AlloExtra : 14 516 CV de candidats mis en vente par un pirate

Un pirate qui se fait appeler Feel affirme avoir copié la CVthèque d'AlloExtra, soit 14 268 utilisateurs et 14 516 CV, et propose ces données à la vente. Cyberattaque.org a analysé un échantillon de 1 000 profils et constate que les documents contiennent des données personnelles détaillées. AlloExtra n'a pas réagi publiquement à cette revendication dans les éléments disponibles.

Une revendication de vol de CV

Le pirate affirme avoir récupéré l'ensemble des utilisateurs de la CVthèque d'AlloExtra, ainsi que leurs CV et leurs photos. Il annonce 14 268 utilisateurs et 14 516 CV. Il propose ensuite ces données à la vente.

Le nombre de CV est supérieur à celui des utilisateurs. Selon Cyberattaque.org, cela peut s'expliquer par plusieurs fichiers ou versions pour certains profils. Ces chiffres restent ceux du pirate et n'ont pas été confirmés par l'entreprise dans les sources disponibles.

Le hacker mentionne aussi 6 674 « Head », sans préciser ce que ce décompte désigne. Cyberattaque.org ne reprend pas ce chiffre.

Des données personnelles et professionnelles dans les CV

Cyberattaque.org a pu analyser un échantillon de 1 000 profils et plusieurs CV issus de l'archive. Le média indique que ces documents contiennent bien plus que ce qui est visible sur le site public.

Les CV comportent des noms et prénoms complets, des adresses postales, des numéros de téléphone et des adresses email. Certains indiquent aussi la date de naissance, la nationalité, les diplômes, les langues parlées, les anciens employeurs et les périodes d'emploi. Plusieurs contiennent une photographie.

Selon le média, une seule fiche peut suffire à reconstituer une grande partie du parcours professionnel et personnel d'une personne. Sur le site, les emails et téléphones sont masqués. AlloExtra indique que les coordonnées complètes sont normalement réservées aux recruteurs inscrits.

Des profils souvent anciens

Dans l'échantillon analysé, 937 profils sur 1 000 affichent une dernière connexion remontant à 12 à 14 ans. Des personnes ont donc pu déposer un CV il y a plus d'une décennie, sans utiliser le service depuis longtemps.

Le document peut pourtant contenir encore d'anciennes coordonnées et un parcours professionnel.

Une entreprise lancée en 2011

AlloExtra a été lancée en 2011. Le site met en relation candidats et recruteurs dans l'hôtellerie et la restauration, notamment pour les serveurs, cuisiniers, barmans et réceptionnistes. Il dispose d'une importante CVthèque, qui permet aux recruteurs de rechercher directement des profils.

Les sources disponibles ne mentionnent ni plainte déposée, ni notification à la CNIL (Commission nationale de l'informatique et des libertés), ni réaction des autorités françaises à ce stade.

Ce que les candidats doivent surveiller

Les personnes inscrites sur AlloExtra doivent vérifier si leur profil figure toujours sur le site et s'il est encore actif. Elles peuvent aussi surveiller les messages suspects reçus sur leur adresse email ou leur téléphone, notamment ceux qui évoquent leur emploi ou leur parcours.

Les données révélées peuvent servir à des tentatives d'hameçonnage (messages frauduleux qui se font passer pour un employeur ou un service connu).

Cette fuite est revendiquée par ses auteurs et n'a pas été confirmée à ce stade par l'organisation concernée. Elle doit être considérée avec prudence.