Le site de l’Urssaf piraté : 12 millions de salariés désormais exposés à des tentatives de hameçonnage après une fuite de données

L’Urssaf a lancé lundi un appel à la vigilance sur des risques d’hameçonnage après la détection d’un accès frauduleux à une interface contenant des données des déclarations préalables à l’embauche, 12 millions de salariés étant potentiellement concernés.

12 millions de salariés concernés

"L’Urssaf a constaté un accès non-autorisé à l’API (l’interface, NDLR) contenant certaines données de la déclaration préalable à l’embauche, réservée à ses partenaires institutionnels, opéré via un compte partenaire habilité dont les identifiants avaient été compromis", explique l’institution dans un communiqué.

Les données qui ont été "consultées et potentiellement extraites" sont les noms, prénoms, dates de naissance, Siret de l’employeur et dates d’embauche de 12 millions de salariés embauchés depuis moins de trois ans, précise l’Urssaf. En revanche, aucun numéro de Sécurité sociale, adresse email ou postale, numéro de téléphone ou coordonnée bancaire ne sont concernés, souligne le communiqué.

Escroquerie sur internet, le hameçonnage ou phishing est une technique consistant à se faire passer pour un organisme que le destinataire connaît en lui envoyant un courriel lui demandant généralement de mettre à jour ses informations, notamment ses coordonnées bancaires, selon la définition de la Commission nationale de l’informatique et des libertés (Cnil).

Une plainte déposée

"Les premières investigations révèlent que l’accès frauduleux […] a été opéré via un compte partenaire habilité à consulter ces informations", car "les identifications de connexion liés à ce compte avaient été volées lors d’un acte de cyber-malveillance antérieur visant ce partenaire".

L’Urssaf indique avoir suspendu les accès du compte compromis et déposé une plainte auprès du procureur de la République.

Mi-novembre, l’Urssaf avait indiqué que le service Pajemploi, servant à déclarer et rémunérer les assistants maternels et gardes d’enfants à domicile, avait été victime d’un vol de données qui avait alors pu concerner "jusqu’à 1,2 million de salariés de particuliers employeurs".