Un utilisateur se présentant sous le pseudonyme « fentag » a annoncé, le 22 octobre 2026, disposer d’une base liée à l’Ircantec et concernant plus de 450 000 personnes. L’offre, sans prix fixe, invite les acheteurs à formuler une proposition. L’Ircantec, de son côté, a déjà confirmé un incident distinct sur la plateforme employeurs PEP’s.
Ce que la caisse a réellement reconnu le 19 octobre 2026
Dans un communiqué publié le lundi 19 octobre 2026, l’Ircantec indique que PEP’s a été fermée après un accès illégitime aux comptes de quelques employeurs, rendu possible par ingénierie sociale. L’interruption a servi à vérifier les faits et à renforcer la sécurité. La plateforme a rouvert le matin du octobre 2026.
Les accès depuis Net-entreprises et l’inscription à PEP’s restaient temporairement fermés à cette date. La caisse, gérée dans le périmètre de la Caisse des Dépôts, rappelle qu’aucun collaborateur ni aucun représentant d’un régime de retraite ne demandera, par téléphone ou par courriel, des identifiants, mots de passe, codes de sécurité ou coordonnées bancaires.
Une annonce de 450 000 fiches qui n’est pas une preuve d’intrusion
L’annonce du forum mentionne le domaine ircantec.retraites.fr. Selon French Breaches, l’origine exacte de la base n’est pas établie : extraction non autorisée, compilation ou autre canal restent possibles. Capital, le 25 octobre 2026, reprend la même réserve : une intrusion dans les systèmes de l’Ircantec n’a pas été démontrée.
Les champs cités par le vendeur comprennent noms et prénoms, dates de naissance dans certains enregistrements, numéros de téléphone, adresses e-mail, adresses postales, villes et codes postaux. Un échantillon présenté comme issu de cette base associe plusieurs de ces informations, avec des fiches incomplètes. Rien n’établit que les 450 000 enregistrements existent tous, qu’ils sont uniques, ni qu’ils proviennent directement de l’Ircantec.
Aucun mot de passe, numéro de Sécurité sociale ou renseignement bancaire n’a été identifié dans les éléments examinés.
Pourquoi ces données restent exploitables sans IBAN ni NIR
L’Ircantec (Institution de retraite complémentaire des agents non titulaires de l’État et des collectivités publiques) couvre notamment des agents contractuels de la fonction publique. Un nom, une date de naissance, une adresse et un téléphone suffisent à préparer un message qui imite un dossier de retraite, une mise à jour administrative ou un prétendu remboursement.
Les mêmes schémas se retrouvent dans les faux courriels qui usurpent une caisse de retraite et dans les SMS frauduleux au nom de l’Assurance retraite. Accéder aux sites officiels plutôt que de suivre un lien reçu dans un message inattendu reste la consigne de la caisse.
La plateforme PEP’s a rouvert avec des fonctions encore bridées. La publication du 22 octobre 2026 sur le forum, elle, n’a pas reçu de confirmation officielle portant sur les 450 000 noms.
