Piratage de l'Afpa : jusqu'à 1,7 million de personnes potentiellement exposées
L'Agence nationale pour la formation professionnelle des adultes (Afpa) a confirmé être victime d'un piratage informatique susceptible d'avoir exposé les données personnelles de jusqu'à 1,7 million de personnes. La revendication, publiée à la mi-septembre 2026 sur un forum cybercriminel par un individu se présentant sous le pseudonyme Cybernox, porte sur une base regroupant des identités, dates de naissance, adresses postales et numéros de téléphone couvrant une période allant de 2006 à 2026. L'organisme public, chargé de la formation professionnelle de milliers de demandeurs d'emploi et de salariés chaque année, dit examiner l'étendue exacte de la fuite avant de notifier les personnes concernées.
Selon les premiers éléments communiqués par la direction de l'Afpa, l'intrusion ne proviendrait pas directement des systèmes d'information internes de l'agence mais d'un outil tiers, hébergé par un prestataire externe, utilisé dans le cadre de certaines démarches administratives liées aux formations. Pierre Prady, directeur adjoint de l'Afpa, a indiqué que deux individus revendiquaient le vol de données, sans que l'authenticité de l'intégralité du lot mis en vente ait pu être vérifiée de façon indépendante à ce stade. Cette précision n'exclut cependant pas la responsabilité de l'Afpa, qui reste tenue de garantir la sécurité des données confiées à ses sous-traitants au titre du Règlement général sur la protection des données.
Les données examinées par des chercheurs en cybersécurité et par la presse spécialisée font état de noms, prénoms, dates de naissance, adresses postales, numéros de téléphone ainsi que divers identifiants administratifs liés au parcours de formation des personnes concernées. L'Afpa affirme qu'« a priori » aucune donnée bancaire ni aucun numéro de sécurité sociale ne figurait dans l'application compromise, ce qui limiterait, en théorie, les risques d'usurpation d'identité les plus graves. Les autorités et l'organisme appellent toutefois à la prudence face aux tentatives de phishing qui pourraient exploiter ces informations dans les prochaines semaines.
Une deuxième revendication en quelques mois
Cette annonce n'est pas isolée : elle intervient après une première revendication, plus limitée, concernant environ 971 420 enregistrements attribués à l'Afpa, ainsi qu'une fuite distincte touchant la plateforme numérique AFPABox, évoquée début août 2026 sur un forum cybercriminel. Dans ce second cas, un pirate affirmait avoir exposé des profils utilisateurs — noms, identifiants de connexion, âge, sexe, fonction — concernant une centaine de comptes, en expliquant son geste par une opposition au projet européen de contrôle des communications surnommé ChatControl. Ces éléments, non confirmés de manière indépendante, dessinent le profil d'une agence visée à plusieurs reprises sur une courte période, avec des vecteurs d'attaque potentiellement différents.
Le calendrier de cette nouvelle fuite coïncide par ailleurs avec un contexte social tendu au sein de l'Afpa, l'organisme ayant récemment annoncé un plan de réorganisation prévoyant la fermeture de certains centres de formation et des suppressions de postes. Si aucun lien de cause à effet n'a été établi entre ce climat interne et le piratage revendiqué, la coïncidence alimente les interrogations des représentants du personnel sur la robustesse des systèmes d'information de l'agence en période de restructuration, un moment souvent propice au relâchement de la vigilance informatique.
Un signalement à la CNIL attendu
À ce stade, aucune information publique ne confirme le dépôt d'une plainte pénale ou la notification formelle à la Commission nationale de l'informatique et des libertés, mais une telle démarche est obligatoire sous 72 heures dès qu'un organisme a connaissance d'une violation de données à caractère personnel susceptible d'engendrer un risque pour les droits des personnes. La Cnil a justement fait état d'un nombre record de notifications de violations en 2025, avec plus de 6 000 signalements, en hausse sensible par rapport à l'année précédente, une tendance qui semble se poursuivre en 2026 avec la multiplication des attaques visant des organismes publics comme la Caf, dont les données de plusieurs millions de Français avaient déjà fuité fin 2025.
Ce nouvel épisode s'inscrit plus largement dans une vague de compromissions touchant des services publics et des entreprises privées françaises tout au long de l'année 2026. Des affaires comparables, comme celle ayant touché les données médicales de 15 millions de Français chez Cegedim, illustrent l'ampleur croissante de ces fuites et la difficulté des organismes, publics comme privés, à sécuriser des bases de données parfois anciennes et confiées à des prestataires externes. Les spécialistes de la cybersécurité rappellent que la multiplication des sous-traitants numériques constitue aujourd'hui l'un des principaux points de fragilité des grandes administrations.
Dans l'attente des conclusions de l'enquête interne de l'Afpa et d'une éventuelle communication officielle de la Cnil, les personnes ayant été en contact avec l'agence au cours des vingt dernières années — stagiaires, salariés en reconversion ou candidats à une formation — sont invitées à rester vigilantes face à d'éventuels courriels ou appels frauduleux se présentant comme émanant de l'organisme. L'Afpa a indiqué qu'elle informerait individuellement les personnes dont les données seraient confirmées comme compromises, une fois le périmètre exact de la fuite établi.