Agence de services et de paiement : un fichier de 29 611 personnes dont 24 065 numéros de sécurité sociale mis en vente, attribution à l'agence non confirmée

Le 9 octobre 2026, Cyberattaque.org, Fuites Infos et FrenchBreaches ont relayé la mise en vente, sur un forum cybercriminel, d’un fichier que son vendeur présente comme un extrait partiel de données de l’Agence de services et de paiement (ASP), l’établissement public qui verse, pour le compte de l’État et des collectivités, de nombreuses aides publiques. Le vendeur se fait appeler ChimeraZ selon Cyberattaque.org et FrenchBreaches, deux observatoires distincts, tandis que Fuites Infos ne le nomme pas, et ce pseudonyme ne désigne rien d’autre que le compte utilisé pour la vente. FrenchBreaches situe la compromission présumée au 29 septembre 2026, mais il s’agit de la seule source à avancer cette date, que le vendeur ne précise pas selon Cyberattaque.org, et aucun média consulté ne peut dire si le fichier provient d’une intrusion nouvelle ou d’une extraction plus ancienne. À la date de rédaction, l’ASP n’a publié aucune déclaration sur cette revendication, et aucune notification à la CNIL ou aux personnes concernées n’a été relevée.

Les volumes avancés sont ceux du vendeur : 31 028 lignes correspondant à 29 611 personnes distinctes, dont 24 065 numéros de sécurité sociale (NIR) et 26 871 adresses électroniques. Fuites Infos précise que ces chiffres sont annoncés mais non vérifiés, et FrenchBreaches indique ne pas avoir contrôlé le fichier dans son intégralité, tout en jugeant la revendication crédible après examen d’un échantillon, ce qui ne vaut pas confirmation par l’organisme. Cyberattaque.org et Fuites Infos ont tous deux examiné l’échantillon de 1 000 fiches diffusé avec l’annonce, de sorte que leurs constats portent sur la sélection opérée par le vendeur et non sur le fichier entier : ils s’accordent sur la présence de mineurs (une partie des fiches pour Fuites Infos, 53 personnes de moins de 18 ans pour Cyberattaque.org) et sur une concentration des adresses dans les Hauts-de-France (la moitié pour Fuites Infos, un peu plus de la moitié pour Cyberattaque.org). Seul Cyberattaque.org fournit des décomptes précis, avec 937 profils comportant un NIR et 881 une adresse électronique sur les 1 000.

L’attribution à l’agence reste donc le point le plus fragile. Fuites Infos observe que l’échantillon ne nomme ni l’ASP ni un dispositif d’aide, et que rien ne permet de savoir de quel service proviendraient les données ; l’attribution repose, à ce stade, sur l’annonce du vendeur et sur le site qu’il désigne, asp-public.fr selon Cyberattaque.org (« base partielle issue d’asp-public.fr »), un nom de domaine qui redirige aujourd’hui vers le site officiel de l’ASP (redirection constatée par Ostraca le 14 octobre 2026). Ce détail montre que le vendeur vise bien l’agence, sans prouver que le fichier en provient. Cyberattaque.org juge en outre « très probable » que le fichier se rapporte à la rémunération des stagiaires de la formation professionnelle, au vu de la structure des champs, qui correspond selon lui au formulaire de demande RS1, mais il s’agit d’une inférence propre à ce média, que Fuites Infos ne partage pas et qui n’établit aucun rattachement à un incident précédent.

Quant au lien avec les incidents déjà connus, l’ASP avait détecté le 1er avril 2026 un accès frauduleux à un compte utilisateur du portail dédié à la rémunération de ces stagiaires et prévenu certains destinataires de versements par courriel le 24 avril (Next), sans communiquer de volume (Next et FrenchBreaches). L’incident du Coup de pouce énergie, détaillé dans la fiche Agence de services et de paiement : Coup de pouce énergie, est distinct : accès du 27 août, notification du 24 septembre. Le décompte de 108 555 bénéficiaires que FrenchBreaches présente comme officiel, repris par Solutions Numériques, n’a pas été retrouvé dans un document de l’agence, la notification envoyée aux bénéficiaires ne mentionnant aucun volume. Le fichier d’octobre ne contient, dans les champs observés, ni IBAN ni montants d’aide, ce qui le distingue de ce dernier ; FrenchBreaches souligne pour sa part qu’une troisième intrusion distincte dans les systèmes de l’ASP n’est pas démontrée, et Fuites Infos ne relève aucun indice de lien avec l’un ou l’autre des deux incidents notifiés.

Si les données sont authentiques, l’association du NIR, de l’état civil complet, de la date et du pays de naissance, des coordonnées postales, électroniques et téléphoniques ainsi que de la situation familiale constitue un socle utile à l’usurpation d’identité et à l’hameçonnage ciblé. Un fraudeur peut ainsi se faire passer pour l’ASP, l’Assurance maladie, France Travail ou un organisme de formation en citant des informations exactes, ou tenter d’ouvrir des comptes et de détourner des prestations sociales au nom d’une personne concernée. Le NIR présente une particularité aggravante, car il ne peut pas être changé et reste valable toute la vie, tandis que la présence de données de mineurs prolonge la durée du risque. L’absence apparente de coordonnées bancaires dans les champs observés réduit en revanche le risque immédiat de prélèvements frauduleux, plus marqué lorsque des IBAN sont exposés, comme lors de l’incident de septembre.

L’ASP n’a pas réagi publiquement à cette revendication. Lors de l’incident d’avril, elle avait indiqué avoir sécurisé le compte compromis, renforcé les contrôles d’accès et corrigé la vulnérabilité en cause, sans que l’on sache si ces mesures concernent le fichier mis en vente en octobre. En attendant une éventuelle confirmation, les personnes ayant perçu une rémunération ou une aide versée par l’ASP (les stagiaires de la formation professionnelle étant les premiers visés si l’hypothèse de Cyberattaque.org se vérifie) ont intérêt à se méfier de tout message ou appel se réclamant de l’agence, de l’Assurance maladie ou de France Travail qui demanderait un numéro de sécurité sociale, des coordonnées bancaires ou un paiement, à ne pas cliquer sur les liens reçus et à vérifier la demande en passant par le site officiel. Les courriels suspects peuvent être signalés à Signal Spam, les SMS et les appels au 33700, et cybermalveillance.gouv.fr propose une assistance en cas d’usurpation d’identité ou de tentative d’escroquerie.