Nouveau hack d’ampleur à signaler dans l’administration. Le ministère du Travail et de l’emploi vient de signaler le piratage du système d’information utilisé par le réseau des missions locales dans la nuit du 23 au 24 octobre 2024.
Le prestataire concerné n’est pas mentionné. C’est toutefois la société Similo, une filiale d’Atos Worldline, qui avait gagné l’appel d’offres de la mise en place du “système d’information jeune” des missions locales. Un contrat qui court jusqu’en janvier 2026.
Le périmètre du piratage informatique est encore incertain. Le système d’information rassemble, selon l’un des derniers décomptes, environ 14 500 utilisateurs. Mais le communiqué du ministère précise bien qu’il y a un risque de divulgation des données personnelles des jeunes accompagnés “sur tout le territoire”.
Plus d’un million de bénéficiaires
Or en 2023, il existait 437 missions locales. Réparties dans 6800 lieux d’accueil, elles ont accompagné cette année-là 1,1 million de jeunes. Pour les aider par exemple dans leur recherche d’emploi ou dans leur accès à la formation, la santé ou au logement. Concrètement, le piratage informatique se solde désormais par un risque de divulgation de données personnelles des jeunes concernés.
Leurs noms, prénoms, date de naissance, nationalité, adresses électronique et postale et numéro de téléphone pourraient ainsi avoir été volés.
Par contre, les coordonnées bancaires, le numéro de sécurité sociale et la pièce d’identité des jeunes suivis ne sont pas concernés par le piratage informatique.
Investigations en cours
“Des investigations sont en cours chez le prestataire pour connaître l’origine de cet événement, signale enfin le ministère du Travail et de l’emploi. La sécurité des systèmes d’information du réseau des missions locales elles-mêmes n’est pas en cause.” Il est rare de connaître immédiatement les modalités précises de ce genre de piratage.
Il pourrait s’agir d’un accès non autorisé à la suite d’un vol d’identifiants. Ou d’un problème de méthode dans le partage de la donnée. A la fin mars 2024, on avait ainsi appris au détour d’un arrêt de la cour d’appel d’Amiens que la fuite de données de personnes en recherche d’emploi divulguée en 2021 sur le controversé RaidForums avait pour origine l’envoi d’un fichier d’un conseiller à une agence d’intérim. Cette dernière avait alors stocké le document sur un serveur non sécurisé.
Quoiqu’il en soit, comme prévu par la réglementation, le piratage informatique de l’informatique des missions locales a été notifié à la Cnil, le gardien des données personnelles. L’Anssi, le cyber-pompier, a également été mis dans la boucle, tout comme les jeunes concernés par la compromission ou leurs représentants légaux. Le ministère du Travail et de l’emploi préconise désormais aux personnes concernées “la plus grande vigilance quant aux risques d’hameçonnage (emails, sms ou appels frauduleux) ou de tentatives d’usurpation d’identité”.