Afpa : jusqu'à 1,7 million de personnes concernées par un piratage de données

L'Agence nationale pour la formation professionnelle des adultes (Afpa) a annoncé samedi 19 septembre 2026 avoir été la cible d'un piratage de données pouvant concerner jusqu'à 1,7 million de personnes. Deux hackers revendiquent l'attaque, qui viserait un outil de gestion des hébergements hébergé chez un éditeur tiers.

Des noms, adresses et téléphones potentiellement exposés

Selon l'Afpa, des données personnelles ont pu être extraites, sans que le nombre exact de personnes touchées soit établi. L'organisme évoque « jusqu'à 1,7 million de personnes ». Il précise qu'« a priori » l'application visée ne contenait ni données bancaires ni numéros de Sécurité sociale. Les informations concernées seraient des noms, des adresses et, éventuellement, des numéros de téléphone.

Le directeur adjoint de l'Afpa, Pierre Prady, a expliqué à l'Agence France-Presse que l'organisme examine « l'étendue des données et des personnes concernées » afin de prévenir ensuite les personnes touchées. Franceinfo rapporte les mêmes propos, selon une source citée par la chaîne.

Une faille sur un outil externe à l'Afpa

D'après les premières investigations de l'organisme, l'extraction serait liée à une faille sur l'outil qu'il utilise pour gérer ses hébergements. Cet outil est, selon l'Afpa, hébergé chez un éditeur tiers et se trouve en dehors de son système d'information. L'organisme estime donc qu'il n'y a, « a priori », pas eu d'impact sur ses services et systèmes informatiques.

Aucune autre précision technique n'est disponible à ce stade. Les sources ne disent pas quand la faille a été exploitée ni si l'éditeur a été informé ou a réagi.

Deux hackers revendiquent l'attaque

Deux hackers ont revendiqué l'attaque mercredi et jeudi, selon l'Afpa, et affirment avoir récupéré des données provenant de l'organisme. Ces revendications n'ont pas été vérifiées de manière indépendante. Les sources ne donnent pas le nom de ces pirates ni d'éventuelles preuves publiées.

Le site Cyberattaque.org a publié le 15 septembre un article au titre évoquant « 101 comptes exposés » et « un accès administrateur publié ». Le texte de cet article n'était pas accessible. Ces chiffres ne correspondent pas à ceux de l'Afpa, qui parle de 1,7 million de personnes potentiellement concernées. Aucune autre source ne confirme ce bilan.

Un contexte de plan social et de fuites répétées

L'annonce intervient quelques jours après un plan social. Mardi 15 septembre, l'Afpa a annoncé la suppression de jusqu'à 867 emplois sur 5 700 et la possible fermeture de 30 centres de formation sur 142, face au recul de la commande publique. Aucun lien n'a été établi entre cette restructuration et le piratage.

La France figure parmi les pays les plus visés par les cyberattaques, selon plusieurs rapports et experts cités par Sud Ouest et TF1 Info. Le pays a récemment subi un vol massif de données du fisc, et la Cnil annonce contrôler l'administration fiscale. Les sources ne mentionnent pas de réaction de la Cnil ou de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) concernant l'Afpa, ni de plainte déposée.

Ce que les personnes concernées doivent surveiller

L'Afpa n'a pas encore précisé quand elle informera les personnes concernées. Les données volées sont souvent revendues sur le marché noir des données et servent à des escroqueries, selon Sud Ouest.

Les personnes qui ont suivi une formation ou fait une démarche auprès de l'Afpa doivent donc rester attentives aux messages suspects. Les sources ne disent pas si les personnes concernées seront contactées directement ou par un autre moyen.

Sollicitée par fuitededonnées.fr le 12 octobre 2026, Afpa n'a pas encore répondu. Cet article sera mis à jour en cas de réponse.