14 millions de plaques volées : que risquent les automobilistes ?
Près de 14 millions de plaques d'immatriculation et les coordonnées de 18 millions de personnes : c'est ce qu'un pirate affirme avoir dérobé chez Auto-Planning, un service de réservation de contrôles techniques. L'entreprise a confirmé l'intrusion, sans valider ces chiffres. Faux PV par SMS, doublettes, arnaques au faux garage : voici ce que risquent vraiment les automobilistes concernés, et les bons réflexes à adopter dès maintenant.
Que s'est-il passé chez Auto-Planning ?
L'alerte a été donnée le jeudi 29 octobre par le site spécialisé French Breaches. Ce jour-là, un pirate a mis en vente sur le dark web un fichier qu'il présente comme celui d'Auto-Planning et d'Auto-Controle-Paris, deux plateformes qui fournissent aux centres de contrôle technique leurs outils de prise de rendez-vous en ligne. Selon BFM Tech, le piratage a été confirmé par Auto-Planning, et la CNIL a été contactée, comme la loi l'impose en cas de fuite de données personnelles.
Les volumes, eux, restent ceux du pirate : près de 14 millions de plaques et 18 millions de personnes. Certains médias arrondissent à 15 millions de plaques, mais aucun chiffre n'a été vérifié de manière indépendante. Selon JeChange, Auto-Planning travaille avec plus de 450 centres, dont des enseignes comme Autovision, Autosur, Sécuritest, Dekra ou Norisko. Ce sont des clientes du prestataire : à ce stade, rien n'indique que leurs propres systèmes aient été piratés. Nous avions détaillé les premières revendications des pirates dans notre article sur la fuite de données revendiquée chez Auto-Planning.
Quelles données ont été volées ?
D'après BFM Tech, le fichier contiendrait, pour chaque rendez-vous, le nom et le prénom de l'automobiliste, son adresse e-mail, son numéro de portable, l'adresse IP utilisée pour réserver, ainsi que le nom et l'adresse du centre de contrôle choisi. S'y ajoutent, selon le pirate, 36 545 factures au format PDF, qui pourraient contenir des RIB, ainsi que des mots de passe, des documents internes et du code source, pour un total de 9 Go.
Prise isolément, une plaque d'immatriculation n'a rien de secret : elle se lit dans la rue. Le danger vient du croisement. Un même fichier relie un nom, un téléphone, un e-mail et un véhicule, et parfois un RIB. C'est exactement ce dont un escroc a besoin pour rendre un message crédible.
Que risquent les automobilistes dont les données ont été volées ?
Le premier risque, et de loin le plus probable, est l'hameçonnage. Un SMS qui vous appelle par votre nom, cite votre plaque et le centre où vous avez passé votre dernier contrôle inspire bien plus confiance qu'un message anonyme. JeChange relève déjà des textos du type « contrôle technique expiré » avec un lien de paiement à régler sous 48 heures, ou des « péages impayés » de quelques euros. Les variantes sont connues : fausse amende de l'ANTAI, faux frais de carte grise, faux rendez-vous à confirmer contre un acompte. Le but est toujours le même : récupérer votre numéro de carte bancaire.
Deuxième risque : la doublette, c'est-à-dire un véhicule qui roule avec une copie de votre plaque. La fuite ne la rend pas possible à elle seule, puisque n'importe quelle plaque se recopie dans un parking. Mais selon French Breaches, le fichier comprendrait aussi la marque et le modèle des véhicules, ce qui aide un faussaire à choisir une immatriculation portée par une voiture identique à la sienne. Le signe d'alerte est simple, comme le rappelle BFM Tech : recevoir des avis de contravention pour des infractions que vous n'avez pas commises.
Troisième risque : l'usurpation d'identité et la fraude sur le compte bancaire. Avec un nom, un téléphone et un RIB, un fraudeur peut tenter un prélèvement, se faire passer pour votre banque ou pour votre assureur, ou ouvrir des démarches en votre nom. Aucune des sources consultées ne signale de fraude à l'assurance liée à cette fuite, mais un faux conseiller qui connaît votre véhicule a toutes les cartes en main pour vous faire « régulariser » un contrat par téléphone.
Reste la revente. Une fois en circulation, ces fichiers sont copiés, recoupés avec d'autres fuites et revendus à d'autres escrocs. BFM Tech évoque aussi, par recoupement avec d'autres fichiers, un risque de repérage du domicile en vue d'un cambriolage. Les arnaques peuvent donc arriver dans plusieurs semaines, voire plusieurs mois.
Comment savoir si l'on est concerné ?
Il n'existe aucune liste publique, et aucun site sérieux ne propose de « vérifier » votre situation contre paiement. La règle de prudence est simple : si vous avez réservé un contrôle technique en ligne ces dernières années, en particulier en Île-de-France via Auto-Controle-Paris, considérez que vos coordonnées peuvent figurer dans le fichier. Si le risque est élevé, l'entreprise doit en principe prévenir directement les personnes touchées : un e-mail d'Auto-Planning est donc plausible. Lisez-le sans cliquer sur ses liens, et méfiez-vous de tout message qui s'en inspire pour vous demander de l'argent.
Que faire si vous recevez un SMS de faux PV ou de contrôle technique expiré ?
Ne payez rien et ne cliquez sur aucun lien. L'ANTAI l'écrit noir sur blanc : elle « n'envoie jamais de SMS ». Ses vrais e-mails viennent de l'adresse nepasrepondre_noreply@antai.gouv.fr, et les seuls sites officiels sont antai.gouv.fr pour consulter ou contester un avis, et amendes.gouv.fr pour payer. En cas de doute, tapez vous-même l'adresse dans votre navigateur et saisissez le numéro de l'avis : une amende inventée n'y apparaîtra pas.
Pour le contrôle technique, vérifiez la date limite sur votre dernier procès-verbal plutôt que sur un SMS. Comme le rappelle JeChange, l'amende pour contrôle périmé (135 euros) est dressée lors d'un contrôle routier : elle ne se règle jamais par un lien reçu par texto. Transférez les SMS suspects au 33700 et signalez les faux sites sur internet-signalement.gouv.fr. Si vous avez déjà saisi votre carte bancaire, appelez votre banque pour faire opposition sans attendre.
Changez aussi le mot de passe de votre compte de réservation, et partout où vous l'utilisiez. La fiche réflexe de Cybermalveillance.gouv.fr conseille d'activer la double authentification et, si votre RIB a pu fuiter, de prévenir votre banque pour qu'elle place le compte sous surveillance. Selon JeChange, un prélèvement non autorisé se conteste pendant 13 mois.
Que faire en cas de doublette de plaques ?
Si vous recevez une amende pour une infraction que vous n'avez pas commise, ne la payez pas : selon Service-Public, payer revient à reconnaître l'infraction. Déposez plainte contre X pour usurpation de plaque au commissariat ou à la gendarmerie. Pour une infraction relevée par radar, demandez la photo du flash et apportez-la au dépôt de plainte. Votre numéro est alors inscrit au fichier des objets et véhicules signalés.
Avec le récépissé de plainte, contestez l'avis dans les 45 jours (30 jours pour une amende forfaitaire majorée), en ligne sur le site de l'ANTAI ou par lettre recommandée. Vous pouvez aussi demander sur le site de l'ANTS une nouvelle carte grise avec un nouveau numéro : la démarche est gratuite sur présentation du récépissé, hors frais d'envoi, mais les nouvelles plaques restent à votre charge. Notre guide sur l'usurpation d'identité et l'ordre des démarches détaille la suite si l'escroc utilise aussi votre nom.
Quels recours contre l'entreprise ?
Si vous estimez que vos données n'ont pas été suffisamment protégées, Cybermalveillance.gouv.fr rappelle que vous pouvez déposer plainte auprès de la CNIL. En cas d'utilisation frauduleuse de vos informations, conservez toutes les preuves (captures d'écran, SMS, adresses des sites) et portez plainte, au commissariat, à la gendarmerie ou par écrit au procureur de la République. Une action de groupe, portée par une association agréée de consommateurs ou de défense de la vie privée, permet aussi de demander réparation à plusieurs.
Vous pouvez enfin demander à Auto-Planning quelles données il détient sur vous, et réduire votre exposition en ligne en faisant effacer celles qui traînent ailleurs : notre guide pour supprimer ses données personnelles d'internet donne les formulaires utiles. À ce stade, Auto-Planning n'a confirmé aucun volume : le nombre réel de personnes touchées reste à établir.
Photo : Artem Podrez / Pexels, licence Pexels.
