La CAF dément tout piratage d’ampleur, des investigations toujours en cours

Un nouveau piratage d’une administration française, quelques jours après l’annonce d’une violation de données massive touchant les usagers français de deux prestataires de santé ? De nombreux internautes se sont émus après la revendication du piratage de la Caisse nationale d’Allocations Familiales (CAF) par de mystérieux hackers sur X (anciennement Twitter) et la messagerie Telegram. L’affaire se serait en effet soldée par la compromission de 600 000 comptes d’allocataires.

Pourtant, mieux vaut garder la tête froide. La Caisse nationale d’allocations familiales a en effet rapidement démenti le piratage d’autant de comptes d’allocataires. « Les investigations sont en cours », mais « à cette heure, ces violations de données ne sont pas attestées », indiquait mardi l’organisation publique. Une communication prudente, qui s’appuie sur des éléments factuels.

PWNED By lulzSec pic.twitter.com/dbuyMn0ZJ0

— Lulz KizaruSH / DeepHack (@kizarush) February 12, 2024

Pas de faille

« Aucune faille de sécurité n’a été détectée sur le site, aucune intrusion n’est intervenue dans le système », poursuit ainsi la CAF. L’organisation avait fermé par sécurité son site internet durant la nuit de lundi, le signe que ce genre d’alerte est prise très au sérieux, avant de le rouvrir une fois l’analyse technique menée.

Les seuls piratages attestés sont finalement les quatre comptes dont des captures d’écran, comportant parfois le nom de l’allocataire, son profil et le montant du dernier paiement, avaient été partagées par des hackers.

Or, pour la CAF, ces accès frauduleux sont dus à l’obtention, par un moyen non précisé – il pourrait s’agir d’une information obtenue via un infostealer ou par bourrage d’identifiant, par exemple – du mot de passe du compte. « Cela confirme que le site Caf.fr n’a pas connu de faille de sécurité », conclut l’organisation publique, qui a déposé une plainte et fait un signalement à la Cnil, le gardien français des données personnelles.

Coup de pub

Sur la messagerie Telegram, les personnes ayant revendiqué le piratage ont pourtant réaffirmé, ce mercredi, avoir hacké des « milliers de comptes ». « Nous avons réalisé cette attaque pour le fun, mais aussi pour tester votre sécurité », précisent-ils. « Nous tenons à rassurer le public, absolument aucune donnée ne sera rendue publique. »

De fait, ils n’ont pas apporté de nouvelles preuves relatives à la prétendue fuite de données. Car l’objectif du groupe semble avoir été atteint, à savoir bénéficier d’un gros coup de pub. Ces derniers, qui se revendiquent notamment de la mouvance Anonymous, sont manifestement à la recherche de notoriété après des premières actions passées totalement sous les radars.

Pour être plus crédibles, les pirates ont même repris sans vergogne un nom prestigieux dans le milieu du piratage, LulzSec, en créant des comptes à ce nom fin octobre 2023. Le retour aux affaires de ce collectif qui avait mené plusieurs attaques en septembre 2011 et l’éventuelle création d’une branche française est toutefois bien improbable.