Piratage Adecco : des données personnelles et bancaires (IBAN) dans la nature

Suite à un piratage, Adecco a lancé début novembre une enquête. La société donne de plus amples informations : « certaines de vos données personnelles présentes dans un de nos systèmes d’informations (noms, prénoms, adresses emails, numéros de sécurité sociale et coordonnées bancaires) ont été potentiellement divulguées ». La prudence est de mise. 

Début novembre, Adecco était victime d’un piratage. Dans la foulée, « des centaines d'intérimaires des agences d'emploi Adecco se dis[aient] victimes d'un prélèvement sur leur compte bancaire d'un montant de 49,85 euros », comme l’expliquaient alors plusieurs de nos confrères.

Même son de cloche du côté de la CGT Adecco : « Suite au piratage qu'a subi Adecco, plusieurs salarié(e)s ont subi des prélèvements frauduleux ont eu lieu sur les comptes bancaires de salarié(e)s ». Le syndicat annonçait également saisir « la direction de Adecco pour lui sommer de s'expliquer et de prendre des mesures drastiques pour la protection des données ».

La CGT en mode « Coïncidence ? Je ne pense pas... »

De son côté, la société confirmait le piratage et publiait une « réaction » officielle : « plusieurs témoignages sur les réseaux sociaux faisant état de prélèvements d’une somme de 49,85 euros par la société "Solfex France SASU", que nous ne connaissons pas et qui n’appartient pas au groupe Adecco ».

La société d’intérim ajoutait qu’une enquête interne était ouverte, mais que, « à ce jour, aucun lien n’a été établi entre ces prélèvements frauduleux effectués par une société tierce et les missions de nos intérimaires ». Elle ajoutait poursuivre son enquête, collaborer avec les autorités compétentes et mettre « en place tous les dispositifs pour accompagner au mieux » les intérimaires.

Une communication tardive, selon CGT Interim : « Quand on est précaire, 49,85 euros, ça compte. Visiblement, pas pour la direction de Adecco qui a tardé à communiquer, et c'est la presse qui s'est emparée du sujet. Devant le tollé médiatique, la direction de Adecco a juste dit "aucun rapport de cause à effet entre le piratage et les prélèvements, on a rappelé la procédure à suivre"... Or, diverses pistes laissent voir que ces données ont bien fuité sur le darknet, et ce dès le lendemain de la constatation du piratage, et les prélèvements ont commencé... ».

Le syndicat s’inquiétait : « si d'autres données ont fuité (ce que nous craignons le plus), les faits déjà graves peuvent encore s'aggraver ». Même chose à la CFDT : « La question de la sécurité informatique se pose, quid de nos données personnelles et bancaires ? ».

Depuis, les choses s’étaient tassées, mais de nouvelles précisions ont été envoyées aux intérimaires concernés. Contactée, la société nous confirme qu’une enquête de police judiciaire est toujours en cours et qu’elle ne peut donc pas donner tous les détails. 

Noms, emails, numéros de sécu et coordonnées bancaires

À la veille du week-end de Noël, certains candidats et intérimaires ont reçu un email ; ils avaient déjà été contactés dès début novembre, nous affirme la société. Dans ce message – dont nous avons une copie – l’entreprise explique avoir « été victime d’une tentative d’extraction de données » :

« Certaines de vos données personnelles présentes dans un de nos systèmes d’informations (noms, prénoms, adresses emails, numéros de sécurité sociale et coordonnées bancaires) ont été potentiellement divulguées. Nous le regrettons profondément et vous présentons toutes nos excuses pour les difficultés que cela pourrait occasionner ». 

Les risques liés aux IBAN dans la nature

Il n’est pas précisé quelles sont les « coordonnées bancaires », mais plus loin dans son email Adecco conseille de « prévenir votre banque de la divulgation potentielle de votre IBAN ». Comme le rappelle la Banque de France (page 41), « l’IBAN est considéré en France comme une donnée pouvant faire l’objet de détournements frauduleux ».

L’institution détaille deux modes opératoires :

• « Acheteur frauduleux : un fraudeur peut remplir un mandat de prélèvement avec un IBAN usurpé. On parle alors d’usurpation d’IBAN pour la souscription d’un service. Cette fraude s’intègre souvent dans des schémas d’usurpation d’identité.
• Créancier frauduleux : un fraudeur se fait enregistrer en tant que créancier par une banque et demande un identifiant de créancier SEPA (ICS), qui lui permet ensuite d’initier des prélèvements illégitimes sur la base d’IBAN collectés frauduleusement ».

Bien évidemment, Adecco précise une nouvelle fois avoir « pris les mesures nécessaires pour pallier cette situation et sécuriser encore davantage les données qui [lui] sont confiées, en modifiant notamment l’organisation de [ses] systèmes d’information tant sur le plan technique que fonctionnel ».

Adecco attend le résultat de l’enquête de police judiciaire

Nous avons contacté le service presse qui – fait suffisamment rare pour être souligné – a répondu à nos questions moins de 30 minutes après notre première demande. La société nous confirme pour commencer qu’il s’agit bien de « la suite de ce qui s’est passé en novembre ». L’enquête ayant avancé, de nouvelles informations sont envoyées aux intérimaires, particulièrement avec le détail des données concernées par la fuite.

Nous n’aurons pas de précisions supplémentaires, notamment sur le nombre de personnes touchées, les causes de cette fuite et la délicate question des prélèvements frauduleux, car « une enquête de la police judiciaire » est toujours en cours. « Nous, à ce stade, on ne peut pas commenter […] C’est l’enquête de la police judiciaire qui va déterminer tout cela », ajoute simplement la société.

Les conseils d’Adecco

Dans l’email de la semaine dernière, Adecco donne des conseils pour se prémunir d’éventuelles fâcheuses conséquences. Tout d’abord, « prévenir votre banque de la divulgation potentielle de votre IBAN (coordonnées bancaires) et d’identifier avec elle les moyens adéquats pour prévenir tout risque d'agissement frauduleux à votre détriment ». 

Pour le reste, il s’agit de conseils assez classiques sur les risques de phishing. Dans ce genre de situation, c’est un peu toujours la même chose : des personnes malintentionnées pourraient essayer de se faire passer pour Adecco (en s’appuyant sur les données ayant fuité).

La société indique enfin une adresse email et un numéro de téléphone gratuit pour toute question ou demande d’aide liées à cet incident.