Les syndicalistes de la CGT DSI de France Travail, ex-Pôle emploi, se paient la direction de l'institution. Ils déplorent, après la cyberattaque révélée le 13 mars, le manque de considération pour la sécurité informatique.

À force de trop avoir joué avec le feu de la cybersécurité, on finit sur le bûcher public. C'est ce qui est en train d'arriver à France Travail, anciennement Pôle emploi, qui a été victime il y a plusieurs semaines d'une attaque informatique consécutive à l'exploitation d'une faille de sécurité du système d'information, avec Cap Emploi. Dans un e-mail du 28 mars 2024, la CGT DSI accuse la direction de France Travail d'être « la seule responsable », en la fustigeant de nombreux manquements et de son laxisme en matière de cybersécurité, qui auraient pu selon elle être corrigés plus tôt.

Pour la CGT, la direction de France Travail essaie de minimiser sa responsabilité dans la cyberattaque

La CGT DSI (syndicat de la Confédération générale du Travail de la direction du Système d’information) reproche d'abord à France Travail son manque de transparence quant à la qualification de l'attaque. L'établissement public évoque l'exploitation d'une usurpation d'identité, tandis que le syndicat parle bien de l'exploitation d'une faille de sécurité du système d'information. « Vous ne manquez pas de panache pour minimiser votre responsabilité et celle de la direction de la DSI. C'est bien une cyberattaque qui a exploité une faille de sécurité de notre système d'information », explique-t-il. Le ton est donné.

Plus précisément, l'organisation syndicale rappelle que le ciblage d'un salarié, via les réseaux sociaux, et le profilage permettent d'identifier les failles, par exemple techniques, pour attaquer un système. « C'est ce qui s'est passé, et nous avons bien subi une cyberattaque », insiste-t-elle. Cette dernière expose d'ailleurs les données personnelles de 43 millions d'inscrits au cours des vingt dernières années.

Les représentants de la CGT DSI évoque un « choix assumé » de la direction des systèmes d'information, qui n'aurait pas suivi les recommandations de sécurité en matière d'ouverture de la SI aux partenaires de France Travail, comme Cap Emploi, aussi concerné par la cyberattaque. Les syndicalistes expliquent avoir alerté à plusieurs reprises sur une SI insuffisante.

Un rapport avait préconisé la mise à place de l'authentification à deux facteurs… qui n'est jamais arrivée

Rappelons que l'attaque a très probablement été menée grâce à l'usurpation d'identité de conseillers de Cap emploi. Le service Cap emploi, qui s'adresse aux personnes reconnues handicapées ayant besoin d'un accompagnement spécialisé, s'est rapproché de France Travail il y a quelques temps. Dès fin 2022, lors d'un projet de connexion de Cap emploi à Pôle emploi, comme partenaire, une analyse de risque fut réalisée.

Dans ce dernier, la possibilité d'une usurpation d'identité d'un agent de Cap emploi par un pirate accédant aux données du SI Pôle emploi via la machine virtuelle, fut justement décelée. Avec un indice d'alerte de niveau maximum. Le rapport préconisait ainsi la mise en place d'une authentification à deux facteurs, comme le recommande d'ailleurs l'ANSSI.

« Mais elle n'a jamais été mise en place », déplore la CGT, qui ajoute qu'il « aura fallu une attaque d'ampleur jamais vue pour la mettre en place pour les salariés de Cap emploi, en seulement une ou deux semaines ! ». Parmi les autres reproches faits à France Travail et déjà soulignés dans ce même rapport, la CGT DSI évoque celui du moindre privilège. Les salariés de Cap emploi disposaient d'autorisations d'accès non restreintes, contrairement à ce qui était préconisé.

La CGT réclame l'application urgente de plusieurs mesures de sécurité

Les incidents ont été multiples ces dernières années pour France Travail. Une société d'intérim partenaire de Pôle emploi avait été victime d'une fuite de donnée, provoquant des modifications de RIB de citoyens bénéficiant d'indemnités, avec un préjudice de plusieurs centaines de milliers d'euros. Il y avait aussi eu une extraction de données de demandeurs d'emploi initiée par un salarié, informations qui avaient fini sur le dark web. Sans oublier l'attaque du prestataire Majorel, de Pôle emploi, pas plus tard qu'en juillet 2023, avec divulgation de données et numéro de Sécurité sociale.

À chaque fois, la direction fut alertée par le syndicat, direction « principalement responsable de cette situation, du faut de ne pas avoir mis en place toutes les préconisations concernant la sécurité ».

Aujourd'hui, les syndicalistes réclament la mise en place de la méthode d'authentification à multiples facteurs pour tous les salariés et partenaires qui se connectent à la SI de France Travail. Ils demandent aussi la révision de la politique d'attribution des salariés de sécurité à la prestation de service, ainsi que l'application stricte du principe de moindre privilège. Enfin, la CGT lance la requête d'un durcissement de la politique d'ouverture des accès pour les salariés externes, aujourd'hui en mode 24h/24 et 7/7, ce qui en cas d'incident fait perdre un temps précieux aux équipes.