Aveyron : fuite confirmée de CV et profils emploi

Une fuite désormais confirmée par l’agence

Le 5 septembre, un utilisateur se présentant sous le pseudonyme ChimeraZ a publié sur un forum cybercriminel des données qu’il attribuait à OnRecrute.enAveyron.fr. Les premières analyses publiées par FrenchBreaches et Cyberattaque.org évoquaient plus de vingt mille personnes et un répertoire de CV. À ce stade, elles relevaient d’une revendication, même si des médias spécialisés disaient avoir examiné des fichiers cohérents avec des profils de candidature.

Le 10 septembre, Centre Presse Aveyron rapporte qu’Aveyron Attractivité Tourisme a confirmé l’incident dans un communiqué. L’agence confirme 20 316 contacts concernés, 23 381 enregistrements et 1 500 CV issus de la CVthèque. FrenchBreaches a également publié une mise à jour attribuant cette confirmation à l’agence. La différence est importante : le volume n’est plus seulement celui annoncé par l’auteur de la publication, il est désormais repris par l’organisation qui exploite le service.

Les données citées : coordonnées, année de naissance et CV

D’après les éléments rapportés par Centre Presse Aveyron, la base contient des noms, prénoms, adresses électroniques, adresses postales, numéros de téléphone et années de naissance. Les premières analyses évoquaient aussi des communes, des codes postaux, des identifiants internes et des informations liées aux profils ou aux candidatures. Un même candidat peut être associé à plusieurs enregistrements : 23 381 lignes ne signifient donc pas 23 381 personnes distinctes.

Les CV constituent la partie la plus sensible. FrenchBreaches et France 3 Occitanie décrivent des documents pouvant réunir coordonnées, formation, diplômes, expériences professionnelles, anciens employeurs, compétences et périodes d’activité. Ces informations ne sont pas seulement personnelles : elles donnent le contexte nécessaire pour rendre un message frauduleux beaucoup plus crédible. L’agence indique en revanche qu’aucune pièce d’identité et aucune donnée bancaire n’étaient enregistrées dans cette base.

Un mot de passe de recruteur volé, selon les premières investigations

Aveyron Attractivité Tourisme indique que l’accès illicite aurait été obtenu grâce au mot de passe volé d’un compte recruteur appartenant à une entreprise utilisatrice. Ce compte disposait de droits légitimes d’accès à la base de candidats. L’agence précise que ses premières investigations écartent une intrusion dans le système informatique du Département de l’Aveyron comme dans celui de l’agence elle-même. La plateforme et sa base sont présentées comme distinctes de ces systèmes.

Le média rapporte aussi qu’un message a été envoyé aux candidats concernés dès le 20 août et que les recruteurs ont été invités à réinitialiser leur mot de passe. Une plainte a été déposée, la CNIL a été saisie le 18 août, et l’ANSSI ainsi que l’Office anti-cybercriminalité sont associés aux investigations. À la date de la communication rapportée, l’agence dit n’avoir constaté ni demande de rançon ni tentative d’escroquerie liée à cet incident.

Pourquoi les CV peuvent nourrir une fraude très ciblée

Un escroc qui connaît votre métier, votre parcours, votre ville ou un ancien employeur peut fabriquer une fausse offre d’embauche plus convaincante qu’un spam ordinaire. Il peut se faire passer pour un recruteur, un organisme de formation ou un employeur et citer un détail réel du CV pour gagner votre confiance. Ce risque existe même sans identifiant de connexion divulgué : le danger principal est ici l’hameçonnage ciblé et l’ingénierie sociale.

Le fait qu’un interlocuteur connaisse votre candidature n’est donc plus une preuve de sa légitimité. Une proposition d’emploi peut être authentique, mais elle doit être vérifiée hors du message reçu. Les données d’un CV restent utiles longtemps : une formation, une expérience ou un numéro de téléphone ne deviennent pas inexploitables après quelques jours.

Le réflexe : retrouver l’employeur par vos propres moyens

Si vous recevez un message inattendu à propos d’une candidature, ne cliquez pas sur son lien et n’ouvrez pas immédiatement sa pièce jointe. Recherchez vous-même l’entreprise et l’offre sur son site habituel, ou utilisez un canal que vous connaissiez avant le message. Pour un appel, raccrochez puis rappelez l’organisation avec un numéro trouvé de votre côté.

Ne communiquez jamais un code reçu par SMS ou application à un prétendu recruteur. Conservez les messages suspects et signalez les tentatives d’hameçonnage. Changer son mot de passe n’est pas le réflexe directement déduit des données candidates exposées : aucune source lue ne confirme que des identifiants de connexion de candidats ont été diffusés.

Ce que nous ne pouvons pas vérifier

Le communiqué de l’agence est rapporté par des médias, mais nous n’avons pas trouvé sa publication originale accessible directement. Nous ne pouvons donc pas vérifier mot à mot son texte complet, ni établir quels candidats ont effectivement reçu l’information envoyée le 20 août. Nous ne savons pas non plus quelles catégories précises figurent dans chaque CV ni si tous les documents annoncés ont été récupérés ou diffusés.

Le vol du mot de passe d’un compte recruteur est présenté par l’agence comme l’origine de l’accès illicite. Les détails techniques plus poussés évoqués auparavant par FrenchBreaches, notamment une faiblesse de contrôle d’accès de type IDOR et une configuration Odoo, ne sont pas confirmés publiquement par l’agence dans les sources lues. Ils ne doivent donc pas être présentés comme établis.

Sources : Aveyron Attractivité Tourisme ↗ · France 3 Occitanie ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.