Une cyberattaque a visé deux plateformes françaises de réservation de contrôles techniques automobiles, Auto-Planning et Auto-Controle-Paris. Près de 14 millions de plaques d’immatriculation ont été dérobées, ainsi que les données personnelles de 18 millions de personnes.
L’alerte a été lancée le 29 octobre 2026 par le site spécialisé French Breaches, qui documente les fuites de données. Un pirate affirme détenir un dossier d’environ 9 Go et l’a mis en vente sur le dark web. Les hackers réclament 33 333 euros à Auto-Planning pour ne pas diffuser ni revendre les informations, avec un délai de 72 heures pour payer. Plus de 200 millions de lignes de données auraient été aspirées au total.
Le piratage a été confirmé par Auto-Planning. Les deux entreprises, qui fournissent des outils permettant à des partenaires-clients de réserver des contrôles techniques, ont saisi la Cnil, conformément à leurs obligations légales.
Parmi le butin revendiqué figurent 36 545 factures au format PDF, susceptibles de contenir des relevés d’identité bancaire.
Des données qui dépassent la simple plaque d’immatriculation
Le dossier mis en vente contiendrait des factures, des documents confidentiels, des codes sources, des RIB et des mots de passe. Pour les automobilistes, les données exposées incluent le nom, le prénom, l’adresse mail, le numéro de portable, l’adresse IP associée à la réservation, ainsi que le nom et l’adresse exacte du centre de contrôle technique fréquenté.
Une plaque d’immatriculation isolée ne représente pas un danger majeur. Le problème survient quand elle est cumulée à des coordonnées personnelles : nom, adresse, numéro de téléphone. C’est cette combinaison qui inquiète French Breaches, pour qui « la combinaison des données potentiellement exposées pourrait faciliter des escroqueries ciblées, des usurpations d’identité et même le repérage de véhicules pour des vols ».
Plusieurs scénarios de fraude sont évoqués. Un escroc pourrait envoyer une fausse demande de contrôle technique accompagnée d’une demande de paiement, afin de récupérer des données bancaires supplémentaires. D’autres messages frauduleux pourraient réclamer le règlement d’une amende, de frais administratifs liés à la carte grise, ou se faire passer pour une fausse amende de l’Agence nationale de traitement automatisé des infractions.
L’usurpation d’identité constitue un autre risque identifié : des personnes pourraient recevoir de futures contraventions pour des faits qu’elles n’ont pas commis, si leur plaque est usurpée par un autre véhicule. Enfin, le recoupement des données peut permettre d’établir le lieu d’habitation des victimes, ouvrant la voie à un ciblage pour cambriolage.
Face à un mail, un SMS ou un appel suspect, la consigne reste la même : raccrocher et contacter directement l’organisme ou l’entreprise prétendument à l’origine du message, pour vérifier l’authenticité de la demande.
