La Caisse des Dépôts a fermé en urgence sa plateforme PEP’s après avoir découvert des accès illégitimes à plusieurs comptes d’employeurs publics. L’incident, désormais officiellement reconnu, ne provient pas d’une vulnérabilité technique annoncée dans le portail : les comptes auraient été compromis à la suite d’une opération d’ingénierie sociale.
PEP’s constitue pourtant une infrastructure particulièrement sensible. La plateforme permet à environ 63 000 employeurs publics, collectivités, établissements de santé et services de l’État, de gérer les démarches retraite et de nombreuses informations relatives à la carrière de leurs agents.
La plateforme entièrement coupée le 13 octobre
Le premier signal public apparaît le 13 octobre 2026. L’Ircantec et la CNRACL annoncent alors simplement que PEP’s est « temporairement fermée pour des raisons de sécurité », sans donner davantage de détails.
Trois jours plus tard, la Caisse des Dépôts précise finalement la cause : « un accès illégitime aux comptes PEP’s de quelques employeurs rendu possible par ingénierie sociale ».
La fermeture complète a permis de procéder à des vérifications et de renforcer les mesures de sécurité avant une réouverture progressive le 19 octobre.
Une plateforme qui concentre les données de carrière des agents publics
PEP’s n’est pas un simple portail administratif. La Caisse des Dépôts le présente comme le point d’entrée permettant aux employeurs de gérer leurs obligations auprès des régimes de retraite et la carrière de leurs agents depuis leur affiliation jusqu’à leur départ en retraite.
La plateforme propose plus de 30 services et intervient notamment pour la CNRACL, l’Ircantec, la RAFP, le FSPOEIE et plusieurs autres fonds administrés par la Direction des politiques sociales de la Caisse des Dépôts.
Les services disponibles permettent, selon les droits accordés au compte employeur, de consulter ou modifier des informations relatives aux cotisations, déclarations individuelles, carrières, comptes individuels retraite, simulations et demandes de pension.
Les comptes compromis pouvaient donner accès à des données personnelles d’agents
La documentation officielle montre que certaines fonctions de PEP’s manipulent directement des données individuelles. Le service « Caractéristiques de vos agents » exploite par exemple des informations issues des comptes retraite CNRACL et Ircantec : âge, genre, statut, taux d’activité, catégorie d’emploi et rémunération.
Les déclarations sociales utilisent également des informations permettant d’identifier précisément les agents. Une documentation publiée en septembre évoque explicitement le traitement de données d’état civil et du NIR lors de la correction d’anomalies de déclaration.
Cela ne signifie pas que les attaquants ont effectivement consulté ou extrait toutes ces informations. La Caisse des Dépôts n’a pour l’instant publié aucun détail sur les données accessibles depuis les comptes compromis ni confirmé une exfiltration.
On ignore toujours combien d’employeurs ont réellement été touchés
La communication officielle reste particulièrement vague sur le périmètre. La Caisse des Dépôts parle seulement de « quelques employeurs ».
Aucun nombre précis de comptes compromis, aucun nom de collectivité ou d’établissement concerné et aucun volume de données potentiellement consultées n’ont été communiqués.
On ignore également combien de temps les attaquants ont conservé leurs accès avant que l’incident ne soit détecté.
L’ingénierie sociale aurait contourné un accès pourtant protégé par double authentification
Le scénario est d’autant plus intéressant que PEP’s bénéficie déjà d’une double authentification. Depuis juillet 2025, la Caisse des Dépôts impose l’utilisation d’un code à usage unique envoyé par SMS ou message vocal.
Ce code est demandé lors de la première connexion puis périodiquement sur un même poste, et systématiquement lors de certaines opérations sensibles comme la modification des comptes utilisateurs.
La Caisse des Dépôts ne précise pas comment les attaquants ont réussi à franchir cette protection. Une opération d’ingénierie sociale peut prendre plusieurs formes : faux support informatique, phishing, récupération d’un code temporaire, manipulation d’un administrateur ou détournement d’une procédure de connexion. Aucun de ces scénarios précis n’est actuellement confirmé.
Des fonctions restent coupées après la réouverture
La plateforme a recommencé à fonctionner le 19 octobre, mais pas normalement. Plusieurs restrictions restent appliquées après l’incident.
La connexion avec les identifiants Net-entreprises reste notamment suspendue. Les nouvelles inscriptions à PEP’s et la fonction permettant de récupérer un identifiant oublié ont également été désactivées.
Les services Déclarations de cotisations et Déclarations individuelles Ircantec sont eux aussi restés indisponibles après la remise en ligne. Plusieurs centres de gestion indiquent également la fermeture temporaire du service RNCPS.
Plus de 4,8 millions d’accès aux services en six mois
L’importance de PEP’s apparaît dans les propres statistiques de la Caisse des Dépôts. À fin juin 2026, la plateforme avait enregistré 1,456 million de connexions et 4,825 millions d’accès à ses différents services.
Elle permet également le dépôt de pièces justificatives et dispose d’une messagerie sécurisée utilisée pour échanger avec les gestionnaires des différents régimes.
Une compromission d’un compte employeur disposant de droits importants peut donc potentiellement offrir une vision très détaillée des dossiers administratifs d’une partie de ses agents.
La Caisse des Dépôts alerte désormais sur les tentatives d’usurpation
Depuis l’incident, les messages d’alerte se multiplient auprès des employeurs. La Caisse des Dépôts recommande de se méfier des appels, emails et messages inhabituels et rappelle qu’aucun de ses collaborateurs ne demandera de transmettre identifiants, mots de passe, codes de sécurité ou coordonnées bancaires.
Les centres de gestion conseillent également de ne jamais valider un lien reçu par email sans avoir initié soi-même la procédure et de vérifier l’identité de tout interlocuteur demandant une modification sensible.
Une revendication concernant 450 000 affiliés Ircantec apparaît quelques jours plus tard
L’incident prend une dimension supplémentaire avec l’apparition, le 22 octobre, d’une base proposée à la vente et attribuée à l’Ircantec. Le vendeur revendique des données concernant plus de 450 000 personnes.
Cyberattaque.org a analysé un échantillon de cette base contenant des identités, dates de naissance, emails, téléphones et adresses postales présentés comme appartenant à des affiliés Ircantec.
Aucun élément ne permet cependant, à ce stade, de relier cette revendication aux comptes PEP’s compromis. La Caisse des Dépôts n’a annoncé aucune extraction de cette ampleur et l’origine du fichier vendu reste inconnue.
La proximité des dates mérite néanmoins une attention particulière : fermeture de PEP’s le 13 octobre, réouverture partielle le 19, puis apparition trois jours plus tard d’une base attribuée à l’un des principaux régimes accessibles depuis la plateforme.
Un incident encore loin d’être totalement documenté
La Caisse des Dépôts confirme donc bien la compromission de comptes d’employeurs publics, mais plusieurs questions essentielles restent sans réponse : combien de comptes ont été touchés, quels employeurs sont concernés, quelles données ont été consultées et les attaquants ont-ils réussi à en extraire une copie ?
La fermeture complète pendant plusieurs jours puis le maintien de restrictions importantes après la réouverture montrent que l’incident a été pris au sérieux. Pour une plateforme centralisant les démarches retraite de dizaines de milliers d’employeurs publics et donnant accès à des données individuelles sur leurs agents, le véritable enjeu est désormais de connaître l’étendue exacte de ce qui a été accessible depuis les comptes compromis.
Source originale : Cyberattaque.org.
Image d’illustration : NOIRLab HQ Server Racks (6V6A0402-CC).jpg — NOIRLab/NSF/AURA/T. Slovinský — CC BY 4.0, via Wikimedia Commons.
