Une fuite de données présumée chez Auto-Planning, spécialiste français de la planification d'inspections, pourrait avoir exposé 200 millions de lignes de données personnelles et véhicules.
Fuite de données signalée en France
Une fuite de données présumée touchant Auto-Planning, une entreprise française qui gère les rendez-vous de contrôle technique pour plus de 450 centres, a été signalée par FrenchBreaches, un site qui recense les fuites de données en France. Selon ce site, la fuite donnerait accès à plus de 200 millions d’enregistrements, dont près de 92 millions de rendez-vous réservés depuis 2008.Détail des données exposées
Chaque enregistrement peut contenir le nom d’une personne, son numéro de téléphone mobile, sa plaque d’immatriculation et le centre de contrôle technique utilisé. FrenchBreaches a reçu des statistiques détaillées, des listes d’établissements et des échantillons de données personnelles. Le site reste toutefois prudent : selon lui, ces échantillons montrent le type d’informations exposées, mais ne confirment pas que l’ensemble des données a été copié.Aucune réponse officielle d’Auto-Planning
Auto-Planning n’a publié aucune déclaration officielle au sujet de la fuite. Cet incident intervient après une série de fuites de données récentes en France, dont la vente de fichiers de 1,2 million de bénéficiaires de la CAF et le piratage de Solutions30, un sous-traitant d’Orange et de Bouygues Telecom. Ce schéma illustre le risque lié au piratage d’un seul prestataire, qui peut exposer les données de plusieurs entreprises qui dépendent de lui.Ampleur de l’exposition des données
Les données exposées contiendraient environ 18 millions d’identités uniques et 13,9 millions de plaques d’immatriculation, après suppression des doublons. Ces chiffres correspondent à la fréquence des contrôles techniques : un automobiliste revient en général tous les deux ans, ce qui génère cinq fois plus de rendez-vous que de personnes. Un fichier partagé avec FrenchBreaches recense 791 centres et 37,2 millions de rendez-vous actifs, certains centres ayant le plus grand nombre de réservations.Nature des informations exposées
Les échantillons examinés par FrenchBreaches comprennent des données personnelles telles que les noms, les adresses e-mail, les numéros de téléphone mobile, la marque et le modèle des véhicules, les plaques d’immatriculation, les dates et heures des rendez-vous, ainsi que les adresses IP utilisées pour réserver. Les pirates affirment également détenir 36 545 factures au format PDF, susceptibles de contenir des RIB (coordonnées bancaires), des codes source et un accès à certains services. Sur 572 empreintes de mots de passe examinées, 161 étaient en clair, et le site relève l’usage de MD5, un algorithme de protection des mots de passe dépassé.Les pirates réclament une rançon et proposent leur aide
Le site d’Auto-Planning et celui d’Auto Contrôle Paris, tous deux édités par la même société, afficheraient un message de défiguration laissé par les pirates. Signé « Operation GlassLodge », ce message réclame 33 333 dollars sous 72 heures, faute de quoi les données seront publiées. Les pirates affirment également proposer une aide pour corriger les failles qu’ils ont exploitées. Aucun lien direct n’a été établi entre cette attaque et la faille PHP à l’origine de la vague de tentatives de piratage détectée par Cloudflare.Obligations légales et absence de réaction
En vertu du RGPD, Auto-Planning est tenue d’informer la CNIL (Commission nationale de l’informatique et des libertés) dans un délai de 72 heures après avoir découvert une violation présentant un risque pour les personnes. Toutefois, au moment de la rédaction de cet article, Auto-Planning n’a ni confirmé l’attaque ni alerté les automobilistes. On ignore encore quels centres sont concernés.Mise en garde contre les arnaques
FrenchBreaches invite également les utilisateurs à se méfier des SMS demandant le paiement d’amendes, de frais d’immatriculation ou la confirmation de rendez-vous de contrôle technique, car ceux-ci pourraient être frauduleux. L’ANTAI, l’agence chargée des amendes, indique qu’elle n’envoie jamais de SMS et que les amendes réelles doivent être réglées sur amendes.gouv.fr. Les SMS suspects peuvent être signalés au 33700. Les utilisateurs sont invités à changer leurs mots de passe sur tout site où ils ont réutilisé ceux d’une plateforme de réservation de contrôle technique. Le croisement des modèles de véhicules avec les adresses postales pourrait également permettre à des voleurs d’identifier des véhicules précis.
