Fuite de données massive à Pôle Emploi, des numéros de sécu sur le dark net !

Pôle Emploi a pub­lié un com­mu­niqué mer­cre­di 23 août pour prévenir que des don­nées avaient été volées à l’un de ses sous-trai­tant par un hack­er qui les a mis­es en vente sur le dark net. La fuite des don­nées est sus­cep­ti­ble de con­cern­er 10 mil­lions de per­son­nes inscrites à Pôle emploi en févri­er 2022 ou en ces­sa­tion d’inscription depuis moins de 12 mois à cette date-là.

Par­mi les don­nées volées se trou­vent les « noms et prénoms, statut actuel ou ancien de deman­deur d’emploi » et surtout le « numéro de sécu­rité sociale » !

Les adress­es e‑mail, numéros de télé­phone, mots de passe et coor­don­nées ban­caires ne seraient a pri­ori pas con­cernés. Toute­fois d’après un expert en cyber intel­li­gence, la fuite pour­rait aller beau­coup plus loin (mails, code postal et même numéro de per­mis de con­duire…).

À l’origine de la fuite : le piratage de Majorel

Inca­pable de gér­er l’ensemble des dossiers, dû à un manque d’effectif et à une mul­ti­pli­ca­tions des privés d’emplois, Pôle emploi exter­nalise le traite­ment des doc­u­ments de ses usagers à des prestataires privés. Une sous-trai­tance qui a des impacts sur le traite­ment des dossiers des deman­deurs d’emploi, car le sous-trai­tant étant payé à l’acte, cela entraîne bon nom­bre d’erreurs que doivent ensuite cor­riger les con­seillers de Pôle Emploi…

La société Majorel fait par­tie de ces sous-trai­tant de Pôle Emploi et c’est elle qui s’est fait pirater les don­nées per­son­nelles des deman­deurs d’emploi !

Majorel est une entre­prise née de la fusion entre Arva­to (groupe Ber­tels­mann) et Saham, société maro­caine en 2019. Elle appar­tient à un groupe lux­em­bour­geois côté en bourse qui tra­vaille entre autres avec EEDF, le min­istère du loge­ment, Orange, etc.

Elle est chargée auprès de Pôle Emploi de la numéri­sa­tion et du traite­ment des doc­u­ments envoyés par les deman­deurs d’emploi.

Cette entre­prise privée se présente comme le « leader inter­na­tion­al de ges­tion de la rela­tion client » et des cen­tres d’appel et comme l’un des « lead­ers de la mod­éra­tion, de la sécu­rité et de la vérac­ité des con­tenus en ligne », ça ne l’a pour­tant pas empêché de se faire pirater ! De toute évi­dence elle n’a pas su sécuris­er cor­recte­ment son sys­tème infor­ma­tique.

Voilà où con­duit la numéri­sa­tion mas­sive des ser­vices publics et leur pri­vati­sa­tion. Les usagers n’ont plus la main sur leurs don­nées per­son­nelles qui tombent entre les mains de prestataires privés, dont il n’est pas pos­si­ble de sur­veiller les agisse­ments et dont les sys­tèmes peu sécurisés sont plus sus­cep­ti­bles d’être piratés.

Ce n’est pas la pre­mière fois que Pôle Emploi doit faire face à une fuite de don­nées. En juin 2021, 1,2 mil­lion de don­nées per­son­nelles de 120.000 per­son­nes avaient été piratées et mise en ligne. Cela n’avait toute­fois pas con­cerné les numéros de sécu­rité sociale des deman­deurs d’emploi.

D’après l’ex­pert en cyber­sécu­rité Clé­ment Domin­go, « Au mois de mai 2023, il y a eu une vaste cam­pagne de cyber­at­taques suite au piratage d’un logi­ciel qu’utilisait ce prestataire de Pôle Emploi. Une faille mon­di­ale a été util­isée par ces acteurs malveil­lants – le groupe Clop – pour touch­er plus de 500 organ­ismes dans le monde, dont Pôle Emploi »,

Aujourd’hui Pôle Emploi a saisi la CNIL, une enquête sur la cyber attaque est en cours et Pôle Emploi n’exclut pas de porter plainte con­tre Majorel…

Cela dit, cette fuite de don­nées pose égale­ment ques­tion quant au développe­ment de plus en plus poussé de l’interconnexion des fichiers d’identification.

Si le numéro de sécu­rité sociale a pu être piraté en accé­dant au fichi­er de Pôle Emploi, c’est parce que ce pro­jet d’interconnexion per­met aujourd’hui l’accès au numéro de sécu­rité sociale par de plus en plus d’organismes publics et privés !

Petite his­toire du numéro de sécu­rité sociale

Au début des années 70 le min­istère de l’intérieur a décidé de met­tre en place le pro­jet « sys­tème automa­tisé pour les fichiers admin­is­trat­ifs et les réper­toires indi­vidu­els » (SAFARI). Le but ? Reli­er toutes les infor­ma­tions que l’Etat pou­vait avoir avec le numéro de sécu­rité sociale.

Sujet à la con­tro­verse, le pro­jet SAFARI déboucha sur une com­mis­sion d’enquête qui don­na nais­sance à la Com­mis­sion nationale de l’informatique et des lib­ertés (CNIL) et à la loi Infor­ma­tique et Lib­ertés du 6 jan­vi­er 1978, socle de la pro­tec­tion des don­nées per­son­nelles, encore en vigueur aujourd’hui.

Offi­cielle­ment, le pro­jet SAFARI a été aban­don­né à ce moment là, mais la CNIL en a validé une par­tie par la créa­tion du : « réper­toire nationale d’identification des per­son­nes physiques » (RNIPP), un réper­toire français tenu par l’In­see, ser­vant de « mètre étalon » pour faciliter « la véri­fi­ca­tion de l’état-civil des per­son­nes sur le compte desquelles des infor­ma­tions sont enreg­istrées ».

Le numéro d’inscription à ce réper­toire (NIR) est ce que nous appelons couram­ment « numéro de sécu­rité sociale ». Autrement dit, le numéro de sécu­rité sociale est donc un code numérique ser­vant à iden­ti­fi­er de façon unique une per­son­ne dans le réper­toire nation­al d’i­den­ti­fi­ca­tion des per­son­nes physiques (RNIPP) géré par l’IN­SEE, dans les con­di­tions définies par le décret no 82–103 du 22 jan­vi­er 1982 mod­i­fié.

L’in­ven­teur de l’actuel numéro de Sécu­rité sociale est le con­trôleur général des armées René Carmille, dont nous avons déjà par­lé dans un précé­dent arti­cle. Spé­cial­iste de la mécanogra­phie par cartes per­forées, il a inven­té ce numéro à l’oc­ca­sion d’une mis­sion de réor­gan­i­sa­tion des bureaux de recrute­ment de l’ar­mée. Le « numéro Carmille », orig­inelle­ment d’usage stricte­ment mil­i­taire a survécu, après la libéra­tion dans un usage pure­ment civ­il.

L’accès au réper­toire nationale d’identification des per­son­nes physiques (RNIPP) a d’abord été accordé aux organ­ismes de la « sphère médi­co-sociale », à com­mencer par la Sécu­rité sociale, puis il s’est, selon les mots de la CNIL, « dif­fusé » pour « con­t­a­min­er (…) tout le champ des rap­ports entre employeurs et salariés d’une part, et celui de la san­té, d’autre part ».

C’est pourquoi le NIR est aujour­d’hui util­isé par tous les organ­ismes liés à la sécu­rité sociale et à la san­té, par le Pôle emploi, le fisc, les employeurs, etc.

Ces inter­con­nex­ions, via l’u­til­i­sa­tion du NIR, ont « générale­ment pour but de véri­fi­er la réal­ité de la sit­u­a­tion sociale des deman­des ». Pôle Emploi l’utilise donc pour con­trôler les allo­cataires.

La CNIL s’est opposée à la « ten­dance à la général­i­sa­tion de l’emploi du NIR » et a pré­con­isé l’usage d’i­den­ti­fi­ants spé­ci­fiques aux dif­férentes admin­is­tra­tions, afin de frein­er l’in­ter­con­nex­ion des fichiers. Cela a con­duit à la créa­tion du NUMEN dans l’Éducation Nationale, puis de l’INE (« iden­ti­fi­ant nation­al étu­di­ant »). Mais cela n’a pas empêché les organ­ismes publics comme Pôle Emploi d’y avoir accès, ni même le fisc, qui dis­po­sait pour­tant d’un iden­ti­fi­ant spé­ci­fique (le SPI, « sim­pli­fi­ca­tion des procé­dures d’i­den­ti­fi­ca­tion »), mais qui s’est retrou­vé autorisé à utilis­er le NIR par l’ar­ti­cle 107 de la loi de finances de 1999 (1).

« Mesur­er l’extension de l’usage du NIR n’est pas une chose aisée. Certes, il ne fig­ure ni sur les cartes d’identité, ni sur les passe­ports, pas davan­tage sur les per­mis de con­duire ou les bul­letins des recense­ments de la pop­u­la­tion… Mais la liste des traite­ments infor­ma­tiques com­por­tant l’usage du NIR, telle qu’elle est énon­cée dans le décret 2019–34171 s’étale sur plus de 7 pages (A4) dont seules les deux pre­mières por­tent sur des appli­ca­tions de la « sphère médi­co-sociale » à laque­lle elle devait s’arrêter. Le reste porte sur les domaines du tra­vail et de l’emploi, sur les champs financier, fis­cal et douanier, dans le champ de la jus­tice, de la sta­tis­tique publique et du recense­ment, dans celui de l’éducation et dans celui du loge­ment. »

Claude Poulain, « Le pro­jet SAFARI (1970−1974) », Ter­mi­nal [En ligne], 134–135 | 2022, mis en ligne le 12 octo­bre 2022, con­sulté le 28 août 2023. URL : http://journals.openedition.org/terminal/8787 ; DOI : https://doi.org/10.4000/terminal.8787

Pour savoir si vous êtes con­cernés par cette fuite de don­nées

Pôle Emploi a annon­cé que les deman­deurs d’emplois con­cernés par cette fuite de don­nées seraient con­tac­tés par mail par l’agence « dans les meilleurs délais ». Si vous êtes con­cernés vous devriez donc être tenu au courant plus ou moins rapi­de­ment.

Si vous êtes con­cernés soyez vig­i­lants, vous ris­quer de voir votre iden­tité usurpée, mais aus­si à recevoir des ten­ta­tives d’arnaques phish­ing par mail ou télé­phone par­ti­c­ulière­ment con­va­in­cantes. Avec le vol­ume des don­nées récupérées, les hack­ers seront en mesure de mon­ter des arnaques plus crédi­bles. Si vous recevez un mail de Pôle Emploi qui vous demande de ren­seign­er votre iden­ti­fi­ant et votre mot de passe, n’y répon­dez pas.

Prenez garde aus­si aux mails pro­mo­tion­nels ou offi­ciels que vous pour­riez recevoir dans les semaines à venir, véri­fiez sys­té­ma­tique­ment les adress­es mails pour vous assur­er qu’elles cor­re­spon­dent à la nomen­cla­ture de Pôle Emploi. En cas de doute, informez votre con­seiller Pôle Emploi ou appel­er le 39 49 pour con­firmer l’authenticité du mail.

Atten­tion aus­si aux cour­ri­ers en prove­nance de l’Assurance mal­adie ! Votre numéro de sécu­rité sociale faisant par­tie des don­nées dérobées il pour­ra être util­isé pour des ten­ta­tives d’intrusion sur votre espace Ameli. Des cyber­crim­inels ayant acheté les don­nés sur le dark net pour­raient vous envoy­er un sms pour deman­der d’ac­tu­alis­er votre carte vitale.

« L’objectif est de pouss­er la vic­time à cli­quer sur un lien malveil­lant, qui par exem­ple installe sur son ordi­na­teur un logi­ciel qui crypte ses fichiers, puis exiger une rançon pour les déver­rouiller. Des don­nées médi­cales per­me­t­tent d’exercer des chan­tages, des don­nées fis­cales de se faire envoy­er de l’argent pour un rap­pel d’impôt imag­i­naire, etc. »

Agence France-Presse, “Les don­nées de 10 mil­lions de deman­deurs d’emploi en vente sur le web”, medi­a­part

Gare à France Con­nect !

Aujourd’hui le numéro de sécu­rité sociale n’est plus seule­ment une don­née partagée entre organ­ismes publics et privés, il per­met égale­ment aux usagers qui le souhait­ent de se con­necter sur France Con­nect !

France Con­nect est un por­tail infor­ma­tique créé en 2018, cen­sé faciliter la con­nex­ion aux ser­vices publics et démarch­es en ligne. Il per­met entre autre d’ouvrir un compte ban­caire, d’accéder à son dossier médi­cal, faire une demande de carte grise, gér­er ses pro­jets de for­ma­tion…).

Voir notre arti­cle : https://halteaucontrolenumerique.fr/?p=2637

Pour l’instant Pôle Emploi aler­tent les usagers surtout sur le risque d’arnaque par mails. Cepen­dant on peut se deman­der si les usagers util­isant France Con­nect ne risquent pas d’être exposés à un vol de plus grande enver­gure…

Le manque de sécu­rité de France con­nect est con­nu depuis longtemps. Au cours de l’été 2022, plusieurs cas de fraudes au Compte per­son­nel de for­ma­tion (CPF) ont été com­mis­es, via l’usurpation d’identité. Ces cas de piratages ont entraîné une sus­pen­sion de l’utilisation de France Con­nect dans plusieurs ser­vices en sep­tem­bre 2022.

Suite à cela, le gou­verne­ment a ren­for­cé la sécu­rité via France­con­nect+. Cette mis à jour de France Con­nect a mis en place une lim­i­ta­tion des iden­tités numériques per­me­t­tant de se con­necter au por­tail numérique et a ren­for­cé les dis­posi­tifs de sécu­rité d’authentification.

Au départ, on pou­vait s’identifier sur France Con­nect à par­tir de plusieurs entrées : comptes impots.gouv.fr, ameli, mutu­al­ité sociale agri­cole, Yris [qui utilise la recon­nais­sance faciale] et l’I­den­tité numérique La Poste. Désor­mais avec France Con­nect +, seule cette dernière est util­is­able. Le gou­verne­ment a aus­si mis en place une authen­tifi­ca­tion à deux fac­teurs, sim­i­laire à ce que les util­isa­teurs con­nais­sent pour leurs trans­ac­tions ban­caires.

Seule­ment France­Con­nect+ ne fonc­tionne que pour les démarch­es les plus sen­si­bles, (comme ouvrir un compte ban­caire, accéder à son dossier médi­cal, recevoir des let­tres recom­mandées élec­tron­iques…). Pour le reste, c’est l’utilisation clas­sique de France­Con­nect qui est mise en place.

Dif­fi­cile de dire dans ces con­di­tions quelle est l’ampleur des risques cou­rus par les usagers de Pôle Emploi vic­times du piratage…

Si vous pensez avoir été vic­time d’une usurpa­tion d’identité en ligne sur France Con­nect, il faut aller voir la rubrique d’aide dédiée sur le site : https://franceconnect.gouv.fr/faq#SECURITE

On préfér­erait cela dit ne pas avoir avoir affaire à une FAQ sur un site…

En con­clu­sion, le sys­tème de Pôle Emploi est tout sauf sécurisé. Alors que l’É­tat vante le tout numérique et déploie de plus en plus l’in­ter­con­nex­ion entre les fichiers de don­nées per­son­nelles, il ne prend même pas la peine de sécuris­er ces dites don­nées.

Non seule­ment, Pôle Emploi utilise un sys­tème microsoft prop­ice aux risques de piratage et à l’im­mix­tion étrangère (2), mais en plus il sous-traite la ges­tion des dossiers à des boîtes privées au sys­tème de sécu­rité défail­lant.

Il faut savoir qu’un jeu de don­nées d’identité com­plet per­met de vol­er une iden­tité, par exem­ple pour ouvrir un compte ban­caire en ligne ou ren­voy­er des amendes routières vers un incon­nu. Aux Etats-Unis, les cas d’usurpation ont explosé.

Pour la société de cyber­sécu­rité Anozr Way « Au vu du nom­bre des don­nées qui cir­cu­lent, en Europe, dans cinq ans, cela risque d’être hor­ri­ble (…)  il y a une chance sur deux pour que vos don­nées soient en vente sur le dark web ».

D’ici novem­bre 2024, la direc­tive européenne NIS2 oblig­era des mil­liers d’entreprises et admin­is­tra­tions à ren­forcer leur cyber­sécu­rité.

Mais au delà de l’aspect sécu­rité, c’est cette inter­con­nex­ion des don­nées qui est crit­i­ca­ble en soit, car elle nous empêche de plus en plus de garder la main-mise sur nos don­nées per­son­nelles, en plus de nous expos­er à un risque de sur­veil­lance et de fichage plus glob­al.

À ce sujet voir notre arti­cle : https://halteaucontrolenumerique.fr/?p=2637

Pour repren­dre la main sur nos don­nées per­son­nelles et ce sys­tème infor­ma­tique de classe­ment et de sur­veil­lance des agents et des usagers, nous pro­posons un ate­lier Droits soci­aux lors de la con­ven­tion qui se déroulera le 15 et 16 sep­tem­bre 2023.

Si vous êtes intéressé par cet ate­lier et souhaiter par­ticiper à la réflex­ion col­lec­tive le temps d’une journée (dans la mesure des places disponibles) , vous pou­vez envoy­er un mail à : halteaucontrolenumerique@protonmail.com

Vous serez recontacté·es.

Notes

1. « L’article 22 de la loi n° 78–17 du 6 jan­vi­er 2018 rel­a­tive à l’informatique, aux fichiers et aux lib­ertés, dans sa rédac­tion issue de l’article 11 de la loi n° 2018–498 du 20 juin 2018, encadre le traite­ment du NIR et ren­voie au gou­verne­ment la charge d’en détailler ceux qui sont autorisés. C’est le décret n° 2019-341 du 19 avril 2019 qui expose la liste de ces traite­ments, soit qu’ils por­tent sur l’exploitation du NIR, soit qu’ils por­tent sur la con­sul­ta­tion du Réper­toire Nation­al d’Identification des Per­son­nes Physiques. Ces traite­ments sont répar­tis dans 8 grands champs d’application : la pro­tec­tion sociale ; la san­té ; le tra­vail et l’emploi ; la finance, la fis­cal­ité et les douanes ; la jus­tice ; les sta­tis­tiques ; l’éducation et le loge­ment. » https://accens-avocats.com/blog/2019/05/13/utilisation-du-numero-de-securite-sociale-nir-dans-les-traitement-de-donnees-des-esms/
2. Microsoft a par ailleurs été accusé « d’entraîner illé­gale­ment » ses tech­nolo­gies d’intelligence arti­fi­cielle (IA) à par­tir des don­nées de Twit­ter https://www.mediapart.fr/journal/fil-dactualites/190523/twitter-acc

Pour aller plus loin

Fuite de don­nées à Pôle emploi: 10 mil­lions de per­son­nes poten­tielle­ment touchées (BFMTV)

Pôle Emploi 2.0. : dans l’enfer de l’administration numérique (HACN)

Claude Poulain, « Le pro­jet SAFARI (1970−1974) » (jour­nal open edi­tion)

Class­er pour domin­er : petite his­toire cri­tique du fichage en France (LQDN)

Par ces fichiers, l’E­tat organ­ise son con­trôle et sa dom­i­na­tion sur la pop­u­la­tion (HACN)

Pré­caires sous plate­forme : la grande arnaque de France Tra­vail (HACN)