Le 22 janvier 2026, la formation restreinte de la CNIL a rendu sa décision : 5 millions d’euros d’amende contre France Travail, assortis d’une injonction sous astreinte de 5 000 euros par jour de retard (délibération SAN-2026-003, publiée le 29 janvier 2026). Près de deux ans après la plus grande violation de données personnelles de l’histoire de France (43 millions de dossiers téléchargés, 36 820 828 personnes concernées après déduplication) le régulateur a tranché : l’attaque a réussi non pas grâce au génie des attaquants, mais à cause de manquements élémentaires à la sécurité.
Premier volet de notre série « Autopsies d’attaques », cet article reconstitue l’affaire de bout en bout à partir des seules sources primaires : la décision de la CNIL, le communiqué du parquet de Paris, les publications du CERT-FR et les travaux du Sénat. Chaque fait est daté et attribué : parce que les communiqués s’effacent, mais que les leçons doivent rester.
À retenir
- L’ampleur : les attaquants ont téléchargé une base « évaluée à 43 millions de données à caractère personnel » (parquet de Paris, communiqué du 19 mars 2024) ; après déduplication, la CNIL retient 25 Go exfiltrés concernant 36 820 828 personnes (délibération SAN-2026-003 du 22 janvier 2026). C’est la plus grande violation de données jamais constatée en France.
- Le vecteur : aucune faille logicielle. Des techniques « d’ingénierie sociale » ont permis d’usurper des comptes de conseillers Cap Emploi via des demandes de réinitialisation de mot de passe adressées au support informatique (décision CNIL) ; les perquisitions ont confirmé chez certains suspects une activité d’escroquerie « en recourant à la technique du “phishing” » (parquet, 19 mars 2024).
- La chronologie : comptes utilisés du 6 février au 5 mars 2024 (parquet) ; activité anormale détectée le 29 février, alerte prise en compte le 4 mars au soir, investigations le 5 mars (décision CNIL, § 10) ; notification à la CNIL le 8 mars 2024.
- La sanction : 5 millions d’euros pour manquement à l’article 32 du RGPD, injonction de mise en conformité sous astreinte de 5 000 €/jour au-delà d’un mois, délibération SAN-2026-003 du 22 janvier 2026, publiée le 29 janvier 2026 et anonymisée après le 29 janvier 2028.
- Les interpellations : trois suspects interpellés le 17 mars 2024 par la BL2C, présentés le 19 mars en vue de leur mise en examen pour accès frauduleux à un STAD, extraction de données, escroquerie et blanchiment en bande organisée (parquet de Paris). Ils sont présumés innocents.
- La leçon : les trois familles de manquements retenues (authentification (pas de MFA, blocage à 50 tentatives), journalisation sans surveillance, droits d’accès sans limitation) sont des contrôles de base, à la portée de n’importe quelle PME.
Le dossier en chiffres
36,8 M
personnes concernées après déduplication
CNIL, SAN-2026-003
25 Go
de données exfiltrées
CNIL, SAN-2026-003, § 13
5 M€
d'amende RGPD (article 32)
CNIL, 22 janvier 2026
28
jours d'accès frauduleux
Parquet de Paris, 19 mars 2024
Chronologie
Chronologie
Le fil des événements
2022
Le risque identifié... et reporté
L'analyse d'impact (AIPD) de France Travail identifie le risque : « si un attaquant externe pirate le poste d'un conseiller Cap emploi il lui sera facile d'accéder aux données ». La MFA, envisagée pour 2023, est reportée à avril 2024.
Source · Décision CNIL SAN-2026-003
6 février 2024
Premiers accès frauduleux
Premiers accès via des comptes de conseillers Cap Emploi usurpés ; 9 Go de données extraits ce jour-là.
Source · Décision CNIL SAN-2026-003 (§ 86) ; parquet de Paris, 19/03/2024
6 février au 5 mars 2024
Un mois d'exfiltration
Les comptes usurpés « avaient été utilisés pour procéder au téléchargement de données de la base des demandeurs d'emploi évaluée à 43 millions de données à caractère personnel ».
Source · Parquet de Paris, communiqué du 19/03/2024
29 février 2024
Le signal ignoré
« Une activité anormale a été détectée sur le système de mesure de performances », entraînant « une indisponibilité partielle du service et une forte consommation en ressources ».
Source · Décision CNIL SAN-2026-003 (§ 10)
4 mars 2024
L'alerte enfin prise en compte
« L'alerte a été constatée et prise en compte le lundi 4 mars 2024 en fin de journée ».
Source · Décision CNIL SAN-2026-003 (§ 10)
5 mars 2024
Fin de l'activité malveillante
Investigations internes ; fin de la période d'activité malveillante retenue par la justice.
Source · Décision CNIL (§ 10) ; parquet, 19/03/2024
8 mars 2024
Notification à la CNIL
France Travail notifie la violation de données à la CNIL.
Source · Décision CNIL (§ 15) ; parquet, 19/03/2024
12 mars 2024
La BL2C saisie
Le parquet de Paris, avisé, confie l'enquête à la BL2C (direction de la police judiciaire de Paris).
Source · Parquet de Paris, 19/03/2024
13 mars 2024
L'annonce publique
Annonce publique. La CNIL confirme jusqu'à « 43 millions d'usagers » potentiellement concernés, annonce ses investigations et publie ses conseils. Cybermalveillance.gouv.fr met en ligne un formulaire de lettre-plainte.
Source · CNIL, 13/03/2024 ; Cybermalveillance.gouv.fr, 13/03/2024
17 mars 2024
Trois interpellations
« Trois personnes ont été interpellées le dimanche 17 mars 2024 » (nées en novembre 2001, septembre 2000 et septembre 2002).
Source · Parquet de Paris, 19/03/2024
19 mars 2024
Information judiciaire ouverte
Présentation à un juge d'instruction en vue de leur mise en examen ; ouverture d'une information judiciaire pour accès et maintien frauduleux dans un STAD, extraction de données, escroquerie et blanchiment, « chacune de ces infractions étant aggravée par la circonstance de bande organisée ».
Source · Parquet de Paris, 19/03/2024
21 mars 2024
La CNIL contrôle sur place
Contrôle sur place de la CNIL dans les locaux de France Travail.
Source · Décision CNIL SAN-2026-003
15 mai 2024
Notification complétée
Notification à la CNIL complétée.
Source · Décision CNIL SAN-2026-003 (§ 15)
18 septembre 2024
Le retex CERT-FR
Le CERT-FR publie son retour d'expérience anonymisé sur les exfiltrations du secteur social (CERTFR-2024-CTI-009).
Source · CERT-FR, 18/09/2024
11 mars 2025
Le Panorama nomme France Travail
Le Panorama de la cybermenace 2024 cite nommément l'incident « ayant touché France Travail » et le relie au retex de 2024.
Source · CERT-FR, CERTFR-2025-CTI-003, 11/03/2025
Juin 2025
La piste ShinyHunters (presse)
La presse rapporte l'arrestation de suspects liés au groupe ShinyHunters, « soupçonnés » d'attaques visant notamment France Travail : attribution non confirmée judiciairement.
Source · Presse, juin 2025
26 juin 2025
Le Sénat interpelle
Question écrite n° 05318 du sénateur Arnaud Bazin sur la protection des données des Français, citant la fuite France Travail.
Source · Sénat, JO du 26/06/2025
22 janvier 2026
5 millions d'euros d'amende
Délibération SAN-2026-003 : amende de 5 millions d'euros, injonction sous astreinte de 5 000 €/jour, pour manquement à l'article 32 du RGPD.
Source · CNIL / Légifrance
29 janvier 2026
Publication de la sanction
Publication de la sanction. La décision « n'identifiera plus nommément FRANCE TRAVAIL » après le 29 janvier 2028.
Source · CNIL, 29/01/2026
5 mai 2026
Vers une commission d'enquête
Proposition de résolution n° 595 (Nathalie Goulet et 37 cosignataires) tendant à créer une commission d'enquête sur les cyberattaques et fuites de données, citant le piratage de France Travail.
Source · Sénat, PPR n° 595 (2025-2026)
La chaîne d’attaque : un coup de téléphone au support
Ce que la CNIL a établi
Chaîne d'attaque
Comment l'intrusion s'est déroulée
Reconstitution à visée défensive : chaque maillon compris est un maillon que l’on peut casser.
Collecte préparatoire
Les attaquants rassemblent les informations nécessaires aux demandes de réinitialisation de comptes de conseillers Cap Emploi (décision CNIL).
Ingénierie sociale du support
Des demandes de réinitialisation de mot de passe usurpant l'identité de conseillers sont adressées au prestataire de support informatique (décision CNIL, § 11-12).
Prise de contrôle des comptes
Les comptes conseillers usurpés donnent accès à l'espace professionnel et à la base des demandeurs d'emploi.
Requêtes massives
Des interrogations en volume, hors heures ouvrées, avec un taux d'erreur de 69 %, moissonnent la base (décision CNIL, § 86).
Exfiltration
25 Go de données concernant 36 820 828 personnes sont exfiltrés entre le 6 février et le 5 mars 2024 (décision CNIL, § 13).
Détection tardive
L'activité anormale du 29 février n'est prise en compte que le 4 mars au soir, la journalisation existait, personne ne la surveillait (décision CNIL, § 10).
La décision SAN-2026-003 est formelle : « L’attaque a été menée par des techniques dites “d’ingénierie sociale”, c’est-à-dire selon des techniques consistant à obtenir un bien ou une information, en exploitant la confiance, l’ignorance ou la crédulité de tierces personnes » (§ 12).
Concrètement, d’après les faits retenus par la formation restreinte, les attaquants ont :
- Réuni les données nécessaires à la réinitialisation du mot de passe de comptes de conseillers Cap Emploi : l’organisme partenaire de France Travail qui accompagne les demandeurs d’emploi en situation de handicap ;
- Contacté le prestataire de support informatique en se faisant passer pour des employés Cap Emploi afin d’obtenir ces réinitialisations, et ainsi « usurper les comptes » ;
- Appelé des conseillers en se faisant passer pour le support informatique, l’autre sens du même mensonge, pour obtenir des identifiants.
Aucun malware, aucune vulnérabilité logicielle, aucun « zero-day ». La porte d’entrée était le circuit humain de réinitialisation des mots de passe.
Une fois les comptes en main, l’exfiltration s’est faite par l’application métier de consultation des dossiers, avec des requêtes en apparence légitimes : la décision relève « le volume considérable de données extraites » (25 Go au total, dont 9 Go dès le 6 février 2024) un taux d’erreur de 69 % sur l’un des comptes compromis et des accès en dehors des horaires habituels (§ 86). Autant de signaux qui n’ont déclenché aucune alerte pendant un mois.
Ce que la justice a établi
Le communiqué de la procureure de la République de Paris, Laure Beccuau, daté du 19 mars 2024, précise le périmètre : « entre les 6 février et 5 mars des comptes d’agent Cap Emploi, habilités à accéder aux ressources présentes sur le système d’information de France Travail, avaient été utilisés pour procéder au téléchargement de données de la base des demandeurs d’emploi évaluée à 43 millions de données à caractère personnel ».
Et il apporte un élément que la CNIL ne détaille pas : « Les perquisitions diligentées à leur domicile et sur leur matériel informatique ont confirmé pour certains d’entre eux une activité d’escroquerie en recourant à la technique du “phishing” ». Le profil dessiné est celui d’une petite équipe rompue à l’hameçonnage et à l’escroquerie, qui a trouvé dans un compte partenaire mal protégé un accès à la base de données de la moitié du pays.
Ce que le CERT-FR a documenté
Le CERT-FR (l’équipe de réponse à incident de l’ANSSI) a publié le 18 septembre 2024 un retour d’expérience anonymisé sur les exfiltrations de données du secteur social (CERTFR-2024-CTI-009). Le constat générique recoupe exactement le scénario France Travail : « les attaquants ont utilisé des accès légitimes, récupérés via des campagnes d’hameçonnage réussies ou sur des sites de revente d’identifiants de connexion. Au moyen de ces comptes, des actions légitimes de consultation des bases de données leur ont permis d’en exfiltrer le contenu, faute de règles ou de limites mises en place. »
Le document cite, sans nommer la victime, un cas où « des comptes de prestataires externes — sans authentification forte — ont été compromis et utilisés pour exfiltrer l’intégralité d’une base de données », et un autre où un attaquant, « en simulant des millions de recherches », a pu « par simple navigation, extraire le contenu » d’une plateforme de consultation.
Le lien avec France Travail a été officialisé le 11 mars 2025 : le Panorama de la cybermenace 2024 (CERTFR-2025-CTI-003) cite nommément, parmi les incidents marquants du secteur social, « celui ayant touché France Travail, avec pour conséquence l’exfiltration de quantités importantes de données personnelles appartenant à de nombreux Français », en renvoyant au retour d’expérience publié en 2024.
L’attribution à ShinyHunters reste une piste de presse
En juin 2025, la presse spécialisée a rapporté l’arrestation en France de plusieurs suspects liés au groupe cybercriminel ShinyHunters et au forum BreachForums, « soupçonnés » d’attaques visant notamment Boulanger, SFR, la Fédération Française de Football, et France Travail. À la date de mise à jour de cet article, ce lien relève de l’attribution journalistique : ni la décision CNIL ni les communiqués judiciaires publics ne rattachent formellement la fuite de février 2024 à ce groupe. Les personnes mises en cause, dans ce dossier comme dans celui de mars 2024, sont présumées innocentes.
À noter enfin, pour le contexte : France Travail (alors Pôle emploi) avait déjà été touché en août 2023, via un prestataire, par la campagne d’exploitation de la faille MOVEit attribuée au groupe Cl0p, environ 10 millions de demandeurs d’emploi concernés selon la presse de l’époque.
Les données compromises
Le communiqué du parquet du 19 mars 2024 liste précisément le contenu de la base téléchargée : « nom, prénom, date et lieu de naissance, adresse physique, adresse mail, numéro de téléphone, NIR (numéro de sécurité sociale), identifiants France Travail ».
La CNIL a confirmé dès le 13 mars 2024 que « les mots de passe et les coordonnées bancaires ne sont pas concernés ».
La donnée critique reste le NIR : contrairement à un mot de passe, il ne se change pas. Combiné au nom, à la date de naissance et à l’adresse, il ouvre la voie à des usurpations d’identité administratives durables et à des campagnes de phishing, vishing et smishing d’une crédibilité redoutable : l’attaquant connaît de vraies informations sur sa cible. Ce risque ne « périme » pas : les données volées en 2024 alimenteront des arnaques pendant des années.
Les manquements retenus par la CNIL
La formation restreinte a examiné la sécurité du dispositif au regard de l’article 32 du RGPD et conclu, au paragraphe 99 de sa décision : « la formation restreinte considère que FRANCE TRAVAIL a manqué à ses obligations issues de l’article 32 du RGPD ». Trois familles de défaillances sont retenues, et chacune est une leçon B2B.
1. Une authentification indigente pour des comptes ultra-sensibles
Les comptes de conseillers Cap Emploi donnaient accès aux dossiers des demandeurs d’emploi avec un simple couple identifiant / mot de passe. La politique en vigueur tolérait jusqu’à 50 tentatives de connexion échouées avant blocage du compte : là où la CNIL recommande un blocage de l’ordre de 10 tentatives.
Surtout, l’absence d’authentification multifacteur n’était pas un angle mort : c’était un risque documenté en interne. L’analyse d’impact (AIPD) réalisée en 2022 prévenait : « si un attaquant externe pirate le poste d’un conseiller Cap emploi il lui sera facile d’accéder aux données ». La MFA, envisagée pour 2023, avait été reportée à avril 2024 : l’attaque a eu lieu en février. La décision souligne qu’une authentification multifacteur aurait rendu l’usurpation des comptes « extrêmement difficile », et note que « FRANCE TRAVAIL fait état de la mise en place d’une authentification multifacteur après la violation de données » (§ 75). Identifier le bon contrôle ne protège pas ; le déployer, si.
2. Une journalisation sans personne derrière
France Travail journalisait bien les accès, mais n’exploitait pas ses journaux : la décision pointe l’absence de contrôle régulier et automatique des journaux et de tout dispositif d’alerte en temps réel. Résultat : 9 Go extraits en une seule journée le 6 février, un taux d’erreur de 69 % sur un compte, des connexions hors horaires ouvrés, et aucune réaction avant que la volumétrie ne finisse par dégrader les performances du système, le 29 février. Un journal que personne ne lit est un alibi, pas une mesure de sécurité.
3. Des droits d’accès sans limitation
Les conseillers Cap Emploi, structures dont le périmètre est départemental, pouvaient consulter les dossiers de demandeurs d’emploi de toute la France : la décision relève qu’« ils peuvent, à leur seule initiative, modifier le périmètre de la recherche sans limitation géographique » (§ 94). Un compte compromis dans un département donnait donc accès à la base nationale. C’est l’antithèse du principe du moindre privilège.
Ce que la CNIL n’a pas retenu
Précision importante pour lire correctement cette décision : la sanction repose uniquement sur l’article 32 (sécurité). La formation restreinte n’a retenu aucun manquement aux obligations de notification (article 33) ni d’information des personnes (article 34), et les durées de conservation ne font pas partie des griefs sanctionnés. Le message du régulateur est donc limpide : c’est la prévention qui a failli, pas la réaction.
La réponse et les délais légaux
La notification à la CNIL : 72 heures, mais à partir de quand ?
La chronologie retenue par la décision (§ 10) mérite d’être citée en entier : « Le jeudi 29 février 2024, une activité anormale a été détectée sur le système de mesure de performances du système d’information de FRANCE TRAVAIL, entraînant une indisponibilité partielle du service et une forte consommation en ressources. L’alerte a été constatée et prise en compte le lundi 4 mars 2024 en fin de journée, puis a donné lieu à des investigations le mardi 5 mars 2024. »
La notification à la CNIL est intervenue le 8 mars 2024, complétée le 15 mai 2024 (§ 15), soit dans les 72 heures suivant la qualification de l’incident le 5 mars, conformément à l’article 33 du RGPD, qui fait courir le délai à compter de la prise de connaissance de la violation. La CNIL n’a rien reproché à France Travail sur ce point. Mais la ligne « alerte du jeudi 29 février prise en compte le lundi 4 mars en fin de journée » raconte une autre histoire : quatre jours entre le signal et sa prise en compte. Un délai de traitement d’alerte, cela se mesure et cela s’améliore, c’est précisément l’objet d’un plan de réponse à incident testé.
L’information des personnes
France Travail a communiqué publiquement le 13 mars 2024, jour où la CNIL a publié son propre communiqué confirmant jusqu’à « 43 millions d’usagers » potentiellement concernés, annonçant ses investigations « pour vérifier si les mesures de sécurité étaient conformes au RGPD » et diffusant ses conseils de vigilance : ne jamais communiquer mot de passe ou coordonnées bancaires par message, vérifier régulièrement l’activité de ses comptes, accéder aux sites officiels directement plutôt qu’en cliquant sur un lien. Une information individuelle des personnes concernées a suivi.
La lettre-plainte : un dispositif inédit à cette échelle
Dès le 13 mars 2024, Cybermalveillance.gouv.fr a mis en ligne un formulaire de lettre-plainte permettant aux victimes de porter plainte sans se déplacer, via Démarches-simplifiées.fr, en alertant sur les risques « d’hameçonnage (phishing), de tentatives d’escroqueries ou d’usurpation d’identité ». Ce dispositif, conçu pour absorber des dizaines de millions de plaignants potentiels, est depuis devenu le modèle de réponse aux méga-fuites françaises.
Les suites politiques
L’affaire a durablement marqué le débat public. Le 26 juin 2025, le sénateur Arnaud Bazin interpellait le gouvernement (question écrite n° 05318) sur la protection des données des Français, citant la fuite France Travail parmi les précédents. Le 5 mai 2026, la sénatrice Nathalie Goulet et 37 cosignataires déposaient la proposition de résolution n° 595 tendant à créer une commission d’enquête sur les cyberattaques et les fuites de données portant atteinte à la souveraineté numérique : le piratage de France Travail et ses 43 millions de dossiers y figurant explicitement comme événement fondateur.
Ce qu’une PME doit en retenir
Chacun des manquements sanctionnés a son équivalent direct dans une entreprise de 20 ou 200 personnes. Voici les cinq contrôles à vérifier cette semaine.
1. MFA sur tous les comptes, y compris (surtout) ceux des partenaires
Le maillon cassé n’était pas un compte interne de France Travail : c’était un compte d’un organisme partenaire. Vos prestataires, cabinets comptables, infogéreurs et franchisés qui accèdent à vos systèmes sont votre surface d’attaque. La CNIL a jugé que la MFA aurait rendu l’attaque « extrêmement difficile » : déployez-la partout, en commençant par les accès externes. Notre guide de déploiement de la MFA en entreprise couvre la démarche pas à pas.
2. Verrouillez le circuit de réinitialisation des mots de passe
Les attaquants n’ont pas cassé de mot de passe : ils ont demandé poliment au support de le réinitialiser. Imposez à votre helpdesk (interne ou prestataire) une procédure de vérification d’identité sans exception : rappel sur un numéro connu, validation par le manager, jamais de réinitialisation sur simple appel entrant. C’est gratuit, et cela aurait suffi à stopper cette attaque.
3. Surveillez les exports massifs
9 Go extraits en une journée sans alerte. Définissez des seuils d’alerte sur les volumes de consultation et d’export de vos données clients, et faites en sorte qu’un humain reçoive et traite ces alertes : le CERT-FR recommande explicitement de « contrôler par des règles plus restrictives l’export massif de données » et d’alerter les responsables métiers de tout comportement suspect. Un journal sans alerte ni relecture n’a jamais arrêté personne.
4. Moindre privilège pour les accès externes
Un conseiller départemental pouvait interroger la base nationale. Posez-vous la question pour chaque accès tiers : ce partenaire a-t-il besoin de voir toutes mes données, ou seulement son périmètre ? Restreignez par défaut, élargissez sur justification.
5. Entraînez vos équipes à l’ingénierie sociale : support compris
Cette attaque a réussi parce que des humains (au support, chez les conseillers) ont fait confiance à des inconnus convaincants. Le facteur humain est impliqué dans 62 % des violations de données (Verizon DBIR 2026 : voir nos statistiques du phishing en France). La sensibilisation n’est plus optionnelle : c’est une exigence explicite de NIS2 pour les entités concernées (notre guide sensibilisation et formation NIS2 détaille les obligations), et la simulation de phishing et de vishing reste le seul moyen de mesurer la vulnérabilité réelle de vos équipes. Complétez par un test gratuit de votre sécurité email : SPF, DKIM et DMARC mal configurés facilitent l’usurpation de votre domaine dans ce type de scénario.
Verdict
L’affaire France Travail compte pour trois raisons. Son ampleur : 36,8 millions de personnes, un record français absolu. Sa banalité technique : pas d’exploit, pas de malware, un circuit de réinitialisation de mots de passe et un support informatique trop confiant. Sa valeur jurisprudentielle, enfin : avec SAN-2026-003, la CNIL a sanctionné à 5 millions d’euros l’écart entre les risques que France Travail avait elle-même identifiés dès 2022 et les mesures effectivement déployées en février 2024.
C’est la leçon à encadrer : en matière de sécurité, une analyse de risques sans mise en œuvre est une pièce à charge. MFA, procédures de réinitialisation, surveillance des exports, moindre privilège, formation : aucun de ces contrôles n’est de la cybersécurité avancée. C’est le minimum, et c’est désormais le standard au regard duquel le régulateur jugera votre organisation.
Retrouvez cet incident et plus de 100 autres dans notre base de données des cyberattaques en France.
FAQ
Quelle sanction la CNIL a-t-elle prononcée contre France Travail ? Une amende administrative de 5 millions d’euros pour manquement à l’article 32 du RGPD, assortie d’une injonction de mise en conformité sous astreinte de 5 000 euros par jour de retard à l’issue d’un délai d’un mois (délibération SAN-2026-003 du 22 janvier 2026, publiée le 29 janvier 2026).
Comment les attaquants sont-ils entrés ? Par ingénierie sociale : réinitialisations de mots de passe de comptes de conseillers Cap Emploi obtenues auprès du support informatique en usurpant l’identité d’employés, selon la décision CNIL. Les perquisitions ont confirmé chez certains suspects une activité d’escroquerie « en recourant à la technique du “phishing” » (parquet de Paris, 19 mars 2024).
Suis-je concerné et que faire ? Potentiellement, si vous avez été inscrit à France Travail ou accompagné par Cap Emploi dans les 20 années précédant février 2024 (36,8 millions de personnes). Vigilance maximale face aux messages citant vos vraies données, aucune communication de NIR ou de coordonnées bancaires à un interlocuteur entrant, surveillance de vos comptes, et lettre-plainte via le formulaire de Cybermalveillance.gouv.fr.
43 ou 36,8 millions de victimes ? 43 millions : l’évaluation initiale de la base téléchargée (parquet, 19 mars 2024). 36 820 828 : le décompte après déduplication retenu par la décision CNIL.
Le délai de 72 heures a-t-il été respecté ? Oui au sens de l’article 33 : investigations le 5 mars 2024, notification le 8 mars. La CNIL n’a retenu aucun manquement sur la notification ni sur l’information des personnes : uniquement sur la sécurité (article 32).
Qui a piraté France Travail ? Trois suspects interpellés le 17 mars 2024 et présentés en vue de leur mise en examen : présumés innocents. L’attribution au groupe ShinyHunters évoquée par la presse en juin 2025 n’est pas confirmée judiciairement pour cette fuite.
Sources :
- CNIL, « Violation de données : sanction de 5 millions d’euros à l’encontre de France Travail », 29 janvier 2026 : cnil.fr (consulté le 05/09/2026)
- CNIL, délibération de la formation restreinte n° SAN-2026-003 du 22 janvier 2026 : legifrance.gouv.fr (consulté le 05/09/2026, décision anonymisée après le 29/01/2028 : elle « n’identifiera plus nommément FRANCE TRAVAIL à l’expiration d’un délai de deux ans à compter de sa publication »)
- CNIL, « France Travail : la CNIL enquête sur la fuite de données et donne des conseils pour se protéger », 13 mars 2024 : cnil.fr (consulté le 05/09/2026)
- Parquet du tribunal judiciaire de Paris, communiqué de presse de la procureure de la République, 19 mars 2024 : tribunal-de-paris.justice.fr (PDF), reproduction et analyse : Next, 20/03/2024 (consultés le 05/09/2026)
- CERT-FR (ANSSI), « Exfiltration de données du secteur social : retour d’expérience du CERT-FR », CERTFR-2024-CTI-009, 18 septembre 2024 : cert.ssi.gouv.fr (consulté le 05/09/2026)
- CERT-FR (ANSSI), « Panorama de la cybermenace 2024 », CERTFR-2025-CTI-003, 11 mars 2025 : cert.ssi.gouv.fr (consulté le 05/09/2026)
- Cybermalveillance.gouv.fr, « Violation de données personnelles France Travail : formulaire de lettre-plainte », 13 mars 2024 : cybermalveillance.gouv.fr (consulté le 05/09/2026)
- Sénat, question écrite n° 05318 de M. Arnaud Bazin, JO Sénat du 26 juin 2025 : senat.fr (consulté le 05/09/2026)
- Sénat, proposition de résolution n° 595 (2025-2026) tendant à la création d’une commission d’enquête sur les cyberattaques et les fuites de données, déposée le 5 mai 2026 : senat.fr (consulté le 05/09/2026)
- Verizon, Data Breach Investigations Report 2026 : verizon.com (consulté le 05/09/2026)
Note : les communiqués de la CNIL sont généralement dépubliés après environ deux ans et la décision SAN-2026-003 sera anonymisée après le 29 janvier 2028. Les citations datées de cet article font foi de leur contenu à la date de consultation.
Annexes
Les pièces du dossier
CNIL22 janvier 2026
Pièce n° 01
« Des techniques d'ingénierie sociale, qui exploitent la confiance, l'ignorance ou la crédulité de tierces personnes, ont permis d'usurper des comptes de conseillers Cap Emploi. »
Parquet de Paris19 mars 2024
Pièce n° 02
« Les comptes usurpés avaient été utilisés pour procéder au téléchargement de données de la base des demandeurs d'emploi évaluée à 43 millions de données à caractère personnel. »
CNIL22 janvier 2026
Pièce n° 03
« Une activité anormale a été détectée sur le système de mesure de performances… L'alerte a été constatée et prise en compte le lundi 4 mars 2024 en fin de journée. »
CERT-FR (ANSSI)18 septembre 2024
Pièce n° 04
« Des campagnes d'hameçonnage réussies ou des sites de revente d'identifiants de connexion sont à l'origine de la compromission de comptes de prestataires externes. »