : elle indique devoir encore établir quelles données ont été extraites et combien de personnes sont réellement touchées, avant de prévenir celles qui le sont.
Selon les premiers éléments fournis par l'organisme, l'application contenait des noms, des adresses et éventuellement des numéros de téléphone. Elle ne comportait a priori ni données bancaires ni numéro de Sécurité sociale. Le site spécialisé FrenchBreaches, qui dit avoir examiné des échantillons du fichier, y relève aussi des dates de naissance et des dossiers qui s'étalent de 2006 à 2026. Cette période n'a pas été confirmée par l'Afpa.
Vous avez suivi un stage qualifiant au milieu des années 2000, ou une remise à niveau il y a trois ans ? Vous êtes donc peut-être dans le lot. Nous ne pouvons pas vous en dire plus à ce stade, et l'Afpa non plus : elle indique devoir encore établir quelles données ont été extraites et combien de personnes sont réellement touchées, avant de prévenir celles qui le sont.
971 420 ou 1 732 811 : deux chiffres à ne pas additionner
Deux pirates se partagent la revendication. Le premier, xMetah, a mis en vente 971 420 enregistrements. Le second, Cybernox, a revendiqué dans la foulée 1 732 811 lignes. Rien ne dit encore si les deux fichiers se recoupent : FrenchBreaches met en garde contre toute addition. Cybernox n'en est pas à son coup d'essai, puisqu'il avait déjà exposé un mois plus tôt 101 comptes liés à l'Afpa, selon le site Cyberattaque.org.
Le coup de fil qui peut suivre la fuite de vos coordonnées
Un nom, une adresse, un numéro de téléphone : pris séparément, ces renseignements paraissent anodins. Réunis, ils permettent à un escroc de vous appeler par votre nom, de citer votre commune et d'évoquer la formation que vous avez suivie. Le dispositif public Cybermalveillance.gouv.fr place l'hameçonnage ciblé, par SMS, par mail ou par téléphone, en tête des conséquences d'une fuite de ce genre.
Le scénario le plus probable passe par un faux interlocuteur de l'Afpa ou de France Travail, qui oriente de nombreux demandeurs d'emploi vers ces formations. Cyberattaque.org met justement en garde contre des appels et des messages émis en leur nom. Le prétexte peut varier, une régularisation de dossier, un remboursement de frais de stage, une vérification d'identité. À la fin, pourtant, la demande est toujours la même : un code reçu par SMS, une copie de votre pièce d'identité ou vos coordonnées bancaires.
Sauf que la parade ne dépend pas de ce que raconte votre interlocuteur. Cybermalveillance.gouv.fr recommande d'authentifier systématiquement la personne en contactant vous-même l'organisme à ses coordonnées officielles, et de redoubler de méfiance quand on vous presse d'agir vite. Si un escroc a déjà obtenu de l'argent, gardez les messages et déposez plainte.
Je vous le dis comme je le pense : une fuite de coordonnées ne vide pas un compte en banque, c'est le coup de fil qui la suit qui le fait. Et ce coup de fil peut arriver des mois plus tard, quand plus personne ne parle de l'Afpa.
Le scénario le plus probable passe par un faux interlocuteur de l'Afpa ou de France Travail, qui oriente de nombreux demandeurs d'emploi vers ces formations. Cyberattaque.org met justement en garde contre des appels et des messages émis en leur nom. Le prétexte peut varier, une régularisation de dossier, un remboursement de frais de stage, une vérification d'identité. À la fin, pourtant, la demande est toujours la même : un code reçu par SMS, une copie de votre pièce d'identité ou vos coordonnées bancaires.
Sauf que la parade ne dépend pas de ce que raconte votre interlocuteur. Cybermalveillance.gouv.fr recommande d'authentifier systématiquement la personne en contactant vous-même l'organisme à ses coordonnées officielles, et de redoubler de méfiance quand on vous presse d'agir vite. Si un escroc a déjà obtenu de l'argent, gardez les messages et déposez plainte.
Je vous le dis comme je le pense : une fuite de coordonnées ne vide pas un compte en banque, c'est le coup de fil qui la suit qui le fait. Et ce coup de fil peut arriver des mois plus tard, quand plus personne ne parle de l'Afpa.
Écrire à l'Afpa pour savoir si votre dossier a fuité
Inutile d'attendre le courrier de l'Afpa. La CNIL rappelle qu'elle ne peut pas confirmer elle-même la présence de vos données dans un fichier volé : c'est à l'organisme responsable qu'il faut s'adresser. Le règlement européen vous ouvre un droit d'accès, qui oblige l'Afpa à vous dire si elle détient des données sur vous, et lesquelles. La demande s'envoie à son délégué à la protection des données, par mail à [email protected] ou par courrier à l'Afpa, Direction juridique, Tour Cityscope, 3 rue Franklin, 93100 Montreuil.
Or cette démarche peut aller plus loin que la simple vérification. Si vous n'avez plus aucun lien avec l'Afpa, vous pouvez réclamer dans la même lettre l'effacement de vos données, comme le conseille la fiche de Cybermalveillance.gouv.fr consacrée aux fuites de données personnelles, qui renvoie vers un modèle de courrier de la CNIL.
En revanche, l'Afpa n'a mentionné ni notification à la CNIL ni dépôt de plainte, relève Clubic. Le règlement lui impose de signaler une violation à la CNIL sous 72 heures, sauf risque improbable pour les personnes. Le précédent de France Travail montre ce que coûte une sécurité jugée insuffisante : le 22 janvier 2026, la CNIL lui a infligé 5 millions d'euros d'amende pour une fuite survenue en 2024, obtenue elle aussi par un détour, en usurpant des comptes de conseillers Cap emploi. Pour ce type de manquement, le plafond applicable à France Travail était de 10 millions d'euros.
Cette fuite tombe mal pour l'Afpa, qui venait d'annoncer un plan social. Pour vous, l'essentiel se joue ailleurs : dans la lettre que vous pouvez envoyer sans attendre, et dans le coup de fil auquel vous saurez ne pas répondre.
Or cette démarche peut aller plus loin que la simple vérification. Si vous n'avez plus aucun lien avec l'Afpa, vous pouvez réclamer dans la même lettre l'effacement de vos données, comme le conseille la fiche de Cybermalveillance.gouv.fr consacrée aux fuites de données personnelles, qui renvoie vers un modèle de courrier de la CNIL.
En revanche, l'Afpa n'a mentionné ni notification à la CNIL ni dépôt de plainte, relève Clubic. Le règlement lui impose de signaler une violation à la CNIL sous 72 heures, sauf risque improbable pour les personnes. Le précédent de France Travail montre ce que coûte une sécurité jugée insuffisante : le 22 janvier 2026, la CNIL lui a infligé 5 millions d'euros d'amende pour une fuite survenue en 2024, obtenue elle aussi par un détour, en usurpant des comptes de conseillers Cap emploi. Pour ce type de manquement, le plafond applicable à France Travail était de 10 millions d'euros.
Cette fuite tombe mal pour l'Afpa, qui venait d'annoncer un plan social. Pour vous, l'essentiel se joue ailleurs : dans la lettre que vous pouvez envoyer sans attendre, et dans le coup de fil auquel vous saurez ne pas répondre.
