Fuite de données Urssaf : 40% des salariés français touchés

L’Urssaf a officiellement tiré la sonnette d’alarme : un accès frauduleux à une interface utilisée pour les déclarations préalables à l’embauche (DPAE) a permis la consultation non autorisée de données concernant jusqu’à 12 millions de salariés embauchés depuis moins de trois ans.

L’organisme appelle à la plus grande vigilance, redoutant une recrudescence de tentatives d’hameçonnage (phishing) ciblant directement les personnes concernées.

« L’Urssaf a constaté un accès non autorisé à l’API contenant certaines données de la déclaration préalable à l’embauche, opéré via un compte partenaire habilité dont les identifiants avaient été compromis. »

Une plainte a été déposée auprès du procureur de la République.

12 millions de salariés concernés : un chiffre colossal

Pour mesurer l’ampleur de cette fuite, il faut la remettre en perspective.

La France compte environ 29 à 30 millions de salariés. Cela signifie que près de 4 salariés sur 10 pourraient être concernés par cette consultation non autorisée des données DPAE !

Autrement dit :

• CDI, CDD, intérimaires,
• jeunes actifs,
• salariés ayant changé d’emploi récemment,

Ainsi, toute personne embauchée depuis janvier 2023 est potentiellement exposée.

Il s’agit de l’une des plus vastes expositions de données liées à l’emploi jamais connues en France, même si les informations concernées sont présentées comme limitées.

Quelles données ont été consultées ?

Selon l’Urssaf, les informations consultées et potentiellement extraites sont les suivantes :

• nom et prénom,
• date de naissance,
• date d’embauche,
• numéro SIRET de l’employeur.

L’organisme précise qu’aucune donnée bancaire, aucun numéro de Sécurité sociale, aucune adresse postale ou e-mail, aucun numéro de téléphone ne sont concernés.

Un point rassurant en apparence… mais qui ne doit pas masquer les risques réels.

Comment cette fuite a-t-elle été possible ?

Contrairement à ce que l’on pourrait penser, les serveurs de l’Urssaf n’ont pas été directement piratés. Une nouvelle fois, c’est via un prestataire de service externe que la brèche s’est créée.

A l’heure de cet article, les premiers éléments de l’enquête montrent que :

• les identifiants d’un partenaire institutionnel habilité ont été volés,
• ces identifiants ont permis l’accès à l’API DPAE,
• les pirates se sont connectés avec un compte légitime, sans déclencher d’alerte immédiate.

Dès la détection, l’Urssaf a :

• suspendu le compte compromis,
• bloqué l’adresse IP suspecte,
• renforcé les mesures de sécurité,
• annoncé le déploiement de la double authentification.

Mais trop tard pour empêcher la consultation des données.

Des données “limitées”… mais hautement exploitables

Pris isolément, les éléments ayant fuité peuvent sembler anodins. En réalité, ils sont extrêmement précieux pour les cybercriminels.

Pourquoi ? Parce qu’ils permettent des arnaques ultra-ciblées.

Imaginez recevoir :

• un e-mail mentionnant votre nom exact,
• le nom réel de votre employeur,
• votre date d’embauche précise,

le tout signé « Urssaf » ou « service administratif ».

Ce type de message inspire immédiatement confiance et augmente drastiquement le taux de succès des escroqueries.

En croisant ces données avec d’autres bases issues de fuites précédentes, les fraudeurs peuvent monter des scénarios redoutablement crédibles.

Cette affaire intervient quelques mois seulement après :

• le vol de données chez Pajemploi,
• des incidents touchant d’autres plateformes publiques,
• de multiples fuites impliquant des prestataires de services tiers.

Le point commun de ces attaques ? Les accès indirects, les comptes partenaires et la chaîne de sous-traitance, souvent moins bien protégés que les systèmes centraux.

Une vague de phishing redoutée

L’Urssaf le rappelle clairement :

« Le hameçonnage consiste à se faire passer pour un acteur connu afin d’obtenir des données personnelles, souvent via un message demandant une mise à jour d’informations. »

Dans les semaines à venir, les risques principaux pour les salariés français sont d’être la cible de :

• faux e-mails Urssaf,
• faux SMS administratifs,
• appels téléphoniques se faisant passer pour un organisme officiel,
• demandes de “vérification” ou de “mise à jour” de dossier.

N’oubliez pas qu’aucune administration française ne vous demandera jamais par e-mail ou téléphone :

• vos mots de passe,
• vos coordonnées bancaires,
• vos codes de validation.

En cas de doute, il faut contacter soi-même l’Urssaf via les canaux officiels.

Que faire si vous êtes concerné ?

Même si l’Urssaf ne peut pas identifier précisément les personnes dont les données ont été consultées, la prudence s’impose.

Les bons réflexes immédiats

• Redoubler de vigilance face aux messages liés à l’emploi ou aux organismes publics
• Ne jamais cliquer sur un lien ou ouvrir une pièce jointe suspecte
• Vérifier systématiquement l’expéditeur réel
• Ne jamais communiquer d’informations sensibles

Mais ces réflexes ne suffisent pas toujours.

Se faire accompagner par des experts

Une fuite de données administratives peut être le point de départ de :

• tentatives d’usurpation d’identité,
• fraudes bancaires différées,
• arnaques administratives,
• ouvertures de comptes ou de dossiers à votre nom.

Chez ID Protect, nous accompagnons les victimes de fuites de données et de tentatives de fraude :

• surveillance de l’identité,
• détection des usages frauduleux,
• assistance en cas d’usurpation,
• accompagnement administratif et juridique.

Contactez nos équipes pour en savoir plus sur nos services de protection de votre identité.