Les candidats inscrits sur OnRecrute en Aveyron, le portail d'emploi du département, ont vu leurs coordonnées, et pour certains leur CV, mis en téléchargement libre. Un peu plus de vingt mille personnes sont concernées par cette fuite de données, confirmée par Aveyron Attractivité Tourisme dans un communiqué du 9 septembre 2026.
Le piratage d'un compte recruteur à l'origine de la fuite
La plateforme, opérée sous le domaine enaveyron.fr par l'agence départementale Aveyron Attractivité Tourisme, sert au dépôt de candidatures. L'agence dit avoir été informée à la mi-août d'un accès illicite à la base des candidats. Les premières investigations l'attribuent au vol du mot de passe d'un compte recruteur d'une entreprise utilisatrice, compte qui disposait normalement de droits d'accès à cette base. L'agence écarte une intrusion directe dans son système informatique et précise que la plateforme est indépendante du système d'information du Conseil départemental.
Selon l'agence, 20 316 contacts sont concernés. Les données en cause sont le nom, le prénom, l'adresse électronique, l'adresse postale, le téléphone et l'année de naissance, auxquels s'ajoutent environ 1 500 CV issus de la CVthèque. Aucune pièce d'identité ni donnée bancaire n'était enregistrée, et aucune escroquerie ne lui a été signalée à ce jour. Les candidats ont été informés à partir du 20 août, et les recruteurs invités à réinitialiser leur mot de passe.
Ce que montre le dépôt au-delà du communiqué
Les données ont été mises en téléchargement libre le 5 septembre 2026 sur un forum cybercriminel du dark web, pour environ 465 Mo. D'après ce dépôt, elles iraient plus loin que ce que décrit l'agence : parcours professionnel déclaré (expériences, diplômes, compétences, disponibilité), date de naissance complète, situation familiale ou statut de travailleur handicapé selon les profils. Les candidatures y seraient rattachées aux organisations qui recrutent, notamment des agences d'intérim, des collectivités et des établissements médico-sociaux.
Un CV réunit en un seul document l'identité, l'adresse et le parcours d'une personne en recherche d'emploi. Ces éléments pourraient servir à de fausses offres ou à de faux entretiens très convaincants, citant un employeur réellement sollicité. La mention d'un handicap relève en outre d'une information sensible, que la personne n'avait confiée que dans le cadre d'une candidature.
Détails techniques :
- 20 316 contacts concernés selon le communiqué de l'agence
- Environ 1 500 CV issus de la CVthèque
- Accès attribué au vol du mot de passe d'un compte recruteur disposant de droits sur la base des candidats
- Candidats informés à partir du 20 août 2026, communiqué de presse du 9 septembre 2026
- Mise en téléchargement libre le 5 septembre 2026 sur neuf hébergeurs, environ 465 Mo
- Renforcement annoncé de la politique de mots de passe et des dispositifs d'authentification
Données concernées :
- Nom et prénom
- Adresse email
- Numéro de téléphone
- Adresse postale
- Année de naissance
- CV issus de la CVthèque
Données annoncées non vérifiées :
- Date de naissance complète, nationalité, ville, code postal et pays
- Parcours professionnel, diplômes, compétences et disponibilité
- Candidatures et organisations qui recrutent
- Situation familiale
- Statut de travailleur handicapé et autres données sensibles
- Données d'aide sociale
- Champs libres et identifiant interne
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise