REACTIV : 64 nouvelles violations de données signalées à l'ANSSI, dont 1,2 million de dossiers VACAF des CAF
Le 12 novembre 2026, le CERT-FR a publié le deuxième point de situation de l'opération REACTIV, le dispositif confié à l'ANSSI pour appuyer les ministères face aux violations de données. Depuis le 30 septembre, 64 nouvelles violations ont été portées à la connaissance de l'agence, dont cinq touchent des ministères ou des organismes sous tutelle. La plus volumineuse vise la plateforme VACAF des caisses d'allocations familiales : près de 1,2 million de dossiers, dont des identités de mineurs.
Ce que recense le bilan d'octobre
REACTIV (« REponse & ACTion Interministérielle face aux Violations de données ») est né d'une demande du Premier ministre du 1er septembre 2026. Il permet à l'ANSSI de faire prendre aux ministères, « dans des délais contraints », les mesures d'urgence nécessaires. Le premier point de situation, publié le 30 septembre, avait mis en lumière une faille Metabase. Le second détaille cinq incidents nouveaux :
- VACAF (CAF) : violation détectée le 9 octobre après une mise en vente de bases de données. Des identifiants de comptes de partenaires volés par des infostealers, sans double authentification, et une URL exposant les identifiants des dossiers (IDOR) ont permis une extraction automatisée entre le 8 et le 10 octobre. Sont concernés noms, matricules CAF, quotient familial, identités de mineurs, aides et réservations ; aucune donnée bancaire ni mot de passe. La remise en ligne est conditionnée à un test d'intrusion et à la double authentification.
- France Travail : le 8 octobre, la vente de données de plus de 60 000 agents et professionnels a été revendiquée sur un forum cybercriminel. Selon l'ANSSI, le compte d'un agent a été compromis avec validation du second facteur par SMS, et les données exfiltrées le 26 septembre.
- Office français de la biodiversité : le 4 octobre, une vulnérabilité IDOR sur l'API de paiement du portail d'inscription au permis de chasser a exposé les données de plus de mille personnes, dont des mineurs, publiées en accès libre le jour même. L'application a été coupée le soir et les usagers informés individuellement.
- Agence de service et de paiement : le portail DEFI, qui sert à rémunérer des stagiaires, a été compromis le 30 septembre via un compte usurpé et une vulnérabilité. L'attaque a été revendiquée le 9 octobre ; 30 500 usagers ont été notifiés.
- Ministère de l'Europe et des Affaires étrangères : une intrusion sur le portail des bibliothèques, détectée le 20 octobre. Un tiers aurait accédé aux données d'une centaine d'utilisateurs avec des comptes techniques volés sur un serveur compromis.
L'ANSSI note aussi une « baisse importante » des violations détectées ou revendiquées sur le périmètre des ministères, et des progrès « significatifs » sur le MFA. Au ministère de l'Agriculture, l'authentification multifacteur a empêché un attaquant muni de certificats VPN compromis de se connecter.
Pourquoi c'est important
Aucune faiblesse nouvelle : selon l'ANSSI, l'ensemble des violations exploite des vulnérabilités déjà listées en septembre, à savoir l'absence de MFA ou une authentification faible, la sous-traitance et la chaîne d'approvisionnement, les infostealers, les IDOR et les défauts de développement ou de configuration. L'ANSSI résume la technique dominante : la réutilisation de secrets volés pour accéder à des applications et en extraire les données « de manière légitime ». L'agence renvoie à son retour d'expérience du 20 octobre sur les violations applicatives.
Pour un DPO, chacun de ces cas relève de l'article 32 du RGPD, qui impose des mesures de sécurité adaptées au risque. Un IDOR qui livre des dossiers de mineurs, ou des comptes partenaires sans second facteur, relèvent de manquements que la CNIL sanctionne déjà : sa série de dix sanctions contre des collectivités mettait en cause le MFA et les prestataires.
Ce que ça change pour les organisations
- Comptes de partenaires et de prestataires : les recenser et exiger une authentification forte sur chacun. Dans le cas VACAF, l'accès est passé par des comptes de partenaires.
- MFA par SMS : dans le cas France Travail, un compte protégé par un second facteur par SMS a tout de même été compromis. Privilégier des facteurs résistants à l'hameçonnage pour les comptes qui ouvrent l'accès à des données en volume.
- Tests d'autorisation : inclure la recherche d'IDOR dans les recettes et les tests d'intrusion des applications exposées, en particulier les API de paiement et de dossier.
- Secrets et infostealers : prévoir le renouvellement des secrets compromis ou suspectés, première mesure d'endiguement selon l'ANSSI.
- Registre et notification : documenter chaque violation, apprécier le risque pour les personnes, puis notifier la CNIL et informer les personnes quand l'analyse de la violation le justifie.
Ce que Leto en pense
Ce bilan a un mérite rare : il montre qu'une mesure simple, déployée partout, change les résultats. Le MFA a arrêté l'attaquant au ministère de l'Agriculture ; son absence sur des comptes partenaires a contribué à ouvrir VACAF. Côté ISO/IEC 27001:2022, ce sont les mesures 8.5 (authentification sécurisée) et 5.19 (sécurité de l'information dans les relations avec les fournisseurs) qui sont en jeu. Côté DPO, le travail commence par la liste des sous-traitants et des accès qu'ils détiennent, que Leto tient déjà pour la partie RGPD de votre système de management : voir comment en démo.
Sources
