France Travail, fuite de données : demandons des comptes à l’administration !

Chang­er de cap vient de sor­tir un com­mu­niqué sur la gigan­tesque fuite de don­nées de France Tra­vail que nous relayons dans cet arti­cle. Le col­lec­tif demande à ce que toute la lumière soit faite sur la respon­s­abil­ité de France Tra­vail et de ses prestataires. Nous soutenons et nous asso­cions à cette demande !

En mars dernier, France Tra­vail (ex-Pôle Emploi) a été la cible d’une cyber­at­taque, la base de don­nées extraite con­tient “les don­nées per­son­nelles d’i­den­ti­fi­ca­tion des per­son­nes actuelles inscrites”, mais aus­si “des per­son­nes inscrites au cours des 20 dernières années” ain­si que “des per­son­nes non inscrites sur la liste des deman­deurs d’emploi mais ayant un espace can­di­dat sur francetravail.fr”.

Ce sont donc les don­nées de 43 mil­lions de per­son­nes qui ont été exfil­trées !

Dans ces don­nées on trou­ve : les noms, prénoms, date de nais­sance, iden­ti­fi­ant France Tra­vail, adress­es mails et postales, numéro de télé­phone et… le numéro de sécu­rité sociale !

Si les mots de passe et coor­don­nées ban­caires ne sont pas con­cernées, il y a d’énormes risques d’hameçon­nage (phish­ing) et d’usurpa­tion d’i­den­tité pour les vic­times du piratage.

Ce n’est pas la pre­mière fois que Pôle Emploi subi un piratage. Toute­fois dernière­ment ces attaques sem­blent se mul­ti­pli­er. Début févri­er, une cyber­at­taque chez Viamedis et Almerys (des prestataires de tiers payant pour les mutuelles) avait déjà exposé les don­nées de 33 mil­lions d’as­surés avec un mode opéra­toire assez sem­blable. Début mars, c’est le site de la CAF qui s’est fait pirater.

Comme l’a récem­ment expliqué dans le media Blast Bastien Le Quer­rec, juriste à la Quad­ra­ture du Net, cette fuite de don­née était inévitable et risque à l’avenir de se repro­duire, si les poli­tiques con­tin­u­ent de priv­ilégi­er l’in­ter­con­nex­ion des don­nées et la sur­veil­lance au détri­ment de l’ac­com­pa­g­ne­ment social.

En effet, comme nous l’avons déjà sig­nalé dans un arti­cle l’an­née dernière, le sys­tème de Pôle Emploi n’est pas du tout sécurisé.

Par ailleurs, l’in­ter­con­nex­ion des don­nées et la général­i­sa­tion de l’u­til­i­sa­tion du numéro de sécu­rité sociale comme moyen de con­nex­ion, va à l’en­con­tre de toutes les règles de cyber­sécu­rité de base. Un point qui a été souligné sur Europe 1 par Antonin Hily, expert en cyber­sécu­rité.

Face à ces fuites de plus en plus mas­sives, la seule solu­tion est de nous mobilis­er col­lec­tive­ment !

Com­mu­niqué de Chang­er de Cap

L’État se sert de nos données personnelles, il doit les protéger et respecter nos droits

43 mil­lions ! C’est le nom­bre record de per­son­nes « poten­tielle­ment » con­cernées par la dernière cyber­at­taque d’un ser­vice pub­lic et l’exfiltration de leurs don­nées per­son­nelles : nom, prénom, date et lieu de nais­sance, numéro de Sécu­rité sociale, iden­ti­fi­ant France Tra­vail (Pôle emploi), adress­es email et postale, numéro de télé­phone. La totale ! Ou presque : côté admin­is­tra­tion française, on a tenu à pré­cis­er que les coor­don­nées ban­caires n’ont pas été dérobées.

Quelle que soit la cause du piratage, ces don­nées per­son­nelles, qui per­me­t­tent de tous nous iden­ti­fi­er, doivent être pro­tégées, dans tous les cas et à plus forte rai­son lorsqu’il s’agit de ser­vices de l’État ! Le piratage de France Tra­vail et de Cap Emploi, un organ­isme de place­ment spé­cial­isé, en l’occurrence ici chargé d’une mis­sion de ser­vice pub­lic dans le champ de l’insertion pro­fes­sion­nelle des per­son­nes hand­i­capées, n’est que le dernier d’une liste qui com­mence à être longue et inter­roge sur la sécu­rité de nos don­nées per­son­nelles au sein même d’administrations qui grâce à la col­lecte, au traite­ment et au partage de ces mêmes don­nées, savent tout de nous, ou qua­si­ment.

Nos données personnelles dans la nature, la liste s’allonge

En jan­vi­er 2023, on appre­nait que les don­nées per­son­nelles de plus de 10 000 allo­cataires de la CAF de Gironde étaient disponibles sur le site d’un prestataire privé pen­dant presque deux ans.

En août 2023, une cyber­at­taque visant un prestataire privé de Pôle Emploi, Majorel en l’occurrence (spé­cial­isé dans la ges­tion de la rela­tion client), aboutit au vol des don­nées per­son­nelles de 10 mil­lions d’usagers… et à la mise en vente de leurs noms et prénoms, numéro de Sécu­rité sociale et statut de deman­deur d’emploi sur le dark­net.

Pré­cisons à ce stade que le prin­ci­pal risque d’un vol de don­nées per­son­nelles est l’usurpation d’identité, avec son cortège de galères : comptes per­son­nels per­dus, récep­tion d’emails et de SMS d’hameçonnage, ten­ta­tives d’escroquerie, ouver­ture de comptes ban­caires au nom des vic­times…

Ajou­tons — même si cette cyber­at­taque-là ne con­cerne pas des ser­vices publics, mais des com­plé­men­taires san­té — le vol des don­nées (état civ­il, date de nais­sance, numéro de sécu­rité sociale, nom de l’assureur…) d’au moins 33 mil­lions d’assurés soci­aux en févri­er dernier. Cette fois-ci, des géants de la ges­tion du tiers payant — et ain­si de nos cartes vitales — ont été les cibles des hack­ers.

Et donc en mars 2023, c’est le tout nou­veau France Tra­vail (ex-Pôle Emploi) qui nous sig­nale que les don­nées per­son­nelles de 43 mil­lions de per­son­nes se sont éva­porées dans la nature. Y com­pris celles d’anciens deman­deurs d’emploi… jusqu’à 20 ans en arrière. France Tra­vail jus­ti­fie cette durée de con­ser­va­tion par une « con­for­mité au Code du tra­vail » pour per­me­t­tre aux deman­deurs d’emploi de con­stituer leur dossier retraite en temps voulu.

Con­serv­er aus­si longue­ment des don­nées per­son­nelles inter­roge toute­fois vis-à-vis d’un principe de base du RGPD (Règle­ment général de la pro­tec­tion des don­nées) : la stricte lim­i­ta­tion de la durée de con­ser­va­tion des don­nées per­son­nelles.

Dire que cela commence à faire — vraiment — beaucoup est un euphémisme

Doit-on rap­pel­er aux admin­is­tra­tions ici citées — et aux autres — que la loi Infor­ma­tique et Lib­ertés ain­si que le RGPD, dans ses arti­cles 33 et 34, leur impose de « prévenir toute vio­la­tion de don­nées per­son­nelles » ? C’est-à-dire de met­tre en place des proces­sus de sécu­rité dignes d’un organ­isme éta­tique, qui en sait beau­coup sur nos conci­toyennes et conci­toyens. Et que cette vio­la­tion est définie par la CNIL comme « Tout inci­dent de sécu­rité, d’origine malveil­lante ou non et se pro­duisant de manière inten­tion­nelle ou non, ayant comme con­séquence de com­pro­met­tre l’intégrité, la con­fi­den­tial­ité ou la disponi­bil­ité de don­nées per­son­nelles » ?

Pire, France Tra­vail comme l’était Pôle Emploi et comme le sont tous les organ­ismes soci­aux, fait par­tie des Opéra­teurs de Ser­vices Essen­tiels (OSE) soumis à des règles par­ti­c­ulières en matière de sécu­rité de leurs réseaux infor­ma­tiques. L’organisme de ser­vice pub­lic est tenu de suiv­re les « recom­man­da­tions pour la pro­tec­tion des sys­tèmes d’information essen­tiels » issues d’une direc­tive européenne (Net­work and Infor­ma­tion Sys­tem Secu­ri­ty) et trans­mis­es par l’ANSSI, l’Agence nationale de sécu­rité des sys­tèmes infor­ma­tiques. Nous voilà « ras­surés » !

Et pour­tant, ce n’est man­i­feste­ment pas faute d’avoir prévenu, et notam­ment France Tra­vail. L’organisme a été créé au 1^er jan­vi­er 2024 pour se sub­stituer à Pôle Emploi et inté­gr­er en plus des deman­deurs d’emploi, les allo­cataires du RSA (pour les fameuses 15 heures d’activité) ain­si que leurs con­joints, et encore les jeunes inscrits dans une Mis­sion locale en recherche d’emploi et les per­son­nes en sit­u­a­tion de hand­i­cap suiv­ies par Cap emploi. De quoi aigu­is­er cer­tains appétits ?

Sur les réseaux soci­aux, des failles de sécu­rité dans les out­ils numériques des admin­is­tra­tions (et autres) sont régulière­ment dénon­cées par des pas­sion­nés spé­cial­istes de cyber­sécu­rité. Cer­tains s’étaient d’ailleurs exprimés fin févri­er, invi­tant France Tra­vail à cor­riger des dys­fonc­tion­nements dans le sys­tème d’information, « avant qu’un drame nation­al n’arrive ».

Le 26 févri­er juste­ment, le vol des don­nées per­son­nelles était en cours, puisque la cyber­at­taque se serait déroulée entre le 6 févri­er et le 5 mars. Dans un com­mu­niqué, France Tra­vail explique que le piratage a été ren­du pos­si­ble par une « usurpa­tion d’identité de con­seillers Cap Emploi ». Cela révèle donc que par les out­ils infor­ma­tiques d’un « sim­ple » con­seiller Cap Emploi, il est pos­si­ble d’accéder aux don­nées des actuels et anciens usagers de France Tra­vail, qu’ils soient ou non en sit­u­a­tion de hand­i­cap (le pub­lic de Cap Emploi), qu’ils soient ou non accom­pa­g­nés par l’organisme (sa mis­sion).

43 mil­lions de per­son­nes !

Comme le pré­cise la CGT DSI de France Tra­vail (via Yann Gaudin sur X), ces usurpa­tions d’identité résul­tent bien de l’exploitation de failles de sécu­rité dans le sys­tème d’information de France Tra­vail, et notam­ment dans l’interconnexion avec les prestataires. La CGT DSI révèle ain­si que l’analyse des risques réal­isée lors du pro­jet de con­nex­ion du parte­naire Cap Emploi en 2022 iden­ti­fi­ait déjà le risque d’usurpation d’identité avec un indice d’alerte 4 (max­i­mum). La pré­con­i­sa­tion pour pal­li­er ce risque de met­tre en place une iden­ti­fi­ca­tion à deux fac­teurs, con­for­mé­ment aux exi­gences de l’ANSSI, n’a jamais été mise en place.

Comment justifier une telle désinvolture dans la gestion des accès aux données ?

La respon­s­abil­ité de France Tra­vail dans cette cyber­at­taque est égale­ment min­imisée dans la com­mu­ni­ca­tion et dans les suites don­nées à l’affaire. Le juriste spé­cial­isé en droit du numérique Guil­laume Cham­peau relève sur LinkedIn que cybermalveillance.gouv.fr présente France Tra­vail comme « vic­time d’une attaque infor­ma­tique », et que l’enquête prélim­i­naire de la police judi­ci­aire de Paris porte sur les « infrac­tions d’atteintes à des sys­tèmes de traite­ment automa­tisé de don­nées, col­lecte fraud­uleuse de don­nées à car­ac­tère per­son­nel et recel de bien provenant d’un délit ». La com­mu­ni­ca­tion désigne donc France Tra­vail comme une pure et inno­cente vic­time.

Sur la forme tou­jours, et comme la régle­men­ta­tion les y oblige, France Tra­vail et Cap Emploi ont noti­fié cette vio­la­tion de don­nées à la CNIL dans un délai de 72 heures, c’est-à-dire le 8 mars. L’affaire n’a été ren­due publique que cinq jours plus tard, alors que l’information des per­son­nes con­cernées doit se faire « dans les meilleurs délais » à par­tir du moment où la vio­la­tion entraîne un « risque élevé pour les droits et lib­ertés des per­son­nes con­cernées » — ce qui est man­i­feste­ment le cas. Depuis, notons que France Tra­vail a ouvert une ligne télé­phonique dédiée via le 3949 pour informer les per­son­nes inquiètes… dans la mesure des con­nais­sances des con­seillers qui répon­dent.

Le min­istère de l’Intérieur pro­pose égale­ment une let­tre-plainte sous forme de for­mu­laire en ligne, mais là encore, la respon­s­abil­ité de France Tra­vail n’est pas men­tion­née. Il s’agit d’une plainte con­tre X, l’enquête et le for­mu­laire « Let­tre de plainte » pro­posé sur Démarches-Simplifiées.fr por­tent sur les per­son­nes ayant com­mis l’attaque. Or, comme le rap­pelle Guil­laume Cham­peau sur LinkedIn, le fait de procéder à un traite­ment de don­nées per­son­nelles sans l’encadrer de mesures de sécu­rité suff­isantes est puni par le Code pénal (arti­cle 226–17). Ce délit pénal est puni de 5 ans de prison et de 300 000 euros d’amende.

Les vraies victimes sont les demandeurs et anciens demandeurs d’emploi, quel est leur degré d’information ?

Sur son site, la CNIL pré­cise que « France Tra­vail informera indi­vidu­elle­ment, dans les jours à venir, l’ensemble des per­son­nes sus­cep­ti­bles d’avoir été touchées par cette fuite de don­nées. »

En août dernier, Pôle Emploi s’était con­tenté d’envoyer un email type a des usagers pour les informer qu’ils étaient « poten­tielle­ment con­cernés » (et débrouillez-vous avec ça).

Cette fois, l’information soi-dis­ant indi­vidu­elle a pris la forme d’une fenêtre « pop up » qui appa­rait sur l’écran d’accueil des espaces per­son­nels France Tra­vail. Une pré­ci­sion : ce mes­sage est à con­serv­er avec pré­cau­tion, car il con­stitue un élé­ment de preuve en cas d’usurpation d’identité (voir notre encadré en fin de bil­let). Quant aux per­son­nes qui ont sans doute pour beau­coup oublié qu’elles avaient des don­nées stock­ées chez Pôle Emploi et même à l’ANPE… elles apprécieront.

Le mes­sage appelle les usagers et usagères à la pru­dence, mais (ce n’est plus sur­prenant à ce stade) il ne sug­gère rien sur les pos­si­bil­ités de porter plainte. Il faut cli­quer sur le lien « sur notre site » pour les décou­vrir. 

Dans le fond on ne le répétera jamais assez : il est impératif que les admin­is­tra­tions offrent toutes les sécu­rités néces­saires à la pro­tec­tion de nos don­nées per­son­nelles, sans atten­dre l’incident. Des don­nées per­son­nelles qu’elles utilisent au quo­ti­di­en, dont elles ne sont pas pro­prié­taires, et pour lesquelles on rap­pellera quelques principes de base du RGPD, en plus de la sécuri­sa­tion :

• La min­imi­sa­tion — Ne col­lecter que les don­nées néces­saires à la final­ité d’un traite­ment automa­tisé
• La trans­parence — Informer chaque per­son­ne de l’utilisation qui est faite de ses don­nées per­son­nelles (et des don­nées détenues)
• La durée de con­ser­va­tion réduite au temps de réal­i­sa­tion néces­saire à l’objectif pour­suivi — ici l’accompagnement des deman­deurs d’emploi.

Objec­tive­ment, on n’y est pas !

Nous exigeons des garanties suffisantes de protection de nos données personnelles

L’arrestation de quelques hack­ers n’y suf­fi­ra pas. Si la cyber­at­taque a pu se pro­duire, c’est qu’il y avait des failles de sécu­rité, comme révélées par la CGT DSI.

Nous deman­dons que toute la lumière soit faite sur les con­di­tions qui ont per­mis cette fuite de don­nées (notam­ment les actions pris­es suite au piratage d’août 2023) et sur la respon­s­abil­ité de France Tra­vail et de ses prestataires en cyber­sécu­rité.

Nous exi­geons que, plus générale­ment, les admin­is­tra­tions four­nissent des garanties suff­isantes de pro­tec­tion des don­nées per­son­nelles aux admin­istrés.

La ques­tion de la cyber­sécu­rité doit être prise en compte de manière sérieuse dans la mise en œuvre de ces poli­tiques publiques. À ce titre, nous ren­voyons aux reven­di­ca­tions de la CGT DSI, qui peu­vent et doivent s’appliquer à tout organ­isme pub­lic, notam­ment dans le cadre du respect du principe de pro­por­tion­nal­ité.

Rap­pelons enfin qu’aucun sys­tème infor­ma­tique n’est sécurisé à 100 %, notam­ment du fait de failles humaines, comme observées dans cette affaire. Or, la ten­dance est à la dématéri­al­i­sa­tion tou­jours plus impor­tante de nos ser­vices publics, à l’utilisation crois­sante de don­nées sur cha­cun d’entre nous et à l’interconnexion des fichiers des dif­férentes admin­is­tra­tions. Citons le dernier exem­ple en date : les CAF qui ont désor­mais accès au Dis­posi­tif de ressources men­su­elles, ou DRM, soit les revenus et revenus de rem­place­ment des cha­cun d’entre nous, y com­pris à des fins de con­trôle (voir l’article de la Quad­ra­ture du Net sur ce sujet).

Ce con­stat devrait nous met­tre en garde con­tre l’utilisation de plus en plus impor­tante de don­nées per­son­nelles et leur inter­con­nex­ion dans le cadre de ser­vices publics (notam­ment pour penser la « sol­i­dar­ité à la source » si chère au gou­verne­ment), et encour­ager à suiv­re le principe de min­imi­sa­tion posé par le RGPD.

Gar­dons à l’esprit que nous n’avons pas le choix de con­fi­er ou non nos don­nées per­son­nelles à l’État et que les excep­tions au droit d’opposition (de col­lecte et de traite­ment de ses don­nées) sont nom­breuses. Pour les per­son­nes les plus vul­nérables, qui sont sou­vent plus en lien avec les ser­vices publics, c’est la dou­ble peine, car les admin­is­tra­tions ont davan­tage d’informations sur elles. Elles sont donc d’autant plus exposées à des piratages. Il appar­tient à l’État d’être à la hau­teur de ces enjeux.