Chez Orano, des données RH ont été trop largement accessibles

Des dossiers RH visibles au-delà des personnes autorisées

L’information a été publiée le 3 septembre par Next, qui rapporte avoir consulté un message interne de la direction de l’activité Recyclage d’Orano. Dans ce texte, le groupe reconnaît que des dossiers numériques relatifs à la rémunération et aux avantages sociaux avaient été accessibles, sur un serveur informatique partagé, à des personnes qui n’auraient pas dû pouvoir les consulter.

Le point important est la nature de l’exposition. Rien dans les éléments publiés ne décrit une intrusion depuis Internet ou une attaque revendiquée. Les documents se trouvaient sur le réseau interne de l’entreprise, mais un trop grand nombre de salariés pouvait y accéder. Une donnée n’a donc pas besoin d’être en ligne pour être exposée : une mauvaise configuration de droits peut suffire à étendre sa consultation bien au-delà du besoin professionnel.

Près de 4 700 collaborateurs concernés, selon Orano

Contacté par Next, Orano confirme que les données concernaient l’ensemble des salariés de ses activités Recyclage, soit près de 4 700 collaborateurs. Ce chiffre est attribué à l’entreprise elle-même, et non à une revendication extérieure. La publication ne permet pas de savoir combien de personnes ont effectivement ouvert ou copié les fichiers pendant la période d’accessibilité.

Next décrit des informations RH et salariales détaillées. L’extrait accessible de son article évoque notamment les rémunérations, les performances et des éléments liés aux retours de congé maternité. Ces données ne se résument pas à une adresse e-mail : elles peuvent révéler une situation professionnelle ou personnelle, et leur consultation non autorisée peut avoir des conséquences durables pour les personnes concernées.

Les accès ont été bloqués et les serveurs RH déconnectés

Orano indique que les accès au répertoire partagé ont été bloqués dès que la situation a été portée à sa connaissance. L’entreprise précise également que tous les serveurs RH ont été déconnectés, que leur accès a été fermé et que les restrictions d’accès font l’objet d’une analyse approfondie.

Le groupe rappelle avoir renforcé ses règles de confidentialité et de limitation d’accès après une alerte survenue en décembre 2025. Dans le courrier interne rapporté par Next, la direction avertit aussi que la copie, la diffusion, la conservation ou l’exploitation des informations sans autorisation constituent un traitement illicite. Cette consigne vise les éventuelles copies réalisées avant le blocage, mais elle ne permet pas à elle seule d’établir qu’aucune donnée n’a été copiée.

Pourquoi une fuite interne est aussi un sujet de cybersécurité

La sécurité ne se limite pas à empêcher un pirate extérieur d’entrer. Elle consiste aussi à appliquer le principe du moindre privilège : chaque personne ne doit accéder qu’aux données nécessaires à son travail. Un espace partagé où des milliers de salariés peuvent consulter des dossiers de rémunération montre précisément ce qui se produit lorsque ce périmètre est trop large.

L’incident ne permet pas de conclure à une fraude, à une exfiltration ou à une diffusion publique. Il met toutefois en évidence un risque concret : des données RH détaillées peuvent servir à alimenter des conflits internes, du démarchage ciblé ou de futures tentatives d’usurpation si elles sortent de l’entreprise. Les personnes concernées ne doivent donc pas interpréter le fait que les fichiers n’étaient pas publiquement accessibles comme une absence totale de risque.

Ce que les salariés concernés peuvent faire

Si vous travaillez dans l’activité concernée et recevez une communication interne, conservez-la et vérifiez précisément les catégories de données qui vous concernent. Une question adressée au service RH ou au délégué à la protection des données peut permettre de savoir si vos dossiers figuraient sur le répertoire et quelles mesures de suivi sont prévues.

Restez aussi attentif aux messages ou appels qui utiliseraient des informations professionnelles ou salariales très précises pour gagner votre confiance. Ne communiquez pas de code reçu par SMS, de justificatif ou d’information bancaire à partir d’un lien ou d’un numéro fourni par l’interlocuteur. Pour vérifier une demande, reprenez vous-même le contact officiel de votre service RH.

Ce que nous ne pouvons pas vérifier

Les informations accessibles publiquement proviennent d’un article de Next, qui rapporte des confirmations d’Orano et le contenu d’un message interne. Nous ne pouvons pas vérifier de façon indépendante la période exacte pendant laquelle les dossiers ont été accessibles, le nombre de personnes qui les ont consultés, ni l’existence éventuelle de copies.

Orano n’a pas publié, dans les éléments que nous avons pu lire, la liste exhaustive des champs contenus dans les dossiers, l’origine technique précise du problème, ni le résultat de son analyse des restrictions d’accès. Nous ne pouvons pas non plus établir si une notification à une autorité de protection des données a été effectuée.

Sources : Next ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.