Le piratage de l'Afpa est revendiqué par des cybercriminels et pourrait concerner jusqu'à 1,7 million de personnes. L'Agence nationale pour la formation professionnelle des adultes (Afpa) l'a indiqué un samedi, quelques jours seulement après l'annonce d'un plan social. L'organisme évoque une faille sur un outil de gestion des hébergements, hébergé chez un éditeur tiers, et affirme qu'« a priori » aucune donnée bancaire ni numéro de Sécurité sociale n'était accessible.
Cet article distingue ce qui est confirmé par l'Afpa, ce qui n'est que revendiqué, et ce qu'il est utile de faire, que vous ayez été en contact avec l'organisme ou que vous gériez vous-même des prestataires.
Ce que l'on sait du piratage de l'Afpa
Selon les informations rapportées par franceinfo, deux pirates ont revendiqué un mercredi et un jeudi avoir récupéré des données personnelles provenant de l'Afpa. Après de premières investigations, l'organisme dit avoir constaté « une potentielle extraction de données qui serait liée à une faille sur l'outil » utilisé pour gérer ses hébergements.
Son directeur adjoint, Pierre Prady, précise que cet outil est hébergé chez un éditeur tiers et qu'il est externe au système d'information de l'Afpa. Il n'y a donc « pas eu a priori d'impact sur les services et systèmes d'information » de l'agence.
Le média régional Mediaterranee indique que la revendication a été publiée à la mi-septembre 2026 sur un forum cybercriminel par un individu se présentant sous le pseudonyme « Cybernox ».
À retenir : à ce stade, l'ampleur (1,7 million de personnes) est un maximum potentiel, et l'origine de la fuite (un outil chez un prestataire) est une piste avancée par l'Afpa, pas un rapport d'expertise publié.
Confirmé, revendiqué, inconnu
| Élément | Statut | Détail |
|---|---|---|
| Revendication par des pirates | Confirmé par l'Afpa | Deux personnes revendiquent, selon l'organisme |
| Nombre de personnes | Potentiel | « Jusqu'à » 1,7 million, périmètre en cours d'examen |
| Origine | Piste de l'Afpa | Faille sur un outil de gestion des hébergements, chez un éditeur tiers |
| Données concernées | Déclaré par l'Afpa | Noms, adresses et éventuellement numéros de téléphone |
| Données revendiquées | Non confirmé | Identités, dates de naissance, adresses, téléphones, de 2006 à 2026 |
| Données bancaires, numéros de Sécurité sociale | « A priori » absents | Formulation prudente de l'Afpa |
| Notification à la CNIL | Non précisée publiquement | Aucune information consultée ne la confirme |
Un point mérite attention : les données déclarées par l'Afpa (noms, adresses, éventuellement téléphones) et celles revendiquées par le forum (avec dates de naissance et couvrant vingt ans) ne sont pas identiques. Seule la fin de l'enquête permettra de trancher.
Quels risques pour les personnes concernées ?
Même sans donnée bancaire, des données d'identité et de contact restent exploitables. La plateforme Cybermalveillance.gouv.fr rappelle qu'une fuite de ce type peut mener à de l'hameçonnage ciblé par SMS, e-mail ou téléphone, à des tentatives d'escroquerie, à de l'usurpation d'identité ou à des tentatives de piratage de comptes en ligne.
Pour un organisme de formation, un scénario est plausible : un faux message se faisant passer d'un organisme, d'un financeur ou d'un service administratif, citant votre nom et votre adresse pour paraître authentique. Il s'agit ici d'un raisonnement de prudence, pas d'une campagne observée.
Les bons réflexes après une fuite de données
- Ne cliquez sur aucun lien d'un message qui évoque l'Afpa, une formation ou un dossier, surtout s'il crée une urgence.
- Authentifiez l'interlocuteur : rappelez l'organisme via les coordonnées officielles de son site, jamais celles du message.
- Changez vos mots de passe si vous aviez un compte concerné, et sur tout site où vous réutilisiez le même.
- Activez la double authentification sur vos comptes importants (messagerie, banque, administration).
- Surveillez vos relevés et signalez toute tentative d'arnaque sur les dispositifs officiels.
Pour vérifier un message douteux, vous pouvez inspecter ses en-têtes avec l'analyseur d'e-mails (.eml), contrôler une adresse avec le décodeur de liens suspects, et relire notre guide pour analyser un e-mail de phishing.
Que dit le RGPD sur ce type d'incident ?
Le règlement européen impose des délais et des devoirs précis. D'après la CNIL, le responsable de traitement doit notifier une violation « dans les meilleurs délais et au plus tard 72 heures » après en avoir pris connaissance. Si la violation présente un risque élevé pour les personnes, elles doivent aussi être informées, avec la nature de la violation, ses conséquences probables, les coordonnées du responsable ou du délégué à la protection des données et les mesures prises.
Le rôle du prestataire est également encadré : le sous-traitant doit notifier au responsable de traitement toute violation dans les meilleurs délais après en avoir pris connaissance. Cela concerne directement le cas de l'Afpa, où l'outil est géré par un éditeur externe. Les modalités pratiques de notification sont détaillées sur le service de la CNIL.
Le risque tiers : la leçon pour les organisations
L'Afpa souligne que son système d'information n'aurait pas été touché : le problème viendrait d'un outil hébergé ailleurs. Ce schéma est courant : la donnée quitte le périmètre de l'organisme, mais la responsabilité vis-à-vis des personnes reste la sienne. Quelques pistes concrètes, valables pour toute structure :
- Cartographier les prestataires qui hébergent ou traitent des données personnelles, y compris les petits outils métiers (gestion d'hébergements, de sessions, de rendez-vous).
- Contractualiser la notification : délai maximal d'alerte du prestataire, contact d'urgence, obligation de coopération pendant l'enquête.
- Limiter la donnée : ne confier au prestataire que ce qui est nécessaire, et définir une durée de conservation, avec purge des données anciennes.
- Exiger des garanties d'accès : authentification forte, journalisation et revue régulière des accès et des exports.
- Préparer la crise : un playbook « fuite chez un prestataire » avec les rôles, le calendrier des 72 heures et les modèles de message aux personnes.
Pour évaluer rapidement l'impact d'un incident de ce type, l'analyse d'impact DIC(T) aide à qualifier disponibilité, intégrité, confidentialité et traçabilité.
Suite à surveiller
L'Afpa dit examiner l'étendue des données et des personnes concernées avant de les prévenir. Les prochaines annonces devraient préciser le périmètre réel, la nature exacte des données, la date de l'extraction et le prestataire concerné, ainsi que les éventuelles démarches auprès de la CNIL. Cet article sera complété si de nouveaux éléments officiels sont publiés.
Points clés
- Le piratage de l'Afpa concernerait potentiellement 1,7 million de personnes, selon les déclarations de l'organisme.
- L'origine serait un outil de gestion des hébergements chez un éditeur tiers, extérieur au système d'information de l'Afpa.
- Les données bancaires et de Sécurité sociale seraient « a priori » absentes ; noms, adresses et téléphones seraient concernés.
- Le principal risque est l'hameçonnage ciblé : méfiez-vous des messages qui citent vos informations personnelles.
- Pour les organisations, la maîtrise des prestataires et la préparation d'une notification en 72 heures sont décisives.