Le 13 octobre, la plateforme PEP’s, par laquelle les employeurs publics accomplissent leurs démarches auprès de l’Ircantec et de la CNRACL, a été fermée après des accès frauduleux à des comptes, obtenus par ingénierie sociale. Le 22 octobre, un fichier présenté comme celui de plus de 450 000 affiliés à l’Ircantec est apparu en vente sur un forum cybercriminel. Aucun lien n’est établi entre les deux affaires, et la Caisse des Dépôts dit ne constater, à ce stade, aucune correspondance avec les données de ses affiliés.
Ce qui s’est passé sur PEP’s
PEP’s est le portail en ligne qu’utilisent environ 63 000 employeurs publics pour gérer les dossiers de leurs agents auprès des régimes administrés par la Caisse des Dépôts : CNRACL, Ircantec, RAFP ou FSPOEIE. Il propose plus de 30 services et comptait 1,456 million de connexions à fin juin 2026, selon les chiffres repris par Cyberattaque.org.
Le 13 octobre, l’Ircantec et la CNRACL ont annoncé une fermeture temporaire du service « pour des raisons de sécurité », sans autre explication. Le 16 octobre, la Caisse des Dépôts a précisé l’origine du problème : un « accès illégitime » aux comptes d’un petit nombre d’employeurs, obtenu par « ingénierie sociale ». En clair, aucune faille logicielle n’a été annoncée : ce sont des personnes qui auraient été manipulées pour ouvrir l’accès. La méthode n’a pas été détaillée, pas plus que le nombre d’employeurs touchés, leur identité ou le volume de données consultées.
Le cas intrigue d’autant plus que PEP’s exigeait déjà, depuis juillet 2025, en plus du mot de passe, un code valable une seule fois, transmis par SMS ou par appel vocal. La façon dont ce second verrou a été franchi reste inconnue. D’après Bourse Inside, l’Ircantec a informé ses partenaires le 19 octobre en assurant avoir procédé à des contrôles et durci ses dispositifs de protection.
Une réouverture sous restrictions
Le portail a rouvert progressivement à partir du 19 octobre, avec plusieurs fonctions coupées, relève Cyberattaque.org : connexion par les identifiants Net-entreprises suspendue, nouvelles inscriptions et récupération d’identifiant oublié désactivées, déclarations de cotisations et déclarations individuelles Ircantec encore indisponibles. Le service RNCPS a aussi été fermé un temps dans plusieurs centres de gestion.
Ces coupures ciblent les portes d’entrée qu’un fraudeur exploite le plus volontiers : création de compte, réinitialisation d’accès, connexion déléguée. Pour les services des ressources humaines, elles signifient des démarches différées qu’il faut intégrer au calendrier des déclarations.
Le fichier en vente : ce qu’on sait, ce qu’on ignore
Depuis le jeudi 22 octobre, une annonce publiée sur un forum cybercriminel propose un fichier attribué à l’Ircantec, portant sur plus de 450 000 personnes. Selon Bourse Inside, le vendeur, qui signe « fentag », se présente comme simple intermédiaire et laisse les acheteurs faire une offre. L’échantillon analysé par Cyberattaque.org comporte des identités, dates de naissance, adresses électroniques et postales et numéros de téléphone. French Breaches, cité par Bourse Inside, n’y a repéré ni mot de passe, ni numéro de Sécurité sociale, ni coordonnée bancaire.
L’origine du fichier demeure inconnue. Dans un message publié en son nom sur le site de l’Ircantec, la Caisse des Dépôts affirme que ses analyses « ne démontrent aucune corrélation » avec les données de ses affiliés, et que ses équipes restent mobilisées pour s’assurer qu’aucune donnée n’a fuité. Le rapprochement avec l’incident PEP’s tient donc, pour l’instant, à la proximité des dates : aucune source ne permet d’affirmer que l’un découle de l’autre. Les deux médias ne font état ni d’une plainte ni d’une notification à la CNIL.
Quels risques pour les affiliés et les employeurs
Même sans lien démontré, la situation se prête aux escroqueries. Un fichier de noms, d’adresses et de téléphones, ajouté à l’actualité d’un incident dans une caisse de retraite, fournit un prétexte crédible : faux conseiller, prétendue mise à jour de dossier, demande de coordonnées bancaires. La Caisse des Dépôts rappelle qu’aucun de ses collaborateurs ne réclamera d’identifiants, de mots de passe, de codes de sécurité ou de références bancaires.
- Pour les affiliés : passer uniquement par les sites officiels, ignorer toute demande d’informations personnelles ou de paiement, ne rien transmettre par téléphone et signaler les messages douteux.
- Pour les gestionnaires des employeurs : ne valider aucun lien ni aucun code reçu sans avoir soi-même lancé la démarche, et contrôler l’identité de quiconque réclame une modification sensible.
L’ingénierie sociale vise d’abord ceux qui détiennent les accès. Pour un employeur public, la priorité est de sensibiliser les agents chargés des déclarations à ces approches et de limiter le nombre de comptes habilités.
Questions fréquentes
Mes données de retraite Ircantec ont-elles fuité ?
Rien ne le prouve à ce stade. La Caisse des Dépôts n’a confirmé aucune extraction de données lors de l’incident PEP’s, et ses analyses ne montrent pas de correspondance entre le fichier en vente, d’origine inconnue, et les données de ses affiliés.
Qu’est-ce que l’ingénierie sociale ?
C’est l’art de tromper une personne, par téléphone, courriel ou message, pour obtenir un accès, un code ou une information, au lieu d’exploiter une faille technique. Pour PEP’s, la technique employée n’a pas été rendue publique.
PEP’s fonctionne-t-elle de nouveau ?
Le portail rouvre progressivement depuis le 19 octobre, mais certaines fonctions restaient suspendues, dont la connexion par Net-entreprises, les nouvelles inscriptions et plusieurs services de déclaration Ircantec.
Sources
- Caisse des Dépôts : des comptes PEP's d'employeurs publics compromis — Cyberattaque.org, 2026-10-23
- Retraite Ircantec : 500 000 affiliés visés par une fuite de données, le vrai danger n'est pas celui que vous croyez — Bourse Inside, 2026-10-27