L'Afpa, agence nationale chargée de la formation professionnelle des adultes, a confirmé le 19 septembre 2026 auprès de l'AFP avoir été la cible d'un piratage. Cette déclaration fait suite à deux revendications publiées les 15 et 16 septembre 2026 sur un forum cybercriminel.
La première, publiée le 15 septembre 2026, met en vente une base de données présentée comme provenant de l'agence. Selon la revendication, le fichier compterait 971 420 enregistrements. L'acteur ne précise pas combien de personnes distinctes ces enregistrements représentent, et ce nombre n'est pas établi.
Ce que dit l'Afpa
D'après l'agence, ses premières investigations ont mis en évidence une potentielle extraction de données. Celle-ci serait liée à une faille de l'outil qu'elle utilise pour gérer l'hébergement de ses stagiaires.
Cet outil est hébergé chez un éditeur tiers. Il est externe au système d'information de l'agence.
L'Afpa indique que jusqu'à 1,7 million de personnes pourraient être concernées au total. Ce chiffre ne distingue pas les deux mises en vente.
L'agence précise qu'a priori aucune donnée sensible, comme des données bancaires ou des numéros de Sécurité sociale, n'était disponible dans cet outil. Il contenait en revanche des noms, des adresses et éventuellement des numéros de téléphone.
L'Afpa indique qu'elle préviendra les personnes concernées une fois le périmètre établi.
Ce que décrit la revendication du 15 septembre
D'après l'extrait publié par l'acteur, les fiches porteraient sur l'identité des personnes, avec la civilité, le nom, le prénom et la date de naissance. S'y ajouteraient une adresse postale complète, avec code postal, ville et pays, ainsi qu'un numéro de téléphone et un identifiant interne.
L'extrait rendu public ne comporterait ni adresse électronique ni donnée financière.
Les fiches de l'extrait porteraient aussi un code correspondant au nom de l'outil de gestion de l'hébergement désigné par l'Afpa. Le titre de la revendication citait pourtant le site public de l'agence.
Les personnes citées dans l'extrait résideraient en France métropolitaine et en outre-mer. La base est proposée à la vente, les conditions étant communiquées sur demande.
Deux mises en vente visant le même outil
Le lendemain, un autre acteur a mis en vente une base de 1 732 811 lignes rattachée au même outil. L'Afpa évoque elle-même deux revendications.
En août 2026, une autre revendication visait déjà un outil interne distinct de l'agence.
Les risques pour les personnes concernées
Réunies, ces données d'état civil et de contact peuvent suffire à des sollicitations ciblées ou à des tentatives d'usurpation d'identité.
Des escroqueries peuvent notamment se réclamer de l'Afpa ou d'un financeur de formation. L'absence de donnée financière réduit certains risques, sans rendre ces informations anodines.
Données concernées :
- Civilité
- Prénom
- Nom
- Date de naissance
- Adresse postale
- Code postal
- Ville
- Pays
- Numéro de téléphone
- Identifiant interne
- Fiche client
Mentions :
Statut Fuites Infos : Confirmée