Des candidats ayant confié leur CV à Uptoo sont concernés par un incident de sécurité reconnu par le cabinet de recrutement parisien, spécialisé dans les fonctions commerciales et marketing. Dans un courriel adressé à la rédaction le 12 octobre 2026, Uptoo déclare que 140 profils ont été visés par des accès non autorisés. L'entreprise conteste toutefois la compromission de sa plateforme et l'extraction massive annoncées par un acteur.
Annonce publiée le 24 septembre 2026 sur un forum cybercriminel.
Ce qu'Uptoo confirme sur les comptes de candidats
Selon Uptoo, l'attaquant aurait utilisé des identifiants et mots de passe compromis auparavant sur des plateformes extérieures au cabinet pour accéder aux comptes des candidats. Ce procédé, appelé bourrage d'identifiants ou credential stuffing, consiste à réutiliser ces accès sur un autre service. L'entreprise indique que sa plateforme n'a pas été compromise et que sa base de données n'a pas fait l'objet d'une extraction massive.
Uptoo précise que les personnes concernées ont été identifiées et informées. Le cabinet déclare avoir notifié l'incident à la CNIL dès le 24 septembre 2026. Il cite des investigations menées avec Cyber Zen, puis confirmées par Orange Cyberdéfense.
Des CV publiés, un volume annoncé non confirmé
L'annonce initiale, publiée sur un forum cybercriminel le 24 septembre 2026, portait sur plus de 740 000 CV et fiches de candidats. L'acteur affirmait les avoir extraits de l'outil interne utilisé par les consultants d'Uptoo pour gérer les candidatures. Il avait publié un échantillon de CV et une liste de candidats. Il menaçait alors de diffuser ou de vendre l'ensemble faute de paiement sous 72 heures.
Selon l'analyse de Fuites Infos, l'échantillon publié compte 136 candidats distincts. Rien ne permet d'établir qu'il s'agit des profils déclarés par l'entreprise. Le périmètre reconnu par Uptoo et le volume annoncé par l'acteur restent donc distincts : le cabinet confirme un incident, sans confirmer l'extraction revendiquée, que l'échantillon ne permet pas d'établir.
Pourquoi ces informations comptent pour les candidats
Les données associent identité, coordonnées, parcours professionnel et formation. Ce croisement peut rendre crédible une fausse offre d'emploi ou une prise de contact au nom d'un recruteur. Les adresses et les dates de naissance peuvent aussi servir à des tentatives d'usurpation d'identité. Les informations sur la situation familiale ou le handicap touchent à la vie privée des candidats.
Données concernées :
- Nom complet, date de naissance ou âge, nationalité et situation familiale
- Adresse e-mail, numéro de téléphone et adresse postale
- CV et documents de candidature, parcours professionnel, emplois et formation
- Informations relatives au handicap
- Adresses web et liens présents dans les documents
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise