Depuis 2023, France Travail (ex-Pôle Emploi) est devenue le symbole français des cyberattaques de grande envergure contre les organismes publics. Entre la fuite historique de mars 2024, plusieurs incidents en cascade en 2025 et 2026, et l’amende de 5 millions d’euros infligée par la CNIL en janvier 2026, l’opérateur de l’emploi traverse une crise cyber sans précédent. Cet article reconstitue la chronologie complète, détaille les données exposées et vous explique, concrètement, quoi faire si vous êtes concerné.
Qu’est-ce que France Travail et pourquoi est-elle une cible privilégiée des hackers ?
France Travail est l’opérateur public de l’emploi en France, issu de la transformation de Pôle Emploi. L’organisme gère les dossiers de millions de demandeurs d’emploi, de cotisants et d’anciens inscrits, ce qui en fait l’un des plus gros réservoirs de données personnelles du pays.
Cette concentration de données est précisément ce qui attire les cybercriminels. Un dossier France Travail contient des éléments d’identification complète : identité, numéro de sécurité sociale, coordonnées, parcours professionnel. Ces informations sont directement exploitables pour du phishing ciblé, de l’usurpation d’identité ou des arnaques à l’aide sociale.
Un autre facteur de vulnérabilité est le modèle même de l’organisme : un réseau d’agences, de prestataires et de partenaires (Cap Emploi, organismes de formation, missions locales) qui se connectent tous à ses systèmes. Chaque compte de partenaire mal sécurisé devient une porte d’entrée potentielle. C’est exactement ce qui s’est produit à plusieurs reprises depuis 2024, comme nous allons le voir.
Pour bien comprendre la suite, il faut distinguer trois types d’attaques utilisées contre France Travail :
- L’ingénierie sociale (phishing) : un employé est trompé pour obtenir ses identifiants, qui servent ensuite à pénétrer le système.
- L’infostealer : un logiciel malveillant installé sur une machine vole automatiquement les identifiants enregistrés (mots de passe de session, cookies).
- La compromission de prestataire ou de partenaire : le hacker ne s’attaque pas directement à France Travail, mais à un organisme tiers qui dispose d’un accès légitime.
La fuite historique de mars 2024 : 43 millions de personnes concernées
Le 8 mars 2024, France Travail (anciennement Pôle emploi) et Cap Emploi ont informé la CNIL avoir été victimes d’une intrusion dans leurs systèmes d’information. France Travail a annoncé le 13 mars 2024 que 43 millions de personnes étaient potentiellement concernées par la cyberattaque touchant leurs données personnelles.
Cette fuite est qualifiée de plus grande violation de données personnelles jamais observée en France. Elle concerne l’ensemble des inscrits depuis 2004, soit près de vingt ans de données accumulées. La compromission de 2023 via le prestataire Majorel, qui avait touché potentiellement jusqu’à 10 millions d’usagers avec revente sur le dark web au prix de 900 dollars, semblait déjà énorme. Mars 2024 a changé d’échelle.
L’infiltration dans le système informatique de France Travail et Cap Emploi a eu lieu entre le 6 février et le 5 mars 2024. Les attaquants ont obtenu l’accès en utilisant les identifiants de connexion d’employés d’une agence accompagnant les personnes handicapées en recherche d’emploi (Cap Emploi). Autrement dit, l’entrée dans la base de 43 millions d’usagers s’est faite par des comptes de conseillers Cap Emploi compromis par ingénierie sociale.
Une enquête préliminaire a été ouverte par le Parquet de Paris et confiée à la Brigade de Lutte Contre la Cybercriminalité. Trois suspects, tous dans la vingtaine, ont été arrêtés en France pour le vol des données de 43 millions de personnes, certains pratiquant déjà le phishing à l’aide de ces informations. Les personnes concernées pouvaient obtenir une assistance téléphonique via le numéro 3949 (appel gratuit depuis un fixe, décompté du forfait sur mobile).
Les données volées : quelles informations sont réellement exposées ?
Les données personnelles exposées lors de la fuite de mars 2024 sont : nom et prénom, date de naissance, numéro de sécurité sociale, identifiant France Travail, adresses mail et postale et numéros de téléphone. Les mots de passe et les coordonnées bancaires n’étaient pas concernés par cet acte de cybermalveillance, selon France Travail.
Un point rassurant : selon la CNIL, les attaquants n’ont pas accédé aux dossiers complets des demandeurs d’emploi, qui peuvent notamment comprendre des données de santé. La fuite porte donc sur des données d’identification, pas sur les pièces jointes sensibles des dossiers.
Cela reste néanmoins largement suffisant pour des cybercriminels. Nom, date de naissance et numéro de sécurité sociale permettent de composer des identités complètes, de croiser les données avec d’autres fuites et de monter des arnaques très crédibles. Un appel qui cite votre vrai numéro de sécurité sociale et votre identifiant France Travail paraît légitime, même quand il ne l’est pas.
Les nouvelles attaques 2025-2026 : du phishing ciblé à la compromission de prestataires
La fuite de mars 2024 n’était que le début. France Travail a subi au moins 6 incidents de sécurité distincts confirmés entre 2024 et 2026, touchant agents, demandeurs d’emploi et jeunes suivis par les missions locales. Voici un tableau de synthèse pour s’y retrouver :
| Date | Volume estimé | Vecteur d’attaque |
|---|---|---|
| 2023 | Jusqu’à 10 millions d’usagers | Prestataire Majorel, revente sur le dark web |
| Février-mars 2024 | 43 millions de personnes | Comptes Cap Emploi compromis par ingénierie sociale |
| 23 juillet 2025 | 340 000 demandeurs d’emploi | Compte d’un organisme de formation dans l’Isère, compromis par un infostealer |
| 27 octobre 2025 | Demandeurs d’emploi | Vol de sessions de comptes infectés |
| 2 décembre 2025 | 1,6 million de jeunes | Compte d’une mission locale compromis |
| Octobre 2026 | Plus de 62 000 agents | Compte Microsoft compromis d’un employé |
Pour l’incident de juillet 2025, France Travail a annoncé le 23 juillet 2025 une nouvelle cyberattaque affectant les données personnelles de 340 000 demandeurs d’emploi. Le point d’entrée : un compte d’un organisme de formation basé dans l’Isère, compromis par un logiciel infostealer. Les données exposées étaient : nom et prénom, date de naissance, identifiant France Travail, adresses mail et postale et numéros de téléphone, sans mots de passe ni données bancaires.
Le 27 octobre 2025, une quatrième cyberattaque a touché France Travail via un vol de sessions de demandeurs d’emploi infectés. Puis le 2 décembre 2025, la compromission d’un compte de mission locale a concerné 1,6 million de jeunes. Le schéma se répète : ce ne sont pas les serveurs centraux qui tombent, mais des comptes périphériques insuffisamment protégés.
Dernier épisode en date : le 7 octobre 2026, un acteur du nom de « 0xRune » a annoncé la mise en vente sur un forum cybercriminel d’une base de 62 848 lignes relatives à des agents et professionnels du réseau France Travail. Cette base contiendrait 100 738 numéros de téléphone fixes et mobiles concernant plus de 62 000 agents, répartis sur 25 entités territoriales (Île-de-France, Bretagne, Occitanie, Nouvelle-Aquitaine, Auvergne-Rhône-Alpes), ainsi que des emails professionnels, des noms et des fonctions. Selon FrenchBreaches, l’intrusion aurait eu lieu via le compte Microsoft compromis d’un employé, détectée et bloquée quelques jours après l’exfiltration.
Ces incidents en perspective
Pour mesurer l’ampleur du phénomène, il suffit de comparer avec les autres grandes fuites françaises récentes, comme celles ayant touché les mutuelles Viamedis et Almerys, l’opérateur Free ou encore la DGFiP. Aucune n’a atteint les 43 millions de personnes de mars 2024. La France Travail concentre à elle seule plusieurs records peu enviables, et l’amende de la CNIL confirme que le problème n’était pas seulement la malchance.
La sanction CNIL de 5 millions d’euros : ce que révèle la décision du 22 janvier 2026
Le 22 janvier 2026, la CNIL a sanctionné France Travail d’une amende de 5 millions d’euros pour ne pas avoir assuré la sécurité des données des personnes en recherche d’emploi, en vertu de l’article 32 du RGPD. Cette sanction est assortie d’une injonction de mise en conformité sous astreinte de 5 000 euros par jour de retard, et d’une publicité de la décision pendant 2 ans.
Les manquements identifiés par la CNIL sont édifiants car ils touchent des fondamentaux de la cybersécurité :
- Un seuil de verrouillage de compte trop permissif : 50 tentatives d’authentification infructueuses étaient nécessaires avant verrouillage, un seuil jugé trop faible pour bloquer les attaques par force brute.
- L’absence d’authentification multifacteur (MFA) : un simple mot de passe volé suffisait donc pour accéder aux données.
- Une journalisation insuffisante : les traces d’activité ne permettaient pas de détecter ni d’analyser rapidement les comportements anormaux.
- Une gestion trop large des habilitations d’accès : trop de comptes disposaient de droits d’accès excessifs par rapport à leurs besoins réels.
Ces manquements expliquent rétroactivement pourquoi les incidents successifs ont été possibles : sans MFA, un identifiant volé par phishing ou infostealer ouvre directement les données. Le plafond légal de l’amende pour un manquement à l’article 32 du RGPD ne pouvant dépasser 10 millions d’euros, la CNIL a donc sanctionné la moitié du maximum, un signal ferme. Pour rappel, en 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé de 486 839 500 euros d’amendes, mais les sanctions de plusieurs millions d’euros contre un opérateur public restent rares.
Que faire si vous êtes concerné par une fuite France Travail ?
Vérifier si votre compte a été touché
Pour chaque incident, le périmètre diffère : la fuite de 2024 concerne tous les inscrits depuis 2004, celle de juillet 2025 des demandeurs d’emploi suivis par un organisme de formation de l’Isère, celle de décembre 2025 les jeunes suivis par les missions locales. La démarche est la même dans tous les cas :
- Consultez les emails et notifications envoyés par France Travail après chaque incident, et vérifiez votre espace personnel sur le site officiel.
- Utilisez des services de surveillance de fuites de données en y entrant vos adresses email et numéros de téléphone.
- En cas de doute, contactez le 3949 (appel gratuit depuis un fixe, décompté du forfait sur mobile).
Les réflexes essentiels
- Activez l’authentification à deux facteurs sur votre compte France Travail et sur tous vos comptes sensibles (email, banque, impots.gouv.fr).
- Changez vos mots de passe concernés et n’utilisez jamais le même mot de passe sur deux services.
- Méfiez-vous du phishing : France Travail ne vous demandera jamais vos coordonnées bancaires par email, SMS ou appel. Les trois suspects arrêtés en 2024 utilisaient déjà les données volées pour du phishing : attendez-vous à des messages très crédibles, citant vos vraies informations.
- Signalez tout incident sur Cybermalveillance.gouv.fr, la plateforme publique d’assistance aux victimes de cybermalveillance.
Vos recours juridiques
Au-delà du signalement, vous pouvez porter plainte auprès d’un commissariat, en ligne sur la plateforme officielle de pré-plainte, ou par courrier au procureur de la République. Une enquête préliminaire a d’ailleurs été ouverte par le Parquet de Paris et confiée à la Brigade de Lutte Contre la Cybercriminalité pour l’attaque de 2024, ce qui permet de s’y référer dans votre dépôt de plainte.
En cas de préjudice démontré (usurpation d’identité, fraude, préjudice moral), vous pouvez demander une indemnisation à France Travail au titre de la responsabilité de l’organisme, et saisir la CNIL en réclamation. Les actions de groupe sur le fondement du RGPD se développent en France : plusieurs associations ont engagé ce type de procédures après de grandes fuites de données. Les données volées pouvant être croisées avec d’autres fuites pour des arnaques plus crédibles, gardez une trace écrite de tout incident survenu après la fuite, elle facilitera la constitution de votre dossier.
Que retenir
De 2023 à 2026, France Travail a cumulé les incidents : Majorel en 2023, les 43 millions de personnes en 2024, les attaques répétées de 2025 contre des demandeurs d’emploi et des jeunes, la mise en vente de données d’agents par « 0xRune » en 2026. L’amende de 5 millions d’euros de la CNIL sanctionne des failles évitables : pas de MFA, verrouillage tardif, journalisation faible. Si vous avez été inscrit à France Travail depuis 2004, considérez que vos données d’identification circulent quelque part, et adaptez votre vigilance en conséquence.
