Attention aux fausses amendes : 18 millions de dossiers de contrôle technique auraient fuité

Si vous avez réservé un contrôle technique en ligne ces dernières années, votre rendez-vous est peut-être passé par Auto-Planning. Cette société française, qui dit sur son site gérer la réservation de plus de 450 centres de contrôle technique sous les enseignes Autovision, Autosur, Dekra ou Securitest, aurait été piratée. L’information a été publiée ce jeudi 29 octobre par FrenchBreaches, un site qui recense les fuites de données en France. Les pirates disent détenir plus de 200 millions de lignes, dont près de 92 millions de rendez-vous pris depuis 2008, où une même fiche peut relier un nom, un numéro de portable, une plaque et le centre fréquenté.

FrenchBreaches dit avoir reçu des statistiques détaillées, des listes d’établissements et des échantillons de données personnelles. Le site reste prudent, car ces échantillons montrent la nature des informations exposées sans prouver que tout a bien été copié. Auto-Planning n’a de son côté publié aucune communication officielle. En octobre, cette fuite revendiquée s’ajoute aux dossiers de 1,2 million d’allocataires de la CAF mis en vente le 9 octobre, et au piratage de Solutions30, le sous-traitant qui installe la fibre d’Orange et de Bouygues Telecom. Le schéma est le même : il suffit de pirater un seul prestataire pour exposer les clients de toutes les entreprises qui lui confient leurs fichiers.

Des fiches qui relient nom, téléphone, plaque et rendez-vous

Les fichiers contiendraient environ 18 millions d’identités uniques, un chiffre obtenu après suppression des doublons, et 13,9 millions de plaques d’immatriculation. Il s’agit d’une estimation, sans aucune confirmation officielle. Elle colle pourtant avec le rythme du contrôle technique. Un automobiliste y retourne tous les deux ans, ce qui explique qu’on compte cinq fois plus de rendez-vous que de personnes. Un fichier transmis au site recense aussi 791 centres et 37,2 millions de rendez-vous actifs, avec en tête TESA Autosur Clamart (262 403 rendez-vous) et TESA Autosur Paris 17 (246 685).

Un second fichier liste 694 noms de domaine, surtout des sites de centres de contrôle technique, mais aussi de garages. Leur présence dans la liste ne veut pas dire que leur site a été piraté. Ce qui inquiète, c’est surtout le contenu des échantillons examinés, qui portent notamment sur des Fiat 500 et des Hyundai Tucson :

• le nom et le prénom de l’automobiliste ;
• son adresse e-mail et son numéro de portable ;
• la marque, le modèle et la plaque de sa voiture ;
• la date, l’heure et le centre du rendez-vous ;
• l’adresse IP utilisée pour réserver.

Factures, RIB et mots de passe mal protégés

Les pirates ne s’arrêtent pas aux rendez-vous. Ils revendiquent aussi 36 545 factures au format PDF, des archives qui pourraient contenir des RIB, des codes sources et des accès à certains services. Sur 572 empreintes de mots de passe examinées (la version brouillée que le site stocke à la place du mot de passe), 161 auraient été retrouvées en clair. Le site signale l’usage de MD5, un algorithme du début des années 1990 aujourd’hui jugé trop faible pour protéger des mots de passe.

Le site d’Auto-Planning et celui d’Auto Contrôle Paris, édité par la même société d’après ses mentions légales, auraient affiché un message des pirates. On parle de défaçage : quelqu’un modifie sans autorisation la page visible d’un site pour y afficher sa revendication. Signé « Operation GlassLodge », un nom qui ne correspond à aucun groupe connu, le message réclame 33 333 dollars, soit environ 30 000 euros, sous 72 heures. Sinon, les données seront publiées. Les pirates proposent même d’aider Auto-Planning à corriger les failles qu’ils disent avoir exploitées, sans préciser lesquelles.

Rien ne permet à ce stade de relier l’attaque à la faille PHP qui a déclenché des millions de tentatives de piratage repérées par Cloudflare ces derniers jours. Par contre, Auto-Planning a lui aussi un compte à rebours. Le RGPD lui impose de prévenir la CNIL dans les 72 heures après avoir constaté une violation qui présente un risque pour les personnes.

Pour aller plus loin
Quels sont les meilleurs gestionnaires de mots de passe en 2026 ?

Ce qu’il faut surveiller si vous avez réservé un contrôle technique en ligne

Avec un nom, un numéro de téléphone et la vraie plaque d’une voiture, un escroc peut envoyer une fausse amende très crédible. Méfiez-vous donc des SMS qui réclament le paiement d’une contravention, des frais de carte grise ou la confirmation payante d’un contrôle technique. L’ANTAI, l’agence qui gère les amendes, rappelle qu’elle n’envoie jamais de SMS. Une vraie amende se paie sur amendes.gouv.fr, en tapant vous-même l’adresse, et un SMS suspect se transfère gratuitement au 33700.

Si vous aviez créé un compte avec un mot de passe sur un site de réservation de contrôle technique, changez ce mot de passe partout où vous l’avez réutilisé. En croisant le modèle de la voiture avec l’adresse postale, des voleurs pourraient aussi repérer des véhicules précis. À l’heure où nous écrivons, Auto-Planning n’a pas confirmé l’attaque et n’a pas prévenu les automobilistes. On ne sait pas encore quels centres sont réellement touchés.