Alerte cybersécurité : Vos données RSA dans la nature après un piratage massif à la CAF

Une série noire qui ne s’arrête plus

Décidément, l’année 2026 ne commence pas sous les meilleurs auspices pour la sécurité de nos données. On dirait presque que chaque jour apporte son lot de mauvaises surprises. On avait encore en tête le vol massif d’identifiants bancaires à la DGFiP, qu’une autre institution pilier de notre quotidien flanche à son tour. Cette fois, c’est la CAF qui trinque, ou plutôt ses usagers les plus précaires. Il y a quelque chose de franchement agaçant dans cette répétition. On nous demande de tout dématérialiser, de faire confiance aux portails en ligne, mais les remparts semblent parfois bien fragiles face à des hackers qui ont toujours un coup d’avance. Pour ceux qui comptent sur ces aides pour boucler les fins de mois, c’est un stress supplémentaire dont on se serait bien passé.

Pour une fois, le maillon faible n’est pas celui qu’on croit

Quand on entend parler d’une fuite chez les allocataires, on pointe tout de suite du doigt la petite icône bleue de la CAF. Pourtant, l’erreur ne vient pas directement d’eux cette fois-ci. Le loup est entré par une porte dérobée, celle de la Dinum. Ce service, c’est un peu le chef d’orchestre informatique de l’État. C’est par lui que transitent les dossiers pour atterrir dans les bureaux des conseils départementaux qui gèrent le RSA. Les pirates ont réussi à s’immiscer dans ce tunnel de communication en janvier dernier. C’est là que le bât blesse : un seul point d’entrée compromis et c’est une cascade de dossiers qui se retrouvent consultables par des yeux malveillants. On nous parle souvent de souveraineté numérique, mais ce genre d’incident montre bien que la centralisation des flux est une arme à double tranchant.

Le détail des informations parties en fumée

Alors, qu’est-ce qu’ils ont vraiment dans les mains, ces hackers ? Selon Seb sur X, la liste est malheureusement assez longue pour faire grincer des dents. Ça va du classique nom et prénom jusqu’à des éléments beaucoup plus sensibles comme votre numéro de sécurité sociale, le fameux NIR. Ce dernier, c’est un peu la clé d’or pour n’importe quel usurpateur d’identité. Ils ont aussi récupéré des mails, des numéros de téléphone et même les dates précises de vos demandes de droits. Autant dire qu’ils peuvent brosser un portrait-robot assez fidèle de chaque victime. Avec ces informations en poche, un escroc peut facilement se faire passer pour un conseiller ou monter des arnaques hyper crédibles. Encore une fois, ce n’est pas juste un petit « leak » de rien du tout, c’est une véritable base de travail pour les futures campagnes de phishing.

Pas de panique pour vos virements du RSA

Dans tout ce marasme, il y a quand même une vague lueur d’espoir pour votre compte en banque. La direction de l’organisme a tenu à rassurer tout le monde assez vite : vos droits ne bougent pas. L’incident n’a pas touché le système de calcul des prestations ni le calendrier des versements. Si vous attendez votre virement pour le mois prochain, il arrivera comme prévu. C’est déjà ça de pris. Les excuses de l’administration sont là, bien polies, mais elles ne pèsent pas lourd face à l’inquiétude légitime des personnes. Savoir que l’argent arrive est une chose, savoir que son adresse et son matricule circulent sur des forums de hackers en est une autre. Le contrat de confiance en prend un sacré coup, même si le portefeuille est épargné pour l’instant.
[quote]La direction interministérielle du numérique (Dinum), l’opérateur chargé de la transmission aux conseils départementaux des données des Caf nécessaires à l’instruction du RSA, a constaté une violation de données à caractère personnel en janvier 2026, entraînant un accès non autorisé à certaines informations de votre dossier.
Nous vous présentons nos excuses pour cet incident qui n’a aucun impact sur votre droit au RSA ou sur la date du paiement.
Communiqué par mail de la CAF (crédit : Clement Domingo)[quote]

La menace invisible de l’usurpation

Le vrai danger de cette fuite ne va pas se manifester demain matin par un bug informatique. Il est plus sournois que cela. Avec votre numéro de sécurité sociale et vos coordonnées de contact, des personnes malintentionnées peuvent tenter d’ouvrir des comptes, de souscrire à des services ou de valider des démarches en votre nom. On appelle ça l’ingénierie sociale. Imaginez recevoir un appel d’un prétendu agent de la CAF qui connaît déjà votre matricule et la date de votre demande de RSA. Vous seriez forcément moins méfiant, non ? C’est exactement le piège qui se tend. Il va falloir redoubler de vigilance, vérifier deux fois chaque mail reçu et ne jamais donner de code secret par téléphone, même si l’interlocuteur semble tout savoir sur vous.

Une cybersécurité d’État qui pose question

Au-delà de l’anecdote de cet énième piratage, c’est la question de la protection de nos vies privées par les services publics qui revient sur le tapis. Comment un accès non autorisé a-t-il pu passer inaperçu pendant plusieurs semaines ? On nous explique que la faille a été constatée en janvier, mais le temps que l’information remonte et que les usagers soient prévenus, le mal est fait. Il est grand temps que les moyens mis dans la défense numérique soient à la hauteur de la masse de données qu’on nous oblige à partager. On ne peut plus se contenter de simples communiqués d’excuses après chaque catastrophe. La technologie avance vite, très vite, et il semblerait que nos administrations courent encore derrière avec une longueur de retard.

L’ombre d’une fuite sur la facturation électronique obligatoire

Cette énième faille laisse un goût amer, surtout quand on sait que l’État veut nous obliger à passer à la facturation électronique à grande échelle. Comment peut-on nous imposer de basculer toute notre vie économique et professionnelle sur des serveurs centraux quand on voit que même les données les plus sensibles des citoyens ne sont pas à l’abri ? C’est un peu le monde à l’envers. On force le passage vers le tout-numérique sous couvert de simplification, mais on oublie l’essentiel : la confiance. Si chaque nouvelle étape de cette transition s’accompagne d’un piratage massif, la réticence des usagers ne fera que grandir. On ne peut pas demander aux gens de sauter dans le vide sans s’assurer, au préalable, que le filet de sécurité est bien attaché. À force de se taire et de foncer tête baissée, les autorités risquent de se heurter à un mur de méfiance bien légitime.

Le silence assourdissant du ministère et de la ministre

En fait, le plus pesant dans cette histoire, c’est l’impression que le gouvernement joue la politique de l’autruche. Entre les fédérations sportives, la DGFiP et maintenant la CAF, la liste des victimes s’allonge mais les prises de parole officielles se font rares. On attendrait pourtant une réaction ferme, ou au moins une vraie feuille de route de la part du ministre en charge du numérique. Où sont les mesures concrètes pour stopper cette hémorragie ? Les citoyens ont besoin de rigueur et de transparence, pas de découvrir les failles au compte-gouttes via des notifications perdues dans leur boîte mail ou sur X avec les annonces des experts en cybersécurité.

Il est temps de sortir du déni et de proposer un plan de sécurisation national qui ne soit pas juste une déclaration d’intention, car à force de se taire, on laisse la porte ouverte à toutes les dérives. Madame la ministre Anne Le Hénanff, les Français attendent désormais bien plus que des excuses automatiques : il est urgent d’assumer vos responsabilités et de présenter enfin une stratégie de défense numérique qui tienne la route face à cette avalanche de piratages.