Fuite de données au contrôle technique : près de 14 millions de plaques d’immatriculation et les coordonnées d’environ 18 millions de personnes ayant réservé un rendez-vous en ligne seraient en vente, selon le site spécialisé FrenchBreaches. Le pirate vise Auto-Planning, une société qui gère la prise de rendez-vous de centres Autovision, Autosur, Dekra ou Sécuritest. Ce dimanche, les données sont proposées à la vente sur Internet, selon TF1 Info. L’entreprise n’a fait aucune communication officielle.
Ce qui serait dans le fichier
- Nom, prénom, adresse e-mail et numéro de portable.
- Marque, modèle et plaque de la voiture.
- Date, heure et centre du rendez-vous, et l’adresse IP utilisée pour réserver.
- 36 545 factures en PDF, dont certaines pourraient contenir un RIB (revendication du pirate).
- Des mots de passe mal protégés : sur 572 examinés, 161 auraient été retrouvés en clair, selon Frandroid.
Ce qui est confirmé, ce qui ne l’est pas
- Confirmé : FrenchBreaches dit avoir reçu des statistiques, des listes de centres et des échantillons de données personnelles, que plusieurs médias ont décrits de façon concordante (Frandroid, BFMTV, JeChange, TF1 Info).
- Revendiqué, pas vérifié : les volumes. Environ 18 millions d’identités uniques et 13,9 millions de plaques, sur plus de 200 millions de lignes et près de 92 millions de rendez-vous pris depuis 2008. Ce sont les chiffres du pirate.
- Pas confirmé : l’attaque elle-même. Auto-Planning ne l’a ni confirmée ni démentie publiquement, et n’a pas prévenu les automobilistes à notre connaissance.
- Inconnu : la liste exacte des centres touchés. Un fichier cite 694 noms de domaine, mais y figurer ne prouve pas qu’un site a été piraté.
Selon Frandroid, le site d’Auto-Planning a affiché un message signé « Operation GlassLodge », un nom inconnu jusqu’ici, qui réclamait 33 333 dollars sous 72 heures, faute de quoi les données seraient publiées. Il s’agit d’une fuite différente de celle de 850 000 plaques revendiquée le 24 octobre, que nous avions détaillée.
Le risque : fausses amendes et « doublettes »
Avec un nom, un portable et la vraie plaque d’une voiture, un escroc peut envoyer une fausse amende ou un faux rappel de contrôle technique très crédible. JeChange rappelle un précédent : après le piratage d’Autosur en mars 2025, les données volées avaient alimenté pendant des mois de faux SMS de péage citant la vraie plaque du destinataire.
Le second risque concerne les plaques. Un fraudeur peut chercher dans le fichier une voiture identique à la sienne (même modèle, même couleur) et en copier la plaque : c’est ce qu’on appelle une « doublette ». En cas d’infraction, c’est le vrai propriétaire qui reçoit l’amende. Interrogé par TF1, André Bouchenoire, responsable de la section plaques à la Fédération des industries des équipements pour véhicules, s’en inquiète. La loi n’oblige pas les fabricants de plaques à demander une pièce d’identité, même si certains vendeurs le font.
Les bons réflexes
- Une vraie amende n’arrive jamais par SMS : l’ANTAI n’en envoie pas. Payez uniquement sur amendes.gouv.fr, en tapant l’adresse vous-même.
- Un contrôle technique en retard ne se règle pas par un lien : l’amende (135 €, 90 € en paiement rapide) se dresse lors d’un contrôle routier, rappelle JeChange. La date limite figure sur le procès-verbal remis par le centre.
- Transférez tout SMS suspect au 33700 et signalez l’escroquerie sur cybermalveillance.gouv.fr.
- Si vous aviez un compte sur un site de réservation de contrôle technique, changez ce mot de passe partout où vous l’avez réutilisé.
- Vous recevez un vrai avis pour une infraction que vous n’avez pas commise ? Ne payez pas, contestez sur le site de l’ANTAI et portez plainte pour usurpation de plaque.
Que doit faire l’entreprise ?
Si la violation est avérée, le RGPD impose à Auto-Planning de prévenir la CNIL dans les 72 heures après l’avoir constatée, et d’informer les personnes concernées en cas de risque élevé. Il n’existe à ce jour aucun moyen officiel de savoir si son nom ou sa plaque figure dans le fichier.
Ce qu’Ouelen a vérifié
Nous avons comparé quatre médias qui s’appuient sur FrenchBreaches : ils donnent les mêmes catégories de données et des volumes proches (« près de 14 millions » ou 13,9 millions de plaques, 18 millions d’identités). TF1 Info parle de « près de 15 millions » de plaques et de deux organismes de contrôle technique : nous retenons le chiffre le plus précis. Aucun de ces chiffres n’a été confirmé par l’entreprise ou par les autorités.
Sources : Frandroid, JeChange, BFMTV, TF1 Info.
Photo d’illustration : Didivo67 / Wikimedia Commons, licence CC BY-SA 4.0.
