Publié le lundi 26 octobre 2026 à 17 h 30 (heure de Paris).
Le 22 octobre, un internaute qui se présente sous le pseudonyme « fentag » a proposé à la vente, sur un forum cybercriminel, 450 000 fiches présentées comme celles de personnes affiliées à l’Ircantec, le régime de retraite complémentaire des agents publics non titulaires. Le même jour, l’Ircantec et la Caisse des Dépôts reconnaissaient un incident sur PEP’s, la plateforme où les employeurs publics déclarent les carrières de leurs agents. Le 23 octobre, la Caisse des Dépôts a démenti sans démentir : « à ce stade, nos analyses ne démontrent aucune corrélation ».
- Ce qui est établi, ce qui ne l’est pas
- Trois étages, aucun nom sur la porte
- L’arithmétique d’un fichier de 450 000 noms
- Ce que la loi impose, et ce que la CNIL ne peut pas faire
- Ce que vous pouvez faire
Ce qui est établi, ce qui ne l’est pas
L’incident est reconnu. Dans une publication du 19 octobre, l’Ircantec explique que PEP’s a été fermée après des « accès illégitimes aux comptes PEP’s de quelques employeurs », obtenus par ingénierie sociale. La plateforme a rouvert ce lundi, mais les connexions depuis Net-entreprises et les inscriptions restent suspendues : on a rouvert la porte, pas réparé le guichet.
La revendication, elle, ne prouve rien. Le vendeur se dit intermédiaire, ne fixe aucun prix, joint quelques fiches en échantillon. Les champs décrits sont précis : nom, prénom, date de naissance, adresse, téléphone, courriel. Aucun mot de passe, aucun numéro de sécurité sociale, aucune donnée bancaire n’a été identifié. Un échantillon cohérent prouve qu’un jeu de données existe, pas qu’il en contient 450 000.
Le démenti ne tranche pas. La Caisse des Dépôts parle d’une « prétendue fuite » et d’une corrélation non « démontrée ». Ce n’est pas la même chose qu’« aucune fuite ». La suite est promise « dès que possible », sans date.
Trois étages, aucun nom sur la porte
Le circuit compte trois étages : l’employeur public, mairie, hôpital, ministère, déclare la carrière de son agent ; la Caisse des Dépôts exploite la plateforme pour le compte de l’Ircantec, qui liquide et paie. Au bout, un fichier unique : 2,41 millions d’allocataires fin 2025, 3,24 millions de cotisants en 2024, 4,79 milliards d’euros de cotisations, de l’ordre de 54 500 employeurs publics.
Le RGPD désigne un responsable de traitement et, le cas échéant, un sous-traitant. Encore faut-il savoir lequel des trois porte ce rôle : aucune des deux publications ne le dit, aucune ne mentionne de notification à la CNIL, aucune n’annonce l’information des personnes. Le silence n’est pas une faute. Il laisse l’intéressé sans interlocuteur.
L’arithmétique d’un fichier de 450 000 noms
Deux récits sont disponibles, et ils ne s’ajustent pas. Premier : « quelques » comptes employeurs détournés. Si le fichier vient de là, chaque compte a donné accès à des milliers de fiches, bien au-delà du personnel d’un seul employeur, ce qui suppose un défaut de cloisonnement que personne n’a décrit.
Second : les 450 000 fiches viennent de PEP’s. Mais 450 000 divisé par 54 500 employeurs fait 8 fiches par employeur. Un tel fichier suppose une extraction large, donc bien plus que « quelques » comptes. Troisième, la plus banale : la base vient d’ailleurs, compilation d’annuaires ou d’incidents antérieurs, et le nom de l’Ircantec sert d’argument de vente. La Caisse des Dépôts le suggère sans le démontrer. Je ne tranche pas. 450 000 personnes, c’est 8 % des 5,65 millions d’affiliés.
450 000 fiches revendiquées, 5,65 millions d’affiliés
Poids de la revendication dans le régime Ircantec. Survolez une barre pour le détail.
Quatre jours, quatre versions
Chronologie des déclarations publiques. Survolez une étape pour le détail.
Ce que la loi impose, et ce que la CNIL ne peut pas faire
Le RGPD impose deux obligations : notifier la CNIL sous 72 heures (article 33), informer les personnes en cas de risque élevé (article 34), sans délai injustifié. La CNIL le résume : « l’organisme responsable doit vous en informer dans les meilleurs délais ».
Avec 8 champs d’identité, le risque a un visage : un appel citant votre date de naissance et votre adresse, au nom de votre caisse, pour obtenir un code reçu par SMS. La CNIL, elle, ne peut pas confirmer la présence de vos données dans un fichier et déconseille les sites qui prétendent le faire. Celui qui a révélé l’affaire propose ce service.
Ce que vous pouvez faire
Ne répondez à aucun message demandant un identifiant, un code ou une coordonnée bancaire ; tapez l’adresse du site vous-même. Pour un prélèvement suspect, le remboursement bancaire en 1 jour ouvrable vaut aussi pour l’hameçonnage. SMS indésirables : 33700. Usurpation : plainte. Et demandez par écrit, à l’Ircantec comme à votre employeur, si vos données figurent dans le fichier revendiqué.
Deux précédents invitent à la poser tôt : le fichier du PCF, 189 308 personnes, et les 587 000 dossiers de la fédération de tir, revendiqués un an après le piratage. Début octobre, 99 cas de fuites dans l’État avaient déjà été recensés.
Vidéo de prévention de Cybermalveillance.gouv.fr, antérieure à l’affaire : elle ne parle pas de l’Ircantec, mais des réflexes à avoir et de ce qu’on peut exiger de l’organisme qui détient le dossier.
Le soupçon n’est pas une preuve. L’inverse est vrai aussi : « aucune corrélation démontrée à ce stade » n’est pas « aucune fuite ». Entre les deux, il y a 450 000 noms dont personne ne dit s’ils sont authentiques, et une institution qui demande aux intéressés de rester vigilants.
À mes yeux, le problème n’est pas l’incident, il est la répartition de sa charge. La Caisse des Dépôts tient le guichet unique de dizaines de milliers d’employeurs publics ; quand il cède, ce n’est pas elle qui reçoit l’appel frauduleux, c’est le retraité. La vigilance devient une obligation privée pour un risque collectif.
Je veux trois réponses, et elles ne coûtent rien : qui notifie la CNIL, qui informe les personnes, combien de comptes employeurs ont été ouverts. Tant qu’elles manquent, le démenti reste une parole, pas une preuve.
Opinion de la maison, pas un fait.
- Le 22 octobre 2026, 450 000 fiches liées à l’Ircantec ont été proposées à la vente ; leur authenticité n’est pas établie.
- L’intrusion sur PEP’s, plateforme exploitée par la Caisse des Dépôts, est en revanche reconnue : des comptes employeurs ouverts par ingénierie sociale.
- Aucune notification à la CNIL ni information des personnes n’a été annoncée, alors que le RGPD impose l’une sous 72 heures et l’autre en cas de risque élevé.
Et vous, accepteriez-vous de porter seul la vigilance d’un fichier que vous n’avez jamais vu ?
