L'Afpa, Agence nationale pour la formation professionnelle des adultes, a confirmé le 19 septembre 2026 auprès de l'AFP avoir été la cible d'un piratage. Cette déclaration fait suite à deux revendications publiées les 15 et 16 septembre 2026 sur un forum cybercriminel. Chacune met en vente une base présentée comme issue de l'agence.
Selon l'Afpa, jusqu'à 1,7 million de personnes pourraient être concernées. Le nombre exact de personnes distinctes n'est pas établi.
Ce que dit l'Afpa
D'après l'agence, ses premières investigations ont mis en évidence une potentielle extraction de données. Celle-ci serait liée à une faille de l'outil qu'elle utilise pour gérer l'hébergement de ses stagiaires.
Cet outil est hébergé chez un éditeur tiers. Il est externe au système d'information de l'agence.
L'Afpa indique qu'a priori aucune donnée sensible, comme des données bancaires ou des numéros de Sécurité sociale, n'était disponible dans cet outil. Il contenait en revanche des noms, des adresses et éventuellement des numéros de téléphone.
L'agence indique qu'elle préviendra les personnes concernées une fois le périmètre établi.
Ce que décrit la revendication du 16 septembre
La revendication du 16 septembre 2026 met en vente une base présentée comme extraite de cet outil. Selon l'acteur, le fichier compterait 1 732 811 lignes, qu'il présente comme des utilisateurs.
D'après l'extrait publié, les fiches porteraient sur l'identité des personnes, avec la civilité, le nom, le prénom et la date de naissance. S'y ajouteraient l'adresse postale, le code postal, la ville, le pays et le numéro de téléphone. L'extrait ne comporterait aucune donnée financière. La fiche de l'extrait serait datée d'août 2026.
L'acteur affirme avoir exploité une faille de contrôle d'accès permettant de consulter des fiches qui ne lui étaient pas destinées. La base est proposée à la vente, le prix étant communiqué sur demande.
Deux mises en vente visant le même outil
La veille, un autre acteur avait mis en vente une base de 971 420 enregistrements rattachée au même outil. L'Afpa évoque elle-même deux revendications. Le chiffre de 1,7 million de personnes qu'elle avance ne distingue pas les deux mises en vente.
En août 2026, une autre revendication visait déjà un outil interne distinct de l'agence.
Les risques pour les personnes concernées
L'enjeu tient surtout à la combinaison de données d'identité et de coordonnées complètes. Ce type d'ensemble peut faciliter des messages frauduleux crédibles, des tentatives d'usurpation d'identité et des sollicitations ciblées.
Des escroqueries peuvent notamment se réclamer de l'Afpa ou d'un organisme de formation ou d'hébergement. L'absence de donnée financière réduit certains risques, sans rendre ces informations anodines.
Données concernées :
- Civilité
- Prénom
- Nom
- Date de naissance
- Adresse postale
- Code postal
- Ville
- Pays
- Numéro de téléphone
- Identifiant interne
- Fiche client
Détails techniques :
- Jusqu'à 1,7 million de personnes potentiellement concernées selon l'Afpa
- 1 732 811 lignes selon la revendication
- Fiche de l'extrait datée d'août 2026
- Exploitation alléguée d'une faille de contrôle d'accès
- Base proposée à la vente, prix communiqué sur demande
Mentions :
Statut Fuites Infos : Confirmée