Les bénéficiaires de Plurélya sont concernés par une fuite de données qui touche aussi des enfants. L'association, qui gère des œuvres sociales pour des agents publics, a reconnu un incident de sécurité affectant sa plateforme en ligne.
Selon une revendication publiée le 25 septembre 2026 sur un forum cybercriminel, un acteur met en vente ce qu'il présente comme une partie de la base de Plurélya, avec un volume annoncé d'environ 150 000 personnes. À ce stade, l'association ne se prononce pas sur ce chiffre, mais elle indique avoir lancé des investigations et fermé temporairement la plateforme.
Ce que les données exposées disent des bénéficiaires de Plurélya
Les informations décrites dans l'annonce concernent des agents bénéficiaires et, pour une part importante, leurs enfants. Plurélya sert des personnels de collectivités territoriales, d'établissements hospitaliers et d'autres employeurs publics, ce qui place au coeur de l'incident des familles déjà suivies au titre des prestations sociales.
L'extrait d'un millier d'enregistrements diffusé à l'appui de l'annonce fait apparaître le nom, la date de naissance, l'adresse e-mail, le numéro de téléphone et l'adresse postale des agents. Il contient aussi leur numéro de sécurité sociale, que l'annonce ne mentionne pas. Y figurent encore des identifiants de connexion internes, le régime de retraite et la situation d'emploi, les éléments de revenus servant au calcul des prestations, ainsi que le nom et la date de naissance de leurs enfants, y compris des mineurs. L'annonce évoque en outre des coordonnées bancaires partielles pour une partie des agents : titulaire du compte, BIC et IBAN tronqué.
Le numéro de sécurité sociale, associé à l'identité complète et à l'adresse, expose d'abord à l'usurpation d'identité. Le risque tient aussi au croisement de ces informations. Des coordonnées complètes, une situation familiale, des éléments de revenus et des références bancaires partielles peuvent servir à des messages frauduleux ciblés, à des tentatives d'usurpation ou à des approches jouant sur le contexte social et familial des bénéficiaires. La présence de données concernant des mineurs rend l'exposition encore plus sensible.
La position de Plurélya après l'incident
Plurélya indique avoir mis fin à l'accès en cause et fermé temporairement la plateforme. Dans son avis publié sur son espace bénéficiaire, relevé le 28 septembre 2026, l'association précise que les investigations se poursuivent avec son prestataire technique pour déterminer exactement les données concernées.
L'association dit avoir informé les autorités compétentes et avoir déposé plainte. Elle prévoit aussi d'informer les personnes concernées directement. En parallèle, elle appelle ses bénéficiaires à la vigilance face aux messages qui pourraient évoquer leurs prestations sociales, leur situation fiscale ou familiale, ou leurs coordonnées bancaires.
Selon la revendication, les pièces justificatives, comme les pièces d'identité et les avis d'imposition, n'auraient pas été récupérées, l'intrusion ayant été détectée. Plurélya ne se prononce ni sur ce point ni sur le volume global, qui reste celui de l'acteur.
Données concernées :
- Nom complet, prénom, nom, civilité
- Date de naissance
- Adresse e-mail
- Numéro de téléphone
- Adresse postale, ville, code postal
- Numéro de sécurité sociale
- Identifiants de connexion et identifiants utilisateurs
- Identifiant interne
- Titulaire du compte, BIC, IBAN tronqué
- Données d'emploi
- Situation familiale
- Données de mineurs
- Données d'aide sociale
Détails techniques :
- Annonce appuyée par un extrait d'environ 1 000 enregistrements
- Volume présenté par l'acteur : environ 4,4 Go
- Dépôt annoncé comme portant sur environ 150 000 personnes
- Environ 60 000 agents bénéficiaires et près de 90 000 enfants mentionnés dans l'annonce
- Une partie des coordonnées bancaires serait partielle, avec titulaire du compte, BIC et IBAN tronqué
Mentions :
Statut Fuites Infos : Confirmée