La CAF parle maintenant de « plusieurs milliers de comptes » piratés et impose le changement de mot de passe

Au départ, la CAF avait affirmé que seulement quatre comptes d’allocataires avaient été compromis. Aujourd’hui, le groupe change de discours et évoque « plusieurs milliers de comptes » qui ont été consultés sans autorisation.

Plusieurs milliers de comptes CAF compromis

Tout a commencé le 12 février quand le groupe de hackers LulzSec avait affirmé avoir collecté les données de 600 000 Français. La CAF avait tenté de rassurer tout le monde en indiquant que cela ne concernait pas 600 000 Français, mais quatre. Cependant, les choses ont évolué et la situation est plus grave que ce que la CAF annonçait la semaine dernière.

« Après plusieurs jours d’investigations, une violation de données est avérée, plusieurs milliers de comptes allocataires ont été visités de manière illégitime », indique la CAF dans un communiqué. « Des personnes malveillantes se sont connectées à des comptes d’allocataires avec leurs mots de passe réels, volés et mis à disposition sur le darkweb ». Mais la CAF l’assure : « Il n’y a eu aucune faille de sécurité sur le site caf.fr, qui n’a aucunement été piraté ».

Les milliers d’allocataires qui ont vu leurs comptes compromis ont été prévenus et le mot de passe de chacun a été réinitialisé.

Au vu de la situation, la CAF assure avoir pris « des mesures fortes pour renforcer la sécurité des données des allocataires ». Trois éléments sont mis en avant :

• Depuis la semaine dernière, le niveau de sécurité des mots de passe pour les nouveaux comptes a été renforcé.
• Le 22 février, les CAF ont lancé une campagne d’incitation au changement de mot de passe auprès des allocataires.
• À compter du 8 mars, changer de mot de passe deviendra obligatoire pour tous les allocataires qui ne l’ont pas encore fait, dès lors qu’ils se connecteront à leur compte. Les allocataires seront accompagnés par des tutoriels.

Enfin, la CAF précise que les personnes malveillantes peuvent tenter de modifier le RIB du compte compromis. « Toutefois, le changement de coordonnées bancaires en ligne fait l’objet de contrôles de sécurité pour vérifier que le changement est légitime. En cas de doute, la démarche est validée par un conseiller allocataire avant que le changement ne soit effectif », assure le groupe.

Une plainte a été déposée et un signalement à la CNIL effectué, l’enquête est en cours.

Source