Auto-Planning : 18 millions de dossiers de contrôle technique visés

Auto-Planning, l'éditeur du logiciel de prise de rendez-vous utilisé par des centaines de centres de contrôle technique, serait victime d'une cyberattaque. Selon le site FrenchBreaches, qui recense les fuites de données en France, les fichiers revendiqués concerneraient environ 18 millions d'identités uniques et 13,9 millions de plaques d'immatriculation. Les pirates réclament 33 333 dollars, soit environ 30 000 euros, pour ne rien publier.

Ce que les pirates revendiquent

Auto-Planning affirme gérer la réservation de plus de 450 centres sous les enseignes Autovision, Autosur, Dekra ou Securitest. Les pirates disent détenir plus de 200 millions de lignes, dont près de 92 millions de rendez-vous pris depuis 2008. Une même fiche relierait le nom, l'adresse e-mail, le numéro de portable, la marque, le modèle et la plaque du véhicule, ainsi que la date et le centre du rendez-vous.

Ils revendiquent aussi 36 545 factures au format PDF, susceptibles de contenir des RIB, ainsi que des codes sources. Sur 572 empreintes de mots de passe examinées, 161 auraient été retrouvées en clair, le site recourant à l'algorithme MD5, jugé trop faible. FrenchBreaches reste prudent : les échantillons reçus montrent la nature des données sans prouver que tout a été copié.

Le site d'Auto-Planning et celui d'Auto Contrôle Paris auraient affiché un message signé « Operation GlassLodge », un nom qui ne correspond à aucun groupe connu. Il exige la somme sous 72 heures, faute de quoi les données seraient publiées.

Les précautions à prendre

Avec un nom, un numéro et une vraie plaque, un escroc peut envoyer une fausse amende très crédible. Méfiez-vous des SMS réclamant une contravention, des frais de carte grise ou une confirmation payante de contrôle technique. L'ANTAI rappelle qu'elle n'envoie jamais de SMS : une vraie amende se règle sur amendes.gouv.fr, en saisissant vous-même l'adresse, et un message suspect se transfère gratuitement au 33700. Si vous aviez créé un compte avec mot de passe sur un site de réservation, changez-le partout où vous l'avez réutilisé.

Auto-Planning n'a publié aucune communication officielle ni confirmé l'attaque, et les centres réellement touchés restent inconnus. Le RGPD impose à l'entreprise de prévenir la CNIL dans les 72 heures suivant la constatation d'une violation présentant un risque pour les personnes.