REACTIV : les leçons du bilan d’octobre de l’ANSSI pour les entreprises

L’ANSSI a publié le 12 novembre 2026 le deuxième bilan d’étape de l’opération REACTIV, consacrée aux fuites de données dans les services de l’État : 64 nouvelles violations lui ont été signalées depuis le 30 septembre, dont cinq visent des ministères ou des organismes sous leur tutelle, parmi lesquels la CAF et France Travail. Plutôt qu’une technique sophistiquée, le document décrit des portes laissées entrouvertes, identifiants volés, double authentification absente ou trop faible, failles d’accès direct aux dossiers, qui se retrouvent dans bien des entreprises.

Ce que contient le deuxième bilan REACTIV

Lancée le 1er septembre à la demande du Premier ministre, l’opération REACTIV permet à l’agence d’imposer aux ministères des mesures d’urgence dans des délais serrés et de centraliser la communication technique en cas de crise. Le premier bilan, publié le 30 septembre, recensait 99 violations portées à la connaissance de l’agence depuis le 1er août, dont 67 confirmées.

Le nouveau point du CERT-FR fait état d’une baisse importante des violations détectées ou revendiquées dans le périmètre ministériel. Aucune faiblesse inédite n’apparaît : les cinq familles déjà listées en septembre suffisent à tout expliquer, à savoir l’authentification faible ou absente, la sous-traitance, les comptes volés par des programmes voleurs d’identifiants (infostealers), les failles dites IDOR et les défauts de développement ou de configuration. L’ANSSI note des progrès nets sur la double authentification et chiffre à 70 %, au plan interministériel, l’avancement des objectifs fixés pour 2026 par la feuille de route 2026-2027 de l’État en matière de sécurité numérique. Elle prévient que ses chiffres peuvent encore évoluer et ne constituent pas une vision exhaustive.

Cinq nouveaux incidents, les mêmes failles

• CAF : la plateforme d’aide aux vacances VACAF a vu ses données aspirées par un procédé automatisé du 8 au 10 octobre, grâce à des identifiants de comptes de partenaires volés par infostealer, sans double authentification, et à une adresse web qui exposait les numéros de dossier. L’ANSSI parle de près de 1,2 million de dossiers, avec noms, matricules, quotient familial et identités de mineurs, mais sans données bancaires ni mots de passe. IT-Connect signale que la Cnaf a avancé, dans un communiqué du 2 novembre, le chiffre de 1 619 893 allocataires. La remise en ligne est conditionnée à un test d’intrusion et à l’ajout d’une double authentification.
• France Travail : le 26 septembre, le compte d’un agent a été compromis alors que le second facteur par SMS avait bien été validé, ce qui a permis d’extraire des données ; le 8 octobre, quelqu’un a revendiqué sur un forum cybercriminel la mise en vente de données portant sur plus de 60 000 agents et professionnels.
• Office français de la biodiversité (OFB) : le 4 octobre, les candidats à l’examen du permis de chasser ont été touchés ; une faille IDOR dans l’interface de paiement du portail d’inscription a exposé plus d’un millier de personnes, mineurs compris, dont les données ont été mises en accès libre le jour même.
• Agence de services et de paiement (ASP) : son portail DEFI, qui rémunère les stagiaires, a été compromis le 30 septembre via un compte usurpé et une vulnérabilité ; l’exfiltration concerne 30 500 usagers, qui ont été prévenus.
• Ministère de l’Europe et des Affaires étrangères (MEAE) : détectée le 20 octobre, une intrusion dans le portail des bibliothèques aurait permis à un tiers de consulter les données personnelles d’une centaine d’utilisateurs, au moyen de comptes techniques dérobés au préalable sur un serveur compromis.

À l’inverse, le ministère de l’Agriculture illustre l’effet d’une bonne protection : des certificats VPN compromis ont été repérés, mais la double authentification a empêché l’attaquant de se connecter.

Le fil commun : des secrets volés réutilisés

Pour l’ANSSI, les enquêtes convergent vers un même scénario : l’attaquant réutilise des identifiants, mots de passe ou jetons volés pour entrer dans une application et en extraire les données comme le ferait un utilisateur légitime.

La riposte recommandée est en conséquence très concrète : renouveler d’abord tous les secrets compromis ou suspects, généraliser une authentification forte, contrôler strictement les comptes à privilèges, durcir le filtrage des accès pour empêcher l’exfiltration et renforcer la sécurité des applications exposées sur internet ou à des réseaux tiers. L’agence renvoie aussi vers un retour d’expérience sur les violations de données applicatives publié le 20 octobre. Le cas France Travail montre enfin les limites du code reçu par SMS : IT-Connect conseille de lui préférer des clés de sécurité FIDO2 ou des clés d’accès, plus résistantes à l’hameçonnage.

Ce qu’une entreprise peut appliquer dès maintenant

Les mécanismes décrits valent bien au-delà de l’État ; plusieurs mesures découlent directement du rapport :

• imposer la double authentification aux comptes de partenaires et de prestataires, souvent oubliés alors qu’ils ont ouvert la porte de VACAF ;
• remplacer progressivement le SMS par des facteurs résistants à l’hameçonnage pour les accès sensibles ;
• traiter tout poste infecté par un infostealer comme une fuite d’identifiants et renouveler les secrets concernés, sans se limiter au nettoyage de la machine ;
• faire tester ses interfaces de programmation contre les accès directs à des dossiers d’autres utilisateurs avant toute mise en ligne ;
• surveiller et plafonner les volumes extraits : l’Éducation nationale, également citée dans le rapport, renforce la supervision de ses flux de données et en limite le nombre.

Questions fréquentes

Qu’est-ce que l’opération REACTIV de l’ANSSI ?

C’est un dispositif que le Premier ministre a demandé à l’ANSSI de mettre sur pied le 1er septembre 2026 pour réagir aux violations de données dans les services de l’État. Il donne à l’ANSSI le pouvoir de faire appliquer des mesures d’urgence aux ministères et de coordonner la communication technique en cas d’attaque.

Qu’est-ce qu’une faille IDOR ?

C’est un défaut de contrôle d’accès : une fois connecté, un utilisateur peut atteindre les données d’autres personnes en modifiant simplement un identifiant dans une adresse ou une requête. Ce type de faille a permis l’extraction des dossiers VACAF et l’exposition des candidats au permis de chasser.

Les allocataires CAF concernés doivent-ils changer leur mot de passe ?

Selon l’ANSSI, aucun mot de passe ni aucune donnée bancaire ne figurent dans les dossiers VACAF extraits. Les données d’identité et de situation familiale exposées peuvent en revanche servir à des escroqueries ciblées : mieux vaut se méfier des messages qui s’en prévalent pour réclamer un paiement ou des identifiants.

Sources

• Point de situation de l'opération REACTIV – octobre 2026 (CERTFR-2026-CTI-010) — CERT-FR / ANSSI, 2026-11-12
• CAF, France Travail, OFB… l'ANSSI fait le point sur les fuites de données d'octobre 2026 — IT-Connect, 2026-11-12
• Point de situation de l'opération REACTIV – septembre 2026 (CERTFR-2026-CTI-006) — CERT-FR / ANSSI, 2026-09-30