Quelques semaines après avoir brandi fièrement son virage stratégique vers l’open source et la souveraineté numérique, l’URSSAF se retrouve nue comme un ver numérique : une fuite de données massive touche Pajemploi, et plus d’un million de salariés à domicile voient leurs informations personnelles circuler dans la nature. Timing malheureux, karma mal aligné ou simple rappel de la dure réalité : on peut repeindre l’infrastructure en bleu-blanc-rouge, mais si le moteur reste une casserole, ça finit souvent en panne sur le bord de la route.
Alors, que retenir de ce « pas de chance » institutionnel ? Spoiler : beaucoup de choses, et rien de très rassurant.
🔍 Un incident qui tombe au pire moment
L’annonce de la migration open source et souveraine avait tout d’un moment politique préparé avec soin : communiqués léchés, promesse de modernisation, discours sur l’indépendance technologique. Et soudain… BAM. Une fuite de données impliquant potentiellement plus d’un million de profils : noms, prénoms, adresses, dates de naissance, numéros de Sécurité sociale. Bref, de quoi monter un kit d’usurpation d’identité premium.
Ce qui choque surtout, c’est la vitesse à laquelle la communication « souveraineté numérique » se transforme en « souveraineté compromise ». L’ironie n’est pas fine — elle est industrielle.
🧨 Le “pas de mot de passe volé” qui ne rassure absolument personne
Comme dans tout scandale numérique, la ritournelle officielle ne change jamais : « rassurez-vous, les mots de passe n’ont pas été compromis ». Oui, mais ça, c’est comme dire : “Bonne nouvelle, la fenêtre n’est pas cassée, mais on vous a vidé le salon en passant par la porte.”
Le combo nom + prénom + date de naissance + adresse + numéro de Sécurité sociale est infiniment plus exploitable qu’un simple mot de passe.
Avec ça, un cybercriminel peut :
- Cibler avec du phishing chirurgical,
- Usurper une identité pour ouvrir des comptes frauduleux,
- Préparer des attaques plus sophistiquées (ex : fraudes administratives, prestations sociales, etc.).
Bref, ce n’est pas une “petite fuite” : c’est un risque majeur pour des populations souvent peu sensibilisées.
🧩 Un révélateur de la maturité réelle de la cybersécurité publique
Il faut être clair : l’open source n’a rien à voir avec la fuite. L’open source n’est ni moins sécurisé ni plus vulnérable. Mais ce que l’affaire révèle, c’est autre chose :
👉 la continuité de service, la gouvernance et la sécurité n’ont pas suivi le rythme de la communication.
Ce type d’incident montre généralement :
- une dette technique accumulée,
- des systèmes d’information complexes et peu segmentés,
- une surveillance insuffisante,
- une gestion de la sécurité plus administrative que technique,
- une dépendance aux sous-traitants sans contrôle suffisamment serré,
- et surtout… un manque d’anticipation.
Passer à l’open source ne résout pas miraculeusement des processus de sécurité poussifs.
La souveraineté numérique n’est pas une couche de peinture, c’est un investissement à long terme.
🧱 Souveraineté numérique : un concept qui demande de la rigueur, pas du marketing
Migrer vers des solutions souveraines, open source ou auto-hébergées ne suffit pas. Il faut :
- isoler les environnements,
- chiffrer les données sensibles au repos,
- avoir une gestion d’identités solide (IAM, MFA généralisé),
- appliquer des correctifs sans délai,
- surveiller les journaux avec des outils modernes (SIEM, EDR),
- et auditer régulièrement les plateformes.
Sinon, on se contente de mettre un drapeau tricolore sur un château médiéval sans pont-levis.
🧨 Un cas d’école pour les DSI, RSSI et responsables publics
Ce type d’incident rappelle une leçon simple, mais apparemment pas encore intégrée partout :
👉 on ne communique pas sur sa modernisation numérique avant d’avoir verrouillé son hygiène numérique.
Dans le privé, cette chronologie serait suicidaire.
Dans le public, elle est simplement… dommageable.
L’attaque de Pajemploi illustre parfaitement ce qui arrive quand la stratégie technologique se déconnecte de la réalité opérationnelle. La fuite n’est pas seulement technique : elle est politique, organisationnelle et culturelle.
🧭 Conclusion : souveraineté ne rime pas (encore) avec sécurité
Ce qui devait être un moment de fierté nationale s’est transformé en rappel à l’ordre sévère.
Mais cet événement peut aussi servir d’accélérateur :
👉 Mettre enfin la cybersécurité au centre des projets publics,
👉 investir dans les compétences internes,
👉 professionnaliser la surveillance,
👉 et arrêter de penser qu’une migration “souveraine” suffit à protéger les données de millions de citoyens.
Open source ou pas, souveraineté ou pas : sans rigueur, sans gouvernance, sans culture cyber, un SI reste vulnérable.
Et l’URSSAF vient d’en faire, bien malgré elle, une démonstration éclatante.
✅ Ce que l’on sait
- L’attaque a eu lieu sur le service Pajemploi, géré par l’Urssaf. 01net
- Les données compromises comprennent : noms, prénoms, dates et lieux de naissance, adresses postales, numéros de Sécurité sociale, nom d’établissement bancaire.
- Les données excluent, d’après les communiqués jusqu’à maintenant : IBAN, mot de passe, adresses mail, numéros de téléphone ou autres identifiants sensibles « supplémentaires ». CNEWS
- L’Urssaf a déclaré avoir détecté l’intrusion le 14 novembre 2025, notifié la CNIL et la ANSSI, et envisage dépôt de plainte.
🚩 Pourquoi c’est grave
- Même sans IBAN ou mots de passe, le vol de numéros de Sécurité sociale + noms + adresses + date/lieu de naissance constitue un cocktail à haut risque d’usurpation d’identité ou de phishing ultra ciblé.
- Le service Pajemploi est sensible : il touche des employés à domicile, des assistantes maternelles, etc — ce sont des personnes qui peuvent être plus vulnérables ou moins vigilantes côté cybersécurité.
- Le fait que l’organisation visée soit un organisme public (Urssaf) ajoute un niveau d’« irritant » pour les usagers et renforce la portée politique / médiatique.
- Pour un DSI, cet événement met en lumière que la souveraineté numérique / open-source / auto-hébergement ou migration technologique annoncée ne suffit pas si la gouvernance, l’hygiène, la surveillance et la remédiation ne sont pas au rendez-vous.
- Pour les usagers concernés : risque de recevoir des courriels frauduleux (phishing) ou appels « au nom de Urssaf / Pajemploi-affilié », usurpation possible.
🧩 Ce que ça dit sur la gouvernance & l’organisation
- Cela démontre qu’il faut une approche globale : technique (sécurisation, segmentation, chiffrement, monitoring) et organisationnelle (processus d’incident, PRA/PCA, gestion de crise, com interne/externe).
- Le fait qu’il s’agisse d’un organisme public ne l’exonère pas : au contraire, la responsabilité « publique » est accentuée. Le niveau de maturité attendu est élevé.
- Si une annonce avait été faite « grand acte de souveraineté / open‐source », mais que l’attaque survient peu après, cela suggère potentiellement que :
- soit l’architecture n’était pas encore mature,
- soit les mesures de sécurité n’étaient pas alignées avec les enjeux,
- soit l’attaque a exploité un vecteur non anticipé (ex. supply‐chain, service tiers, défaut de contrôle d’accès).
- Il y a ici aussi le volet documentation / traçabilité / procédures d’alerte qui entre en jeu : l’Urssaf semble avoir réagi (notification) mais pour les usagers, le suivi, la transparence, et la communication seront importants.
🔍 Ce qu’il faut surveiller / ce que je poserais comme questions
- Quelle a été la porte d’entrée ? (ex : compromission d’un compte, exploitation d’un service tiers, update non appliqué, accès interne mal protégé)
- Les données volées étaient-elles chiffrées au repos ? Quel niveau d’accès relatif avait l’attaquant ?
- Y a-t-il eu un accès ou exfiltration d’autres datasets sensibles (employeurs, parents employeurs, etc) ?
- Le service open‐source / souverain annoncé : quels étaient les risques associés à la transition technologique (nouveaux composants, services externes, partenaires) ?
- Quels sont les plans de remédiation immédiats : alerte des personnes concernées, mise en place de monitoring sur les comptes, cartographie des usages, renforcement des contrôles d’accès, audit forensique complet, etc.
- Gouvernance : y-a-t-il un comité de pilotage (DSI/SSI) spécifique à ce service, revue de risques, suivi par la direction, budget dédié ?
🎯 Mon verdict
Oui, je suis assez sévère sur cette affaire en tant que professionnel de la cybersécurité. Ce n’est pas simplement « un incident technique » : c’y a un biais stratégique :
- On peut légitimement dire que la promesse de souveraineté / modernisation n’est pas incompatible avec une fuite de ce type, mais « on ne peut pas moderniser en sacrifiant l’hygiène ».
- Le fait que ce soit un service à fort volume, ciblé et à risque (emploi à domicile) rend l’incident plus grave que la moyenne.
- Cela met en lumière que les organismes publics aussi doivent avoir un niveau de maturité élevé, et que l’« open source » ou « souveraineté » ne sont pas des garanties de sécurité à eux seuls : c’est l’écosystème, le processus, le suivi, et l’organisation qui font la différence.
