Cybersécurité RH : 5 menaces qui pèsent sur les données de recrutement en 2026

Les recruteurs, qu'ils soient en interne ou externes, gèrent une documentation personnelle étendue — des CV aux pièces d'identité, en passant par les salaires, les références et même les résultats des vérifications d'antécédents. Le plus souvent, ces données sont recueillies à partir de centaines de pièces jointes non sollicitées reçues chaque jour par e-mail.

Détenir — et recevoir — de grandes quantités de données provenant de tiers représente un vrai problème de sécurité pour les équipes RH. Non seulement une violation peut nuire à la marque employeur, mais elle trahit également la confiance de toutes les personnes qui confient à une organisation des informations sensibles. Enfin, les employeurs sont identifiés par le RGPD comme responsables du traitement de chaque dossier de candidat qu'ils détiennent, ce qui les rend légalement responsables de la sécurité des données personnelles, qu'ils recrutent le candidat ou non.

Au regard de ces risques, voici les cinq menaces les plus importantes dont les professionnels RH doivent être conscients en 2026.

Cinq menaces qui pèsent sur les données de recrutement

Chacune des menaces ci-dessous cible une faiblesse différente — des systèmes qui stockent les dossiers de candidats, aux personnes qui les exploitent, aux accès qui leur sont accordés, aux privilèges détenus en leur sein et aux logiciels sur lesquels l'organisation les fait fonctionner :

1. Ransomware ciblant les dossiers de candidats et leurs sauvegardes

Veeam rapporte que les attaquants ciblent les dépôts de backup dans 96 % des attaques par ransomware, corrompant ou supprimant les sauvegardes avant de chiffrer les systèmes de production. Et les systèmes de recrutement détiennent précisément le type d'informations personnelles sensibles qui augmente la pression pour payer.

Des systèmes de suivi des candidats aux partages de fichiers RH, tout est une cible. Si un attaquant peut supprimer les copies de sauvegarde des dossiers de candidats, les organisations se retrouvent sans point de reprise propre pour des données qu'elles sont légalement tenues de protéger.

2. Phishing et usurpation d'identité dans le processus de recrutement

Le phishing utilise de faux e-mails pour inciter des individus à divulguer leurs identifiants ou à ouvrir des fichiers malveillants. Le recrutement offre au phishing une couverture idéale, car, comme mentionné plus haut, les professionnels RH s'attendent souvent à recevoir des fichiers non sollicités d'expéditeurs inconnus dans le cours normal de leur travail.

L'usurpation peut cependant fonctionner dans les deux sens : les attaquants peuvent également se faire passer pour des recruteurs afin d'extorquer des pièces d'identité et des informations personnelles à des candidats, qui peuvent être trop enclins à les fournir sur simple demande.

3. Accès excessifs et non révoqués

L'accès non autorisé survient lorsqu'une personne accède à des données ou des systèmes auxquels elle n'a aucun droit. Souvent, l'accès non autorisé débute en réalité comme un accès légitime accordé pour un projet unique mais jamais révoqué — par exemple, à des responsables de recrutement, des panels d'entretien, des agences de recrutement externes et des prestataires d'évaluation. Si le processus de recrutement se termine et que personne ne révoque cet accès, le nombre de comptes pouvant consulter les bases de données de candidats continuera de croître, augmentant le nombre de vecteurs de risque potentiels.

L'accès excessif, en revanche, intervient lorsqu'une personne se voit accorder un accès allant au-delà des besoins de la tâche immédiate. Par exemple, un intervieweur peut n'avoir besoin que d'accéder au CV et à une fiche d'évaluation pour un candidat, mais se voir accorder l'accès à l'ensemble du système de suivi des candidats avec chaque dossier, y compris les pièces d'identité, les prétentions salariales, et plus encore.

4. Mauvaise utilisation par des initiés

Tous les aspirants attaquants ne sont pas non autorisés. Les employés disposant d'un accès légitime peuvent tout de même utiliser cet accès pour nuire à l'organisation, en exportant par exemple des données de candidats.

Si cela peut sembler une action de routine, les listes de candidats ont une valeur commerciale pour des concurrents, et pour des employés qui pourraient eux-mêmes être sur le point de changer d'employeur. Les prétentions salariales et les notes d'entretien peuvent également causer des dommages si elles circulent en interne.

5. Vulnérabilités dans la stack technologique RH

Les attaquants exploitent couramment des failles logicielles pour obtenir un accès non autorisé. De nombreux recruteurs utilisent une variété d'outils tiers différents — des systèmes de suivi des candidats aux sites d'offres d'emploi, en passant par les logiciels de planification, les plateformes d'évaluation et les prestataires de vérification d'antécédents.

Si chaque outil représente un risque individuel en soi, ces outils sont souvent intégrés les uns aux autres — ce qui multiplie le risque de façon exponentielle. Chaque composant non corrigé est une ouverture potentielle, et l'exposition d'une organisation est aussi solide que le maillon le plus faible de la chaîne.

Protéger les données de recrutement

Aucune organisation ne peut rendre sa fonction de recrutement impossible à violer, et les menaces ci-dessus ne peuvent pas toutes être stoppées au périmètre. Ce que les organisations peuvent faire, c'est limiter ce à quoi un intrus peut accéder, et s'assurer que les données de backup sensibles survivent à une attaque, dans un état où elles peuvent être restaurées. Le stockage de données sécurisé repose sur quatre dispositifs :

• Contrôle d'accès. Les permissions basées sur les rôles limitent les dossiers de candidats aux personnes travaillant sur la réquisition, l'authentification multifacteur empêche un mot de passe volé d'accéder seul à ces dossiers, et la surveillance des accès internes fait remonter les exports et consultations qui indiquent une mauvaise utilisation par un initié.
• Chiffrement. Les données chiffrées en transit et au repos sont inutiles pour un attaquant qui les intercepte ou les exfiltre sans les clés.
• Zero Trust. Chaque demande d'accès aux données de candidats est vérifiée, qu'elle provienne de l'intérieur ou de l'extérieur du réseau, de sorte qu'un compte de recruteur compromis ne puisse pas circuler librement une fois à l'intérieur.
• Stockage backup immuable. Les sauvegardes des dossiers de candidats sont écrites une seule fois et ne peuvent être ni altérées ni supprimées pendant toute la durée de leur période de rétention.

Bien que de nombreuses solutions se prétendent immuables, elles présentent souvent des lacunes et des failles qui permettent que les données soient encore modifiées ou supprimées par ceux disposant des bons identifiants. Les organisations devraient rechercher des systèmes de stockage backup garantissant que les données ne peuvent être ni modifiées ni supprimées en aucune circonstance, même si les systèmes de production et de sauvegarde ou les contrôles d'accès sont compromis.

Conclusion

Le recrutement collecte certaines des informations les plus sensibles qu'une organisation peut détenir sur une personne — chaque jour, à partir d'innombrables sources. Cela représente une exposition au risque significative — mais les équipes RH disposent en définitive d'un contrôle minimal sur ce qui arrive réellement.

Le contrôle d'accès, la mise à jour des correctifs et la surveillance réduisent la probabilité d'une cyberattaque ou d'une fuite de données, mais ne l'éliminent pas. La récupérabilité est désormais la véritable mesure de la sécurité RH, et la récupérabilité est en fin de compte déterminée par la sécurité du stockage dans lequel les sauvegardes se trouvent — et non par le logiciel qui les écrit.

Object First offre un stockage backup sécurisé, simple et puissant, conçu spécifiquement pour Veeam. Il dispose d'Absolute Immutability — ce qui signifie que même l'administrateur le plus privilégié ou un attaquant ayant accès au stockage backup ne peut modifier ni supprimer les données. Avec la défense ultime contre le ransomware, vous et votre organisation êtes Simply Resilient.