Phishing France Travail « actualisation mensuelle bloquée »

Pourquoi le passage de Pôle emploi à France Travail a ouvert une fenêtre d'attaque

Le changement de nom officiel de Pôle emploi en France Travail, en janvier 2024, a eu un effet de bord prévisible mais sous-estimé : il a multiplié les domaines plausibles que les attaquants peuvent enregistrer pour usurper le service. Avant 2024, l'institution avait un seul nom et un seul domaine officiel. Depuis, les variations « pole-emploi-actu », « france-travail-paiement », « francetravail-allocation » paraissent toutes plus ou moins légitimes à un demandeur d'emploi qui découvre encore la nouvelle marque.

Vague active depuis début mai 2026. Cible : demandeurs d'emploi en cours d'actualisation, particulièrement vulnérables parce que leur allocation dépend littéralement de la démarche.

Le piège : détournement d'IBAN d'allocation

Mécanique phishing-credentials avec un enjeu spécifique : le but n'est pas le vol de CB, c'est la modification de l'IBAN de virement des allocations une fois le compte France Travail compromis.

L'email annonce que l'actualisation mensuelle n'a pas été reçue et menace d'une suspension sous 48 h. Les noms de domaine utilisés imitent celui de la marque ou du service usurpé, et changent d'une salve à l'autre.

La fausse page demande :

• Identifiant France Travail (numéro à 8 chiffres)
• Mot de passe
• Identifiant fiscal « pour vérification croisée »
• IBAN « pour reprise des virements »

Une fois ces données captées, l'attaquant se connecte au vrai compte France Travail de la victime, modifie l'IBAN de virement vers un compte mule, et détourne une à plusieurs mensualités d'allocation (1 200 € à 4 500 € selon le profil) avant que la victime ne s'aperçoive de l'absence de virement attendu.

Variante administrative proche du même schéma : le phishing CAF remboursement allocation, la même logique de détournement de virement social.

France Travail ne demande jamais par email de saisir tes identifiants ou ton IBAN via un lien direct. L'actualisation mensuelle se fait uniquement sur francetravail.fr ou l'app officielle, en session connectée.

Comment reconnaître

• Domaine officiel : francetravail.fr (et anciennement pole-emploi.fr qui redirige). Tout autre domaine est frauduleux
• L'actualisation mensuelle a une fenêtre du 28 au 15 du mois suivant, pas en dehors. Un mail « urgent » début ou fin de mois est suspect
• Aucun mail ne menace de « suspension sous 48 h » : la procédure officielle de relance est plus longue, avec courriers postaux et SMS depuis le numéro court officiel

Que faire si concerné

• Ne clique pas. Signale l'email comme phishing
• Connecte-toi directement sur francetravail.fr (URL tapée) pour vérifier l'état de ton actualisation
• Si identifiants saisis : change le mot de passe et vérifie ton IBAN dans ton espace. Vérifie qu'aucune modification récente n'a été enregistrée. Vérifie aussi que ton adresse mail de contact n'a pas été changée
• En cas d'IBAN modifié : alerte France Travail immédiatement au 3949
• Surveille tes virements mensuels : si la prochaine échéance n'arrive pas, c'est le signal qu'un détournement a réussi

Organismes cités

Ces liens mènent à la page d'accueil de chaque organisme, pas au bulletin ni à l'article qui atteste cette campagne.

• francetravail.fr
• Cybermalveillance.gouv.fr
• Signal-Spam