Le FBI enquête sur une compromission présumée de son portail de recrutement, FBIJobs.gov, après les revendications du groupe cybercriminel ShinyHunters. Les pirates affirment avoir dérobé une quantité importante de données relatives à des agents, des employés et des candidats au recrutement ; plusieurs éléments de l’échantillon diffusé semblent crédibles, mais le périmètre complet de l’attaque reste non confirmé.
Le début de l’affaire
L’affaire a éclaté le 22 septembre 2026, lorsque ShinyHunters a affirmé avoir accédé à des systèmes associés au FBI. Le groupe a déclaré disposer d’informations concernant « presque tous » les agents du FBI, ainsi que des personnes ayant candidaté à un poste au sein de l’agence.
Pour démontrer sa revendication, le groupe a fourni une capture d’écran d’un site de recrutement du FBI dégradé et un fichier contenant environ 5 000 entrées. Les pirates présentent cet échantillon comme une petite partie d’un ensemble de données beaucoup plus vaste, qu’ils estiment entre 2 et 3 téraoctets.
Le FBI n’a pas validé publiquement ces chiffres. L’agence a toutefois reconnu être informée d’une activité non autorisée affectant FBIJobs.gov et indique mener une enquête approfondie.
Les données concernées
Selon les informations examinées par plusieurs médias, le fichier attribué au piratage contiendrait des données personnelles particulièrement sensibles :
• Noms et prénoms d’employés
• Adresses personnelles
• Numéros de téléphone
• Dates de naissance
• Numéros de sécurité sociale américains
• Coordonnées de contacts d’urgence
• Informations sur des conjoints ou des membres de la famille
• Affectations, services et bureaux régionaux
• Informations liées à des dossiers de candidature
Des documents médicaux et des évaluations psychologiques ou psychiatriques seraient aussi inclus dans les données prétendument obtenues. Cette catégorie d’informations est particulièrement critique, car elle peut révéler des éléments privés sur la santé, les prescriptions, les consultations ou les aptitudes professionnelles de personnes concernées.
Des profils opérationnels exposés
La fuite présumée ne concernerait pas uniquement des données administratives. Des informations sur les fonctions exercées par certains employés pourraient aussi être présentes dans les fichiers.
Les données mentionneraient des personnels travaillant sur des sujets sensibles, notamment :
• Le contre-espionnage lié à la Chine et à la Russie
• Les enquêtes sur les cartels de drogue
• La cybersécurité et la lutte contre la cybercriminalité
• Le renseignement humain
• La surveillance électronique
• Des activités relevant de la sécurité nationale
Cette dimension rend l’incident particulièrement préoccupant. Identifier une personne, son rôle, son lieu d’affectation et son entourage peut faciliter des opérations de harcèlement, de chantage, d’ingénierie sociale ou de surveillance par des acteurs criminels ou étatiques.
La méthode d’intrusion
ShinyHunters affirme avoir utilisé une vulnérabilité inconnue dans Oracle PeopleSoft, un logiciel souvent utilisé pour la gestion des ressources humaines et des dossiers administratifs. Si cette hypothèse est confirmée, elle illustrerait le risque associé aux applications RH : elles centralisent de nombreuses données personnelles et peuvent constituer une cible à forte valeur pour les cybercriminels.
Cependant, ce scénario technique doit être traité avec prudence. À ce stade, le FBI n’a pas confirmé la vulnérabilité utilisée ni précisé si l’intrusion provient directement de ses systèmes, d’un fournisseur, d’une application externe ou d’un portail de recrutement interconnecté.
Cette incertitude rappelle un principe essentiel de cybersécurité : une organisation peut être exposée non seulement par son réseau interne, mais également par ses prestataires, ses plateformes SaaS, ses outils RH et l’ensemble de sa chaîne de fournisseurs.
Les risques pour les victimes
Une fuite de ce type peut avoir de lourdes conséquences pour les personnes dont les données ont été exposées.
• Usurpation d’identité : des informations comme le nom, l’adresse, la date de naissance et le numéro de sécurité sociale peuvent servir à ouvrir des comptes frauduleux ou à contourner certains contrôles d’identité.
• Hameçonnage ciblé : les attaquants peuvent créer des e-mails ou appels très crédibles en s’appuyant sur la fonction, le service ou les contacts familiaux d’une victime.
• Chantage et extorsion : des documents médicaux, psychologiques ou professionnels peuvent être exploités pour exercer une pression sur une personne.
• Risque physique : l’exposition d’adresses personnelles et de rôles sensibles peut représenter un danger pour les agents, leurs proches et leurs collègues.
• Espionnage : connaître les domaines d’intervention d’un analyste ou d’un agent peut aider un adversaire à identifier les priorités et les capacités opérationnelles d’une organisation.
La réaction de ShinyHunters
Dans un premier temps, le groupe a utilisé cette affaire pour faire pression sur le FBI, en exigeant notamment que l’agence retire ou corrige des informations publiques le concernant. Cette posture a fait craindre une publication massive des données.
À la fin du mois de septembre, ShinyHunters a finalement déclaré ne pas vouloir publier ni vendre les données qu’il affirme avoir volées. Le groupe décrit désormais son action comme une campagne de communication plutôt que comme une opération d’extorsion classique.
Cette promesse ne supprime pas le risque. Dès lors que des données ont été copiées par un groupe criminel, l’organisation victime ne contrôle plus totalement leur circulation. Elles peuvent avoir été partagées, dupliquées ou conservées sur plusieurs infrastructures, même en l’absence de publication immédiate.
Ce que les organisations doivent retenir
Cette affaire met en évidence plusieurs points essentiels pour les entreprises et les administrations :
• Les portails RH et de recrutement doivent être considérés comme des systèmes critiques.
• Les données sensibles doivent être segmentées, chiffrées et accessibles selon le principe du moindre privilège.
• Les logiciels de gestion RH doivent être surveillés, corrigés rapidement et intégrés à une politique de gestion des vulnérabilités.
• Les prestataires et plateformes externes doivent faire l’objet d’évaluations régulières de sécurité.
• Les journaux de connexion, les exports massifs et les comportements anormaux doivent être détectés rapidement.
• Un plan de réponse à incident doit prévoir l’accompagnement des personnes affectées, notamment lorsqu’il existe un risque d’usurpation d’identité ou de menace physique.
L’incident présumé du FBI démontre qu’une fuite de données RH ne se limite jamais à un problème informatique. Lorsqu’elle concerne des fonctions sensibles, elle devient également un enjeu humain, juridique, opérationnel et parfois même de sécurité nationale