Sécurité des données RH : pourquoi les logiciels de paie sont les nouvelles cibles
Le trésor caché des logiciels de paie
Quand on pense cibles de cyberattaques, on pense banques, hôpitaux, e-commerce. Les logiciels de paie sont rarement mentionnés. Pourtant, ils concentrent les données les plus sensibles et les plus monétisables d'une entreprise.
Pour aller plus loin — lire notre audit sécurité des logiciels de paie.
Ce que contient un logiciel de paie
Une seule faille dans un logiciel de paie expose l'ensemble de ces données pour tous les employés de toutes les entreprises clientes.
Pourquoi les attaquants ciblent la paie
Valeur marchande : un dossier employé complet (IBAN + sécu + identité) se vend 50€-200€ sur les marchés noirs. Pour un logiciel de paie avec 10 000 employés, c'est un butin de 500 000€ : 2M€.
Effet de levier pour le ransomware : la menace de publier les salaires de toute une entreprise est un levier de pression puissant.
Fraude au virement : modifier l'IBAN d'un employé dans le logiciel de paie = détourner son salaire. Discret et rentable.
Les vulnérabilités que nous trouvons
APIs sans contrôle d'accès granulaire : un manager RH qui accède à l'API peut récupérer les données de TOUS les employés, pas seulement ceux de son périmètre. Les endpoints retournent des objets complets (salaire, IBAN, sécu) sans filtrage par rôle.
Documents RH dans des buckets publics : bulletins de paie, contrats de travail, copies de pièces d'identité stockés dans des buckets S3 ou Supabase Storage sans politique d'accès. Accessibles par URL directe.
Exports CSV sans restriction : fonctionnalité d'export qui permet de télécharger la totalité des données en un clic. Pas de limite de volume, pas de log d'export, pas de validation managériale.
Webhooks de paie non authentifiés : modification de fiches de paie, ajout d'employés, changement d'IBAN via des webhooks sans vérification de signature.
L'impact réglementaire
Les données de paie sont des données personnelles (RGPD). Les données de santé (arrêts maladie) sont des données sensibles au sens de l'article 9. Une fuite déclenche l'obligation de notification CNIL sous 72h ET la notification individuelle de chaque employé concerné.
Notre expertise HR tech
Nous auditons régulièrement des logiciels RH et de paie. Notre revue externe identifie les expositions de données salariales et RH sans jamais accéder aux données elles-mêmes. Rapport sous 48h avec implications RGPD et plan de remédiation.
Pour les éditeurs RH & Paie
CleanIssue est spécialisé dans l'audit des logiciels RH, paie et recrutement. Si vous éditez un SIRH, un outil de paie ou un ATS en France et que vous voulez une revue externe de votre exposition avant un audit client ou une revue sécurité, voyez notre offre dédiée aux éditeurs RH & Paie.
Articles liés
Trois analyses proches pour continuer la lecture sur la meme surface de risque.
HR Tech & paie : données sensibles, failles simples
Les logiciels RH manipulent salaires, IBANs et documents d'identité. Voici les vulnérabilités les plus fréquentes.
Les 5 failles les plus courantes sur les logiciels de paie et RH
Les expositions que l'on retrouve le plus souvent sur les logiciels RH et de paie : rôles mal séparés, exports trop ouverts, documents accessibles et APIs trop bavardes.
Webhooks paie vers la comptabilité : signature, rejeu, et données en transit
Les webhooks qui sortent d'un outil de paie vers un logiciel comptable transportent des montants sensibles. Ce qu'il faut vraiment vérifier.
Sources
Analyse éditoriale fondée sur la documentation officielle des éditeurs, projets et autorités concernées.
Services associés
Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.