France fines unemployment agency €5 million over data breach

Amende de 5 millions d’euros pour l’agence française pour l’emploi suite à une violation de données

L’autorité française de protection des données, la CNIL, a infligé une amende de 5 millions d’euros à France Travail, l’organisme public français de l’emploi, pour des manquements à la sécurisation des données des demandeurs d’emploi. Cette négligence a permis à des pirates d’accéder et de voler des informations personnelles concernant 43 millions de personnes.

Les données dérobées, couvrant une période de 20 ans, comprennent des noms, dates de naissance, numéros de sécurité sociale, adresses e-mail et postales, ainsi que des numéros de téléphone. Les informations bancaires et les mots de passe n’ont pas été compromis. Les attaquants ont utilisé des techniques d’ingénierie sociale pour pirater les comptes de conseillers CAP EMPLOI, une organisation partenaire de France Travail dédiée à l’emploi des personnes handicapées.

L’organisme de protection des données a également ordonné à France Travail de mettre en œuvre des mesures correctives et de fournir un calendrier de mise en œuvre détaillé, sous peine de pénalités journalières. Il s’agit de la seconde violation de données majeure subie par France Travail en moins d’un an, après une précédente concernant 10 millions de personnes en août 2023.

Points clés :

• Une amende de 5 millions d’euros a été imposée à France Travail par la CNIL.
• 43 millions de demandeurs d’emploi ont été affectés par la violation.
• Les données volées incluent des informations personnelles sensibles, mais pas de données financières.
• L’attaque a été menée par ingénierie sociale, exploitant les comptes de conseillers CAP EMPLOI.
• France Travail a déjà subi une autre violation de données majeure en août 2023.

Vulnérabilités :

• Manque de mesures de sécurité adéquates pour protéger les données des demandeurs d’emploi.
• Exploitation de techniques d’ingénierie sociale pour accéder aux systèmes.
• Aucun CVE spécifique n’est mentionné dans l’article concernant cette violation.

Recommandations :

• Mise en œuvre de mesures correctives pour renforcer la sécurité des systèmes d’information.
• Fourniture d’un calendrier détaillé pour la mise en œuvre de ces améliorations.
• Amélioration des protocoles de sécurité pour prévenir de futures attaques par ingénierie sociale.

Source