À retenir
- Fuite touchant 36,8 millions de personnes (jusqu'à 43 M annoncés).
- Amende CNIL de 5 M€ en 2026 pour insuffisance de sécurité.
- Cas d'école de la double peine : attaqué, puis sanctionné.
Incident public — sources citées
Cette étude porte sur un incident réel et public. Aucune donnée client de Cyber Access n'est concernée : nous analysons un cas documenté pour en tirer des enseignements.
Les faits
Entre février et mars 2024, des attaquants ont extrait des données d'une base de France Travail (ex-Pôle emploi) et de Cap emploi. L'incident a touché 36,8 millions de personnes (jusqu'à 43 millions évoqués initialement) : noms, prénoms, numéros de Sécurité sociale, identifiants France Travail, adresses e-mail et postales, numéros de téléphone.
La double peine
En janvier 2026, la CNIL a infligé une amende de 5 millions d'euros, en tenant compte « de la méconnaissance des principes essentiels en matière de sécurité, du nombre de personnes concernées, du volume et de la sensibilité des données ». Autrement dit : victime de l'attaque, et sanctionnée pour la sécurité insuffisante qui l'a précédée. Comprendre la double peine →
Ce que notre approche aurait éclairé
- Révéler : un audit d'exposition cartographie les actifs et les accès sensibles avant qu'un attaquant ne le fasse.
- Former : la majorité des intrusions commencent par l'humain ; l'entraînement réduit la surface.
- Protéger : MFA, surveillance, et surtout des preuves de diligence prêtes — la meilleure défense contre la seconde peine.
Sources : CNIL (communiqué et délibération, janvier 2026) ; France Bleu / Siècle Digital ; assemblee-nationale.fr (questions écrites). Données publiques, à titre d'analyse.
Comprendre la double peine → · Mesurer mon exposition →
Questions fréquentes
Combien de personnes la fuite France Travail a-t-elle touché ?
36,8 millions après élimination des doublons, sur un maximum de 43 millions initialement évoqués.
Pourquoi France Travail a-t-il été sanctionné ?
La CNIL a retenu la méconnaissance de principes essentiels de sécurité, ainsi que l'ampleur et la sensibilité des données.
Quel est le montant de l'amende ?
5 millions d'euros, prononcés par la CNIL début 2026.