L’Union de recouvrement des cotisations de sécurité sociale et d’allocations familiales (Urssaf) annonce un accès frauduleux à son API « déclaration préalable à l’embauche », une interface réservée à des partenaires institutionnels. La faille s’est produite via un compte partenaire habilité dont les identifiants avaient été compromis. L’Urssaf, qui précise que 12 millions de salariés sont concernés, a indiqué avoir déposé plainte.
L’Urssaf a alerté lundi 19 janvier sur des risques de tentatives d’hameçonnage après la détection d’un accès frauduleux à une interface informatique, contenant des données issues des déclarations préalables à l’embauche (DPAE). Jusqu’à 12 millions de salariés « ayant fait l’objet d’une nouvelle embauche depuis moins de 3 ans » seraient concernés.
Dans un communiqué, l’organisme indique avoir constaté « un accès non autorisé à l’API contenant certaines données de la déclaration préalable à l’embauche, réservée à ses partenaires institutionnels ». Un accès, est-il spécifié, réalisé « via un compte partenaire habilité dont les identifiants avaient été compromis ».
Les données qui ont été « consultées et potentiellement extraites » portent sur les noms, prénoms, dates de naissance des salariés, le numéro Siret de l’employeur ainsi que les dates d’embauche. « Aucun numéro de Sécurité sociale, aucune adresse mail ou postale, aucun numéro de téléphone ni aucune coordonnée bancaire ne sont concernés », a précisé l’Urssaf.
Toujours selon l’Urssaf, qui assure que ses « systèmes d’information […] n’ont pas été compromis », l’« accès frauduleux a été opéré via un compte partenaire habilité », les identifiants ayant été « volés lors d’un acte de cyber malveillance antérieur visant ce partenaire ». L’organisme a indiqué avoir suspendu les accès du compte compromis et avoir déposé plainte auprès du procureur de la République.
Cet incident intervient après un précédent récent signalé mi-novembre par l’Urssaf, lorsque le service Pajemploi, destiné aux particuliers employeurs, avait été victime d’un vol de données qui pouvait alors concerner « jusqu’à 1,2 million de salariés ».
