Auto-Planning : des pirates revendiqueraient une fuite de données massive
Des pirates affirment avoir dérobé une masse de données à Auto-Planning, un prestataire de réservation de contrôles techniques installé à Boulogne-Billancourt. La revendication, publiée le 29/10/2026, n'a pas été confirmée par l'entreprise. Si elle se vérifiait, des millions d'automobilistes pourraient recevoir de fausses amendes ou de faux rendez-vous.
L'affaire a été relayée par le site spécialisé FrenchBreaches et par cyberattaque.org. Les deux publications s'accordent sur un point essentiel : Auto-Planning n'a, à ce stade, ni confirmé ni démenti publiquement, et aucune communication officielle n'a été retrouvée. Il s'agit donc d'une revendication de pirates, pas d'un fait établi, et cet article en reprend les termes au conditionnel.
Auto-Planning est installé à Boulogne-Billancourt, dans les Hauts-de-Seine. Selon FrenchBreaches comme selon cyberattaque.org, la société propose depuis 2007 des solutions de réservation destinées aux professionnels et exploite le service Auto Contrôle Paris. Elle travaillerait avec plus de 450 centres de contrôle technique. FrenchBreaches ajoute que son activité toucherait aussi des garages et des auto-écoles.
Fuite chez Auto-Planning : êtes-vous concerné ?
Selon FrenchBreaches, les pirates évoqueraient « près de 18 millions de personnes ». Ce chiffre serait une estimation obtenue après dédoublonnage, et non un nombre de victimes confirmé. Le même site parle de 13,9 millions de plaques d'immatriculation, de plus de 200 millions de lignes de données et de 91,8 millions de rendez-vous.
De son côté, cyberattaque.org mentionne jusqu'à 18 millions de personnes et 14 millions de plaques. Les ordres de grandeur concordent donc, mais ils restent des affirmations des auteurs de l'attaque. Rien ne permet, pour l'instant, de vérifier de manière indépendante ces volumes.
Les données citées seraient particulièrement détaillées. D'après FrenchBreaches, on y trouverait le nom, le prénom, l'adresse postale, l'adresse e-mail, le téléphone mobile, la plaque d'immatriculation, la marque et le modèle du véhicule, la date et l'heure du rendez-vous ainsi que le centre visité. Certaines informations remonteraient à 2008. Les pirates revendiqueraient en plus des factures au format PDF, du code source et des identifiants.
Le point le plus sensible tient à la combinaison de ces éléments. Selon FrenchBreaches, une même fiche pourrait relier une personne identifiable à son numéro de téléphone. C'est exactement le type de matériau qu'exploitent les escrocs pour rendre un message crédible : ils connaissent le nom, le véhicule et parfois même le centre où le contrôle a eu lieu.
Sur le plan technique, les pirates disent avoir pris le contrôle de plusieurs serveurs et dégradé (« défacé ») les sites auto-planning.fr et auto-controle-paris.com. Toujours selon cyberattaque.org, le site d'Auto-Planning affichait un message de maintenance le 29/10/2026. La méthode d'intrusion, elle, n'est pas établie : aucune des deux sources ne permet de dire comment les assaillants auraient pénétré dans les systèmes.
Côté financier, FrenchBreaches rapporte une demande de rançon de 33 333 dollars, assortie d'une menace de publication sous 72 heures. Cyberattaque.org évoque lui aussi une demande de rançon, sans en indiquer le montant. Le site rappelle qu'un paiement ne garantit ni la suppression des données ni l'absence de diffusion ultérieure.
Une précision s'impose sur les enseignes. Cyberattaque.org cite Autovision, Autosur, Sécuritest, Dekra et Norisko comme des enseignes clientes du prestataire. Le site précise toutefois que « rien n'indique que leurs propres systèmes informatiques aient été piratés ». Il serait donc inexact d'écrire que ces réseaux sont touchés : seul le prestataire est visé par la revendication.
Reste la question que tout automobiliste se pose : comment savoir si l'on figure dans la base ? À notre connaissance, aucune des sources consultées ne mentionne de liste publique permettant de le vérifier. Les sites qui proposeraient de « vérifier » gratuitement ou contre paiement votre situation doivent donc être considérés avec la plus grande méfiance, et aucun service de ce genre ne mérite de règlement.
Le plus raisonnable consiste à attendre. Si la fuite était confirmée, l'entreprise serait appelée à informer les personnes concernées par e-mail. En attendant, toute personne ayant réservé un contrôle technique en passant par un centre ou un service lié à Auto-Planning peut simplement se considérer comme potentiellement exposée et rester vigilante. Ce type de dossier n'est pas isolé : les autres fuites de données revendiquées ces dernières semaines montrent que les mêmes mécanismes d'escroquerie reviennent à chaque fois.
Fausses amendes et faux rendez-vous : les réflexes anti-arnaque
Selon cyberattaque.org, le principal risque serait l'association d'une identité et d'un véhicule : faux rappels de contrôle technique, demandes de paiement frauduleuses, usurpation d'un garage. S'y ajoutent, par extension, les fausses amendes, qui circulent déjà en masse, et le risque d'usurpation d'identité. Le point commun de ces escroqueries est de jouer sur l'urgence et sur la peur d'une sanction. Un message qui cite votre véhicule et votre nom paraît légitime, d'où l'importance de réflexes simples.
Le premier réflexe concerne les amendes. Le seul site officiel de paiement est amendes.gouv.fr. La page d'accueil de l'ANTAI renvoie vers ce site sécurisé de télépaiement. Selon Que Choisir, l'ANTAI n'envoie pas de SMS pour demander le paiement d'une amende, sauf paiement immédiat devant un agent. Un texto réclamant un règlement immédiat par lien est donc, par principe, suspect.
Les escrocs multiplient aussi les faux sites qui imitent le domaine officiel. Des adresses comme « amendes-gouv.org » ou « dossier-antai-gouv.info » sont citées comme non officielles. Avant de cliquer, mieux vaut ouvrir soi-même le navigateur et saisir l'adresse officielle plutôt que de suivre un lien reçu. Pour vérifier une amende, il suffit d'entrer le numéro d'avis sur le site officiel : si l'amende est fausse, elle n'apparaît pas dans le dossier.
Ce phénomène ressemble à celui du spoofing téléphonique, où les escrocs falsifient l'identité de l'appelant pour inspirer confiance. Dans les deux cas, la parade est la même : ne jamais rappeler un numéro ni cliquer sur un lien fournis par le message, et passer par les canaux officiels que l'on retrouve soi-même. Un faux rendez-vous de contrôle technique obéit à la même logique et doit être vérifié directement auprès du centre.
Si un message douteux arrive, il faut le signaler. Selon Cybermalveillance.gouv.fr, les SMS suspects se signalent au 33700, les e-mails frauduleux via Signal Spam et les faux sites via Phishing Initiative, qui peut faire bloquer l'adresse. Le même dispositif conseille, si l'on a donné des informations, de changer ses mots de passe et de déposer plainte. Ces démarches protègent les autres internautes et aident à faire fermer les sites frauduleux plus rapidement.
En cas d'erreur, il ne faut pas rester seul. Si vous avez cliqué sur un lien et saisi vos coordonnées de carte bancaire, faites opposition sans attendre auprès de votre banque. Pensez aussi à réduire votre exposition en ligne en demandant l'effacement de vos données quand c'est possible. Plus la réaction est rapide, plus les dégâts financiers peuvent être limités.
En résumé, la prudence prime tant que l'ampleur réelle de l'incident n'est pas connue. Les chiffres avancés restent ceux des pirates, et Auto-Planning n'a pas encore pris la parole. Les automobilistes n'ont pas d'outil officiel pour savoir s'ils sont concernés, mais ils peuvent appliquer dès maintenant les bons gestes : ne payer aucune amende par SMS, passer uniquement par amendes.gouv.fr, ne régler aucun service de vérification et attendre un éventuel message d'information de l'entreprise si la fuite était confirmée.
Photo : Benoît Prieur, CC0, via Wikimedia Commons (centre de contrôle technique, Lyon ; plaque floutée) (page source)
.jpg){kind=link}