AA / Istanbul / Adama Bamba

La fuite de données survenue au sein du service Pajemploi de l’Urssaf pourrait être plus étendue que ce qui avait été annoncé à l’automne dernier, selon des informations publiées lundi sur le réseau social américain X par Christophe Boutry, présenté comme ancien membre de la DGSI et consultant en analyse criminelle.

Dans son message, l’intéressé affirme qu’une base de données issue du piratage aurait été récemment mise en vente par les auteurs de l’attaque, évoquant un « full dump » comprenant 689 415 lignes de données personnelles. Les cibles concerneraient principalement des assistants maternels (ASSMAT) ainsi que des gardes d’enfants à domicile (GED).

Il indique que les extraits mis en ligne montreraient des connexions au service jusqu’au 8 octobre 2025, et affirme, contrairement aux précédentes déclarations de l’Urssaf, que la base proposée contiendrait notamment des coordonnées bancaires partielles (IBAN/BIC), ainsi que des adresses e-mail, numéros de téléphone partiels, numéros de Sécurité sociale (NIR) et dates d’agrément professionnel.

Pour rappel, selon des informations relayées par la plateforme numérique Finac, l’Urssaf avait confirmé en novembre 2025 un piratage visant le sous-service Pajemploi, tout en assurant qu’aucune donnée « particulièrement sensible », telles que les comptes bancaires complets, mots de passe ou coordonnées de contact, n’avait été compromise. L’organisme estimait alors qu’environ 1,2 million de personnes pouvaient être concernées par l’incident, tout en indiquant que le fonctionnement du service et le paiement des salaires n’étaient pas affectés.

D’après la même source, l’Urssaf appelait par ailleurs les utilisateurs à la vigilance face aux risques d’usurpation d’identité, rappelant que les pirates avaient pu accéder à des informations personnelles administratives telles que les noms, dates et lieux de naissance, adresses postales et numéros de Sécurité sociale.

À ce stade, les nouvelles affirmations relayées sur X n’ont pas encore fait l’objet d’une confirmation publique de l’Urssaf, qui n’a pas immédiatement réagi aux allégations concernant la mise en vente de données supplémentaires. Une plainte avait déjà été déposée auprès du procureur de la République après la première révélation du piratage, précise encore Finac.