Caisse des Dépôts (PEP's) : accès illégitimes à des comptes d'employeurs publics par ingénierie sociale, extraction de données non établie

Le 13 octobre 2026, l’Ircantec et la CNRACL ont annoncé que PEP’s, la plateforme par laquelle les employeurs publics gèrent leurs obligations envers les régimes de retraite, était « temporairement fermée pour des raisons de sécurité ». Selon Cyberattaque.org, la Caisse des Dépôts a précisé trois jours plus tard la cause de cette fermeture : « un accès illégitime aux comptes PEP’s de quelques employeurs », rendu possible par ingénierie sociale. La plateforme a rouvert partiellement le 19 octobre, date à laquelle l’Ircantec, d’après Bourse Inside, a informé ses partenaires de l’incident, mais la connexion par les identifiants Net-entreprises, les nouvelles inscriptions, la récupération d’un identifiant oublié et les déclarations de cotisations et individuelles de l’Ircantec sont restées suspendues. Le communiqué d’origine de la Caisse des Dépôts n’a pas pu être consulté : ces éléments reposent sur Cyberattaque.org, qui cite les annonces officielles, et sur Bourse Inside, qui reprend la même formule dans l’information des partenaires de l’Ircantec.

Aucun périmètre n’est publié : la Caisse des Dépôts ne dit ni combien de comptes d’employeurs ont été touchés, ni lesquels, ni pendant combien de temps les accès ont duré, et elle ne confirme aucune exfiltration. Environ 63 000 employeurs publics (collectivités, établissements de santé, services de l’État) utilisent PEP’s, qui a enregistré 1,456 million de connexions au premier semestre 2026, mais ce chiffre mesure l’usage de la plateforme entière, sans renseigner sur les comptes compromis. Aucun nombre de personnes concernées n’est donc retenu. Le statut « confirmée » porte sur les accès illégitimes que la Caisse des Dépôts a reconnus ; une fuite de données avérée n’est pas établie à ce stade.

La nature des données exposées dépend des droits de chaque compte employeur. D’après la documentation de PEP’s citée par Cyberattaque.org, la plateforme permet de consulter ou de modifier les cotisations, les déclarations individuelles, les carrières, les comptes individuels retraite et les demandes de pension, et certains services exploitent l’état civil, la rémunération et, lors de la correction d’anomalies de déclaration, le NIR des agents. Cela indique ce qu’un compte employeur compromis pouvait atteindre, sans montrer que ces informations ont été lues ou copiées. Si elles l’avaient été, elles permettraient des hameçonnages crédibles se faisant passer pour un régime de retraite, et les employeurs eux-mêmes sont exposés à des usurpations, la Caisse des Dépôts ayant alerté sur des appels et des messages inhabituels. La gravité est retenue à « modérée », faute de toute extraction établie, et serait à relever en cas de confirmation d’une exfiltration de NIR ou de données d’agents.

Un précédent existe : en février 2025, la presse a rapporté qu’un attaquant, muni d’identifiants d’employeurs publics, avait consulté les données d’environ 70 000 affiliés de l’Ircantec, ce que la Caisse des Dépôts avait notifié à la CNIL (Solutions Numériques). Cette source ne cite pas PEP’s, et aucune source consultée ne rattache l’incident de 2026 à celui de 2025.

Le 22 octobre 2026, un revendeur, présenté par Cyberattaque.org sous le pseudonyme « fentag », a proposé à la vente une base présentée comme celle de l’Ircantec, qui contiendrait plus de 450 000 personnes (noms, coordonnées, dates de naissance dans l’échantillon examiné par Fuites Infos). Cyberattaque.org et Fuites Infos n’ont pas pu vérifier le volume, et ni l’une ni l’autre ne relie cette base aux comptes PEP’s : selon Bourse Inside, la Caisse des Dépôts indique que ses analyses « ne démontrent aucune corrélation » avec les données des affiliés, si bien que cette revendication reste sans lien établi avec PEP’s. La Caisse des Dépôts rappelle qu’aucun de ses collaborateurs ne demande identifiants, mots de passe, codes de sécurité ou coordonnées bancaires. Il est préférable de ne valider aucun lien reçu par courriel sans avoir lancé soi-même la démarche, de rappeler son interlocuteur par un numéro officiel, de signaler les courriels suspects à Signal Spam et les SMS et appels frauduleux au 33700, cybermalveillance.gouv.fr offrant une assistance en cas de fraude avérée.