Le 22 septembre 2026, le site de recrutement du FBI, FBIjobs.gov, a affiché un message du groupe ShinyHunters et les portails de candidature sont passés hors ligne. Le groupe affirmait détenir des informations sur la totalité des employés et des candidats du Bureau, et il a remis à plusieurs rédactions un échantillon d’environ 5 000 fiches d’agents. Le 28 septembre, selon un mémo interne rapporté par la presse américaine, le FBI travaillait sur l’hypothèse que les données personnelles de tout son personnel avaient été exfiltrées. Cette fuite de données RH dépasse largement le cas d’une agence fédérale : elle montre ce qu’un fichier du personnel représente aux yeux d’un attaquant.
Ce que contenaient les fiches
Les extraits examinés par 404 Media, Reuters et la BBC mentionnaient des noms, des intitulés de poste, des adresses personnelles, des numéros de téléphone, des dates de naissance, des numéros de badge et, pour une partie des entrées, des numéros de sécurité sociale et des informations sur le conjoint. Reuters a repéré des agents travaillant sous couverture et des personnels affectés à des enquêtes sur l’espionnage ou les cartels. 404 Media a identifié parmi les personnes concernées des membres de la Remote Operations Unit, l’équipe qui conçoit les outils de piratage du Bureau. La BBC a décrit des comptes rendus d’aptitude médicale comportant des résultats d’analyses.
Le FBI n’a pas confirmé l’ampleur de l’incident. Il a d’abord indiqué enquêter sur une activité non autorisée touchant FBIjobs.gov. Début octobre, son directeur a attribué l’intrusion à une mise à jour de sécurité non appliquée sur une plateforme gérée par un prestataire, et un sous-traitant a été retiré du projet, d’après Nextgov. Le groupe assure ne pas vouloir publier les données, mais rien n’exclut une revente ultérieure, comme le relève la même source. Le Monde a fait le point le 29 septembre sur cette fuite qui pourrait concerner l’ensemble des agents.
Pourquoi l’annuaire interne attire les attaquants
Un fichier du personnel dit qui occupe quel poste, qui valide les paiements, qui administre les serveurs, où chacun habite et avec qui. Avec ces éléments, un escroc prépare un faux appel du dirigeant, un courriel piégé adressé au bon comptable ou une pression exercée sur un proche. Les consignes données aux agents du FBI après l’incident vont dans ce sens : se méfier des contacts non sollicités, les signaler, et même remplacer l’annonce de leur messagerie vocale par une voix de synthèse. L’exposition se prolonge des années après la fuite, car une adresse personnelle ou le nom d’un conjoint ne se changent pas comme un mot de passe.
Dans les organismes que j’accompagne, services de santé au travail, collectivités, établissements de santé, le système d’information RH est souvent bien protégé en façade. Les fragilités se trouvent ailleurs : un export tableur envoyé par messagerie, un portail de recrutement hébergé chez un éditeur, un logiciel de paie en ligne dont personne ne suit les correctifs, un annuaire partagé qui affiche bien plus que le nom et la fonction.
Fuite de données RH : ce que le RGPD impose après l’incident
Une violation touchant des adresses personnelles, des numéros de sécurité sociale, des informations familiales ou des données d’aptitude médicale présente presque toujours un risque pour les personnes. L’article 33 du RGPD impose alors de notifier la CNIL dans les 72 heures après en avoir pris connaissance, quitte à compléter la notification ensuite. Quand le risque est élevé, l’article 34 exige d’informer les salariés eux-mêmes, en termes clairs : nature de la violation, conséquences probables, mesures prises, coordonnées du DPO. Les données relatives à la santé relèvent de l’article 9 et pèsent lourd dans l’évaluation.
Un message utile aux salariés exposés donne des consignes concrètes : comment reconnaître une tentative d’usurpation, qui appeler en cas de doute, quelles démarches faire si un compte personnel semble compromis. Les représentants du personnel doivent être tenus au courant, car ce sont eux qui recevront les questions.
Ce que l’employeur doit vérifier dès maintenant
- Cartographier où vivent les données du personnel : SIRH, paie, recrutement, contrôle d’accès, annuaire, mutuelle, outils des managers. Chaque outil doit figurer au registre des traitements avec ses destinataires.
- Réduire le contenu de l’annuaire interne. L’adresse personnelle et la situation familiale n’ont rien à faire dans un outil consultable par tous.
- Purger le portail de recrutement selon le référentiel CNIL sur la gestion du personnel. Les candidatures non retenues conservées sans limite gonflent inutilement le volume exposé.
- Relire les contrats article 28 des éditeurs RH : délai de notification des incidents, obligation d’appliquer les correctifs, droit d’audit, liste des sous-traitants ultérieurs.
- Suivre les correctifs de sécurité des applications exposées sur Internet, y compris celles qu’un prestataire exploite pour vous. L’incident du FBI part d’une mise à jour non appliquée.
- Journaliser les consultations et les exports massifs du SIRH, et faire relire ces journaux.
- Préparer un modèle de communication aux salariés et tester la procédure de violation une fois par an.
Les données d’aptitude méritent une attention particulière. Les informations médicales détenues par un service de santé au travail restent couvertes par le secret médical et ne doivent jamais transiter par les outils RH de l’employeur ; seul l’avis d’aptitude ou d’inaptitude lui est transmis. Contrôler cette séparation dans les outils eux-mêmes évite qu’une intrusion dans le SIRH devienne une fuite de données de santé.
Penser aux salariés après la crise
Une fuite de données RH laisse des traces durables. Les salariés concernés peuvent recevoir des sollicitations frauduleuses pendant des mois. L’employeur a intérêt à maintenir un point de contact, à relancer la sensibilisation à l’hameçonnage ciblé et à garder la trace des signalements, qui serviront à compléter la documentation de la violation exigée par l’article 33, paragraphe 5.
Les DPO du réseau DPO FRANCE accompagnent employeurs publics et privés dans la revue de leurs traitements RH, de leurs contrats avec les éditeurs et de leur procédure de violation. DPO SUITE permet de tenir le registre, de suivre les sous-traitants et de documenter chaque incident, de la qualification à la notification.
