Selon une mise à jour de FrenchBreaches du 14 novembre 2026, SGS a confirmé un incident de cybersécurité et des clients ont été informés d’une exposition de données. Les millions de plaques et de fiches avancés par un pirate ne sont toujours pas vérifiés. Voici les pièges possibles et les bons réflexes.
Une plaque d’immatriculation exacte dans un SMS ne prouve pas que son expéditeur est un service officiel. Cette précaution prend un relief particulier après les révélations concernant Sécuritest, Auto Sécurité et Vérif’Autos. Le 7 novembre 2026, le cybercriminel ChimeraZ a revendiqué la détention de fichiers liés à ces réseaux du groupe SGS. Dans son enquête publiée le 8 novembre puis actualisée le 14 novembre à midi, FrenchBreaches indique désormais que SGS a confirmé un incident de cybersécurité et que des clients ont été notifiés d’une exposition de données. Le média ne précise pas combien de personnes ont reçu une notification ; aucune communication originale du groupe établissant les chiffres revendiqués n’a été retrouvée dans les sources consultées.
L’inventaire annoncé comprendrait environ 96 Go de fichiers et 259 millions de lignes, correspondant notamment à des enregistrements de véhicules, de contrôles et de prestations. Le pirate évoque 40,9 millions de plaques d’immatriculation uniques et 22,7 millions de personnes. Ces chiffres proviennent de ses déclarations, pas d’un bilan officiellement validé. La provenance exacte des données et la compromission éventuelle des systèmes informatiques des trois enseignes ne sont pas démontrées.
Une plaque associée au nom et au contrôle du véhicule : le détail qui change tout
Une immatriculation est déjà visible sur la route. Ce qui rendrait les fichiers revendiqués plus sensibles, c’est la possibilité de rapprocher cette plaque d’autres informations. Selon FrenchBreaches, environ 13 millions de numéros d’immatriculation seraient associés à des données permettant d’identifier une personne. Des noms, adresses, téléphones et courriels figureraient parmi les catégories annoncées.
Les fichiers contiendraient également près de 74,7 millions d’enregistrements de contrôles techniques, avec des dates, des résultats et des relevés de kilométrage. Le nombre de lignes ne doit pas être confondu avec celui des conducteurs : un même véhicule peut avoir été contrôlé plusieurs fois et apparaître dans différentes tables. Le nombre réel de personnes touchées reste donc incertain.
Pour un escroc, l’association de ces éléments aurait un intérêt pratique. Un message pourrait évoquer le bon modèle de voiture, une plaque exacte ou un passage récent au contrôle technique, puis réclamer un règlement urgent. Ce scénario est une possibilité de fraude, et non une attaque constatée à partir de cette base. FrenchBreaches ne rapporte pas de preuve d’une utilisation frauduleuse effective des fichiers revendiqués.
L’étendue annoncée explique également pourquoi l’affaire ne concerne pas seulement les clients ayant pris rendez-vous en ligne. Les enregistrements pourraient provenir de plusieurs systèmes ou prestataires ; aucune origine n’est établie. Sécuritest affirme sur le site officiel de SGS disposer de plus de 1 000 centres en France, sans que ce chiffre permette de mesurer le périmètre des données concernées par l’incident.
Fausse amende, faux rappel : comment reconnaître le mauvais interlocuteur
Le piège le plus direct serait une fausse contravention. Un SMS indiquant le montant d’une amende et une plaque authentique peut paraître convaincant, particulièrement s’il menace d’une majoration immédiate. Pourtant, l’Agence nationale de traitement automatisé des infractions, l’ANTAI, précise qu’elle n’envoie jamais de SMS. Un lien de paiement reçu de cette manière n’est donc pas un moyen fiable de régler une contravention.
Le bon réflexe consiste à quitter le message et à accéder soi-même au site officiel, en saisissant son adresse dans le navigateur. La même prudence s’applique à un courriel qui annonce un problème de carte grise ou à un rappel inhabituel de contrôle technique. Il ne faut pas confondre ces messages suspects avec les rappels légitimes que des centres peuvent adresser à leurs clients : en cas de doute, le conducteur peut appeler le centre à un numéro trouvé indépendamment du SMS reçu.
Le service public Cybermalveillance.gouv.fr décrit cette méthode comme de l’hameçonnage par SMS, ou smishing. Il recommande de ne pas suivre les liens suspects et de vérifier toute demande directement auprès de l’organisme concerné. Les messages douteux peuvent être signalés au 33700, sans répondre à l’expéditeur.
Un nom correct, une adresse exacte ou une immatriculation authentique ne changent rien à cette règle. Ce sont précisément des informations susceptibles d’être utilisées pour donner une apparence sérieuse à une escroquerie.
Et si quelqu’un utilise réellement votre numéro de plaque ?
Il faut distinguer le faux SMS d’amende d’une véritable usurpation de plaque. Dans le premier cas, un fraudeur cherche surtout à obtenir un paiement ou des données. Dans le second, un autre véhicule circule avec une reproduction de l’immatriculation et son propriétaire légitime peut recevoir un vrai procès-verbal pour une infraction qu’il n’a pas commise. La revendication visant SGS ne prouve pas qu’une telle utilisation s’est produite.
Si l’automobiliste reçoit une véritable contravention qui ne correspond pas à son véhicule, l’ANTAI détaille une procédure spécifique : déposer plainte rapidement, conserver le récépissé, puis contester l’amende dans le délai prévu. Une nouvelle immatriculation peut ensuite être demandée dans les conditions expliquées par Service-Public. Recevoir un message suspect, en revanche, n’impose pas à lui seul de changer ses plaques.
Le secteur automobile avait déjà été confronté en avril à une autre affaire, celle de l’ANTS, évoquée par L’Automobiliste. La revendication de novembre porte sur des fichiers de contrôle technique présentés comme beaucoup plus détaillés sur les véhicules et leurs visites. Il ne faut pas pour autant additionner ses chiffres à ceux d’autres incidents récents : rien ne permet d’affirmer qu’il s’agit de personnes distinctes ou de bases indépendantes.
Au 14 novembre 2026, le dossier a donc évolué : selon FrenchBreaches, un incident de cybersécurité est confirmé par SGS et des clients ont été avisés. En revanche, ni les 22,7 millions de personnes avancées par le pirate, ni les 40,9 millions de plaques, ni l’origine précise des fichiers n’ont été validés publiquement dans les sources consultées. Il reste impossible de savoir à partir de cette annonce si la plaque d’un conducteur figure dans les données proposées à la vente. Il n’est pas nécessaire d’attendre cette réponse pour refuser un paiement demandé par SMS et vérifier toute démarche auprès des services officiels.
