Le FBI déclare un incident cyber après la compromission de son portail de recrutement FBIJobs.gov (2026)

Fin septembre 2026, le Federal Bureau of Investigation (FBI) des États-Unis a déclaré un « incident de cybersécurité » et informé ses employés, agents et candidats à l'emploi que leurs informations personnelles pouvaient avoir été exposées lors d'une compromission de son site de recrutement, FBIJobs.gov. Le groupe de pirates ShinyHunters a revendiqué l'attaque, affirmant avoir accédé aux dossiers liés au portail. Le porte-parole du FBI, Benjamin Williamson, a indiqué que le premier courriel à l'échelle de l'agence avait été envoyé le 22 septembre, « moins de 12 heures après l'apparition des premiers articles ».

Ce qui s'est passé

Le FBI a indiqué à son personnel que les données exposées pouvaient inclure des noms, des adresses, des intitulés de poste et des numéros de sécurité sociale. Selon des échantillons examinés par des journalistes, une partie des données que les attaquants prétendaient détenir allait plus loin — comprenant, semble-t-il, des adresses de domicile, des affectations, dans certains cas des noms de membres de la famille, ainsi que des dossiers sensibles tels que des résultats d'examens médicaux et des rapports psychiatriques associés au processus de recrutement et d'habilitation. Le FBI n'a pas confirmé l'ampleur totale de ce qui a été dérobé.

Les enquêteurs soupçonnent que les intrus ont obtenu l'accès en exploitant une vulnérabilité non corrigée dans un système Oracle, la même catégorie de logiciels que ShinyHunters a ciblée lors d'une campagne d'extorsion plus tôt en 2026. Au moment des derniers articles, le FBI a indiqué qu'il n'avait pas encore déterminé si la compromission provenait de son propre environnement ou d'un prestataire tiers exploitant la plateforme de recrutement.

Pourquoi c'est important

La compromission d'un portail de recrutement des forces de l'ordre est particulièrement sensible : les dossiers qu'il contient peuvent identifier des agents, révéler leurs affectations et adresses de domicile, et exposer les détails d'habilitation des candidats — des informations susceptibles de mettre des personnes en danger physique ou d'aider des services de renseignement hostiles. L'incident s'inscrit également dans une tendance plus large de 2026 où ShinyHunters et des groupes alliés ont enchaîné l'exploitation de logiciels d'entreprise contre des cibles gouvernementales et privées de grande valeur, transformant un simple système de recrutement en une exposition de sécurité nationale.