Fuite de données en Aveyron : plus de 20 000 personnes et près de 1 500 documents concernés Mise à jour le 10/09 à 06h00 Dans un communiqué, Aveyron Attractivité Tourisme confirme la fuite touchant 20 316 contacts de la plateforme On recrute en Aveyron. Des données comme les noms, prénoms, e-mails, adresses, téléphones et années de naissance sont concernées. L’agence indique avoir déposé plainte et précise qu’aucune donnée bancaire n’a été compromise et qu’aucune demande de rançon ni tentative d’escroquerie n’a été signalée à ce stade. Mise à jour à 01h45 Selon nos informations, la fuite aurait été rendue possible par la compromission d’un compte client dépourvu de double authentification, combinée à une faille IDOR donnant accès à une base de données Odoo mal configurée. Aucune détection de l’activité malveillante n’aurait eu lieu à ce jour. Une importante fuite de données touche OnRecrute.enAveyron.fr, la plateforme dédiée à l’emploi du Département de l’Aveyron. Le pirate ChimeraZ revendique les données de 20 316 personnes ainsi que près de 1 500 documents PDF, dont des CV contenant de nombreuses informations personnelles et professionnelles. Le service concerné, OnRecrute.enAveyron.fr, est un dispositif du Département de l’Aveyron animé par l’Agence Départementale de l’Attractivité et du Tourisme (ADAT). La plateforme permet notamment de consulter des offres d’emploi, de candidater et de déposer un CV dans une CVthèque destinée aux employeurs. Le 5 septembre 2026, ChimeraZ publie sur un forum cybercriminel des données qu’il attribue à cette plateforme. L’ensemble revendiqué représente environ 465 Mo, avec 23 381 enregistrements concernant 20 316 personnes. Les échantillons que nous avons analysés contiennent des données personnelles issues de profils et de candidatures, tandis que 1 499 documents PDF, représentant environ 451 Mo, sont également annoncés. :::embed ::: Quelles données personnelles sont exposées ? Les échantillons analysés montrent la présence de plusieurs catégories de données permettant d’identifier directement les utilisateurs de la plateforme. Parmi les informations observées figurent notamment : • les noms et prénoms ; • les adresses e-mail ; • les numéros de téléphone ; • les codes postaux et communes ; • des identifiants internes ; • différentes informations associées aux profils et candidatures. Tous les champs ne sont pas nécessairement renseignés pour chaque personne. La fuite est néanmoins particulièrement sensible en raison de la présence de documents associés aux utilisateurs, qui contiennent beaucoup plus d’informations qu’une simple base de coordonnées. Pour des raisons de confidentialité, nous ne reproduisons aucune donnée personnelle issue des échantillons. image Près de 1 500 documents PDF, dont des CV Le pirate revendique également 1 499 documents PDF, représentant environ 451 Mo. Un fichier intitulé 1.5K_documents_avec_texte.json contient du texte extrait ou indexé à partir de ces documents. Les éléments que nous avons pu analyser montrent notamment la présence de curriculum vitae. Ces CV peuvent contenir des informations personnelles et professionnelles particulièrement détaillées : • coordonnées personnelles ; • date de naissance ; • diplômes et formations ; • expériences professionnelles ; • anciens employeurs ; • périodes d’emploi ; • qualifications et compétences ; • permis de conduire ; • informations relatives aux langues. Certains documents permettent ainsi de reconstituer une partie importante du parcours professionnel d’un candidat, bien au-delà de son identité et de ses coordonnées. Des candidatures et profils professionnels concernés Les données comprennent également des enregistrements liés à des candidatures et profils professionnels. L’un des éléments analysés contient notamment l’identité d’un candidat, un intitulé de profil, des informations relatives aux formations et activités, des dates de création et de disponibilité ainsi qu’une référence vers une pièce jointe. Cette structure est cohérente avec l’activité de OnRecrute.enAveyron.fr, qui permet aux candidats de déposer leur CV et de présenter leur profil aux employeurs. Elle explique également la diversité des informations retrouvées dans la fuite : comptes utilisateurs, candidatures, profils professionnels et documents peuvent être associés à une même personne. Comment le piratage aurait-il eu lieu ? Selon nos informations, la compromission aurait débuté par l’accès à un compte client sans double authentification (MFA). Une faille IDOR aurait ensuite permis d’accéder à des ressources non autorisées, puis à une base de données Odoo mal configurée depuis laquelle les données auraient été extraites. L’activité malveillante n’aurait, à ce jour, pas été détectée. Ces éléments n’ont pas encore fait l’objet d’une confirmation officielle. Une faille IDOR au cœur de la compromission L’exploitation présumée d’une faille IDOR est un élément important pour comprendre l’incident. Contrairement à une vulnérabilit
Aveyron : piratage et fuite de données — ce que l’on sait, que faire
