L’ANSSI recense 64 nouveaux signalements de violations dans son deuxième bilan REACTIV

Ce qui est nouveau

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a publié le 12 novembre 2026, sur le site du CERT-FR, le deuxième point de situation de l’opération REACTIV (« Réponse et action interministérielle face aux violations de données »), consacré à octobre. L’agence précise que les investigations sont en cours et que les chiffres peuvent évoluer : ce bilan n’est pas exhaustif.

Selon IT-Connect, ce bilan recense 64 nouvelles violations de données signalées depuis le 30 septembre 2026. Cinq concernent des ministères ou des organismes publics qui en dépendent : Vacaf, France Travail, l’Office français de la biodiversité (OFB), l’Agence de services et de paiement et le ministère de l’Europe et des Affaires étrangères.

Deux organismes précisent directement le périmètre des incidents. Dans son communiqué du 2 novembre, la Caisse nationale des allocations familiales (Cnaf) confirme que 1 619 893 allocataires sont concernés par la fuite de Vacaf. L’OFB indique, dans sa mise à jour du 12 octobre, avoir informé les 1 200 personnes touchées par l’incident sur l’application Permis de chasser.

Ce qui change et pourquoi

IT-Connect rapporte une baisse du nombre de violations détectées ou revendiquées dans le périmètre ministériel, constatée par l’ANSSI. Ce constat ne porte donc pas sur l’ensemble des signalements. Selon le média, les faiblesses recensées restent celles du précédent bilan : comptes compromis, authentification insuffisante, accès de prestataires et défauts de contrôle d’accès ou de configuration.

Pour Vacaf, le média décrit une extraction automatisée combinant des comptes partenaires volés et un défaut permettant d’accéder aux dossiers d’autres utilisateurs en modifiant leur identifiant. La Cnaf confirme avoir ajouté une double authentification et renforcé les protections du site, rouvert le 2 novembre après des tests d’intrusion.

Chez France Travail, IT-Connect rapporte l’utilisation d’un compte d’agent compromis, avec validation du second facteur par SMS. La manière dont ce facteur a été validé n’est pas précisée.

Pourquoi c’est important

Le bilan rassemble des incidents touchant aussi bien des usagers que des professionnels. Leur portée dépend des informations exposées : chez Vacaf, elles comprennent notamment la composition familiale, le quotient familial et des informations sur les enfants.

La Cnaf exclut toutefois toute fuite de données bancaires, de mots de passe ou de coordonnées de contact, et précise que le versement des prestations n’a pas été affecté. L’OFB exclut de son côté les données de santé, de compte bancaire et de détention d’arme. Ces limites distinguent l’atteinte à la confidentialité des conséquences sur le fonctionnement des services.