AFPA : 971 420 enregistrements mis en vente, rien de confirmé

Le 15 septembre 2026 au soir, un vendeur a publié sur un forum cybercriminel l’annonce d’une base de données qu’il attribue au domaine afpa.fr. Il avance le chiffre de 971 420 enregistrements.

Le lendemain, l’Agence nationale pour la formation professionnelle des adultes n’avait rien communiqué. L’état exact de l’affaire tient donc en une ligne : une revendication, un échantillon décrit par deux observatoires, aucune confirmation.

Ce qui est revendiqué

FrenchBreaches et cyberattaque.org, les deux observatoires qui ont relayé l’annonce, décrivent un échantillon comprenant des civilités, noms, prénoms, dates de naissance, adresses postales, numéros de téléphone et identifiants internes. FrenchBreaches y ajoute des adresses électroniques ; cyberattaque.org ne les mentionne pas.

Selon cyberattaque.org, les personnes de l’échantillon résident dans toute la France, outre-mer compris, et certains champs font référence à un partenaire. Cela laisse ouverte une hypothèse que l’observatoire formule lui-même : un fichier issu d’un flux partenaire plutôt que des systèmes de l’agence.

Nous n’avons consulté ni le forum ni l’échantillon. Tout ce qui précède est rapporté.

Ce qui manque pour parler de fuite

Beaucoup. FrenchBreaches affiche le statut « Revendiquée (crédible) », mais le texte de sa propre fiche est plus prudent que l’étiquette : « l’origine et l’authenticité de l’ensemble de la base ne sont pas confirmées ». La fiche énumère les provenances possibles, d’une intrusion récente à une compilation de sources anciennes, en passant par un prestataire.

Au 16 septembre, personne ne peut dire publiquement :

de quel service viendrait le fichier (site public, espace candidat, outil de gestion des parcours, partenaire) ;
à quelle période il correspond ;
qui y figure : candidats, stagiaires, anciens stagiaires ou salariés ;
combien de personnes se cachent derrière 971 420 lignes.

Ce dernier point est souvent oublié. Un enregistrement n’est pas une personne : quelqu’un inscrit à plusieurs sessions peut occuper plusieurs lignes, et une base peut contenir des doublons. Le chiffre annoncé par un vendeur est un argument de vente, pas un décompte de victimes.

La page d’accueil d’afpa.fr ne porte, ce 16 septembre, aucun avis de sécurité, et nous n’avons trouvé aucune déclaration de l’agence dans la presse. Nous qualifions donc l’incident de revendiqué sans confirmation.

Un précédent invite à ne rien amalgamer. Le 7 août 2026, un autre acteur revendiquait la compromission d’AFPABox, que cyberattaque.org décrit comme un espace communautaire lié à l’AFPA, distinct de ses systèmes principaux, avec 101 comptes en jeu. Aucun élément public ne relie les deux affaires.

Pourquoi un tel fichier se vend

Aucun champ décrit n’est, pris seul, très sensible : ni numéro de sécurité sociale, ni coordonnées bancaires, ni mot de passe ne figurent dans les descriptions publiées. La valeur est ailleurs.

L’AFPA est un établissement public à caractère industriel et commercial (article L. 5315-1 du Code du travail) dont le métier est la formation des adultes. Un fichier qui lui est attribué désigne donc, s’il est authentique, des personnes ayant eu affaire à un organisme de formation. C’est exactement ce dont a besoin un escroc : un message qui évoque une inscription, une rémunération de stage ou un dossier de financement a toutes les chances d’être lu par quelqu’un qui en attend un. Nom, date de naissance, adresse et téléphone suffisent pour le rendre crédible.

Rien ne permet de dire qu’un outil d’intelligence artificielle a joué un rôle dans cette affaire. Le lien est en aval. L’ANSSI écrit dans son Panorama de la cybermenace 2025 que ces outils permettent aux attaquants « d’améliorer le niveau, la quantité, la diversité et l’efficacité de leurs attaques ». Nous avons décrit ce mécanisme à propos des données fiscales volées à la DGFiP.

Si vous avez été candidat ou stagiaire à l’AFPA

Rien ne prouve que vos données figurent dans ce fichier. Les gestes suivants restent utiles, et ils ne coûtent rien.

Se méfier des messages qui parlent de votre formation. Un courriel, un SMS ou un appel qui évoque votre parcours, une aide, un remboursement ou un compte formation et qui réclame un clic, un code ou des coordonnées bancaires doit être vérifié. Cybermalveillance.gouv.fr recommande de recontacter l’organisme « par vous-même », à ses coordonnées officielles, jamais par celles du message.

Ne jamais transmettre un code reçu par SMS, et signaler. Les SMS frauduleux se transfèrent au 33700 ; la plateforme 17Cyber met en relation avec un policier ou un gendarme.

Demander ce qui vous concerne. L’article 15 du RGPD donne à chacun le droit de savoir quelles données un organisme détient sur lui. C’est la seule façon, à terme, de savoir si votre dossier existe encore et ce qu’il contient.

Ce que l’affaire rappelle aux organismes de formation

Tous les organismes, le nôtre compris, détiennent le même genre de fichier : identités, coordonnées, dates de naissance, parfois situations professionnelles délicates. La question utile n’est pas « sommes-nous visés », mais « que pourrions-nous répondre en vingt-quatre heures si un fichier à notre nom apparaissait ».

Pour répondre, il faut savoir où partent les données. Plateformes d’inscription, logiciels de gestion, financeurs, partenaires : chaque export est une provenance possible. Le registre des traitements (article 30 du RGPD) et les contrats avec les sous-traitants (article 28) servent précisément à cela, à condition d’être à jour.

Il faut aussi avoir purgé. Le dossier d’un stagiaire sorti il y a dix ans, conservé sans raison, élargit le périmètre de toute fuite sans rien apporter. Le principe de limitation de la conservation figure à l’article 5, paragraphe 1, point e, du RGPD.

Une revendication n’est pas une violation constatée. Elle oblige pourtant à vérifier vite : le délai de 72 heures de l’article 33 court à partir du moment où l’organisme a connaissance de la violation, et l’article 34 impose d’informer les personnes lorsque le risque pour elles est élevé.

Nous avons expliqué comment lire ce genre d’annonce dans Fuites de données : ce qu’une alerte ne dit pas, et nos repères pour les organisations sont réunis sur la page cybersécurité.

Nous mettrons cet article à jour si l’AFPA s’exprime. D’ici là, le signal le plus utile viendra de l’agence elle-même : une confirmation, un démenti, ou la simple indication du service concerné changerait la conduite à tenir pour toutes les personnes qui se demandent aujourd’hui si elles figurent dans ce fichier.

Sources

FrenchBreaches, fiche « AFPA », publiée le 15 septembre 2026, mise à jour le 16 septembre 2026, statut « Revendiquée (crédible) ».
Cyberattaque.org, « AFPA : près d’un million de dossiers revendiqués après une cyberattaque », 15 septembre 2026, mis à jour le 16 septembre 2026.
Cyberattaque.org, « AFPA piraté : 101 comptes exposés et un accès administrateur publié », 7 août 2026.
AFPA, page d’accueil d’afpa.fr, consultée le 16 septembre 2026 : aucun avis de sécurité.
Code du travail, article L. 5315-1.
RGPD (règlement (UE) 2016/679), articles 5, 15, 28, 30, 33 et 34.
ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
Cybermalveillance.gouv.fr, « Violation ou fuite de données personnelles, que faire ? », mise à jour du 26 août 2026.
Aucun forum cybercriminel ni aucune donnée volée n’a été consulté pour cet article.