Ce lundi 12 février, aux alentours de 20h, la Caisse d’Allocations Familiale – CAF- a été victime d’une cyberattaque majeure. Confirmée dès le lendemain, cette cyberattaque concerne plus de 600 000 personnes.  Un incident important, mais malheureusement pas isolé, qui met sur le devant de la scène les enjeux liés à la protection des données. 

600 000 personnes concernées, 4 comptes identifiés 

Alors que récemment deux opérateurs de tiers payant étaient concernés par des violations de données, et que la CNIL alertait et rappelait les précautions à prendre en cas de cyberattaque, c’est désormais la CAF qui est concernée. 

La cyberattaque a été revendiquée sur X (anciennement Twitter) et Telegram par un groupe connu pour des faits de cybercriminalité, @/LulzSec. Ils affirment avoir eu accès aux comptes de 600 000 allocataires, et affichent des captures d’écran de 4 comptes concernés. 

La CAF a confirmé ce mardi 13 février que 4 comptes ont été identifiés. 

La sécurité est un pilier du RGPD. Découvrez notre article sur le sujet: RGPD et entreprise : pourquoi vous devez sensibiliser vos équipes au RGPD ?

Une faille de sécurité ? 

La CAF déclare que l’accès aux quatre comptes s’est réalisé « sans avoir recours à une intrusion dans le système du site, probablement par l’obtention des mots de passe par les auteurs via d’autres moyens ». Ainsi, les pirates n’auraient pas véritablement « piraté » les systèmes de l’organisme, mais auraient simplement acquis les mots de passe des quatre comptes concernés, exploitant notamment des fuites de données antérieures.

Le site a été temporairement fermé pendant la nuit du 12 au 13 février, puis rouvert par la suite. La CAF affirme n’avoir identifié aucune vulnérabilité dans ses systèmes. Les équipes sont actuellement mobilisées pour surveiller les points d’accès. Une plainte a été déposée, et un signalement à la CNIL a été effectué. Dans l’incertitude et en attendant de mesurer l’étendue exacte de l’attaque, il est recommandé de modifier son mot de passe sur le site.

Des personnes identifiées 

La CAF affirme avoir identifié les 4 comptes postés sur les réseaux sociaux. Ces images, comportant le nom, le prénom, le courriel, l’adresse postale et le montant des allocations de ces 4 personnes ont été vivement relayées sur les réseaux sociaux mais également par de nombreux médias. 

Cet article pourrait vous intéresser : RGPD & télétravail : les bonnes pratiques.