18 millions de personnes et près de 14 millions de plaques d’immatriculation seraient concernées par un vol de données d’une ampleur rare en France. La donnée, pourtant sensible, que les conducteurs ont pris l’habitude de fournir à chaque démarche officielle, a été mise à mal par une entreprise française que personne ne connaît.
Auto-Planning en ligne de mire
C’est le site spécialisé French Breaches qui a révélé l’affaire. La cible s’appelle Auto-Planning, une entreprise de Boulogne-Billancourt qui développe depuis 2007 des outils de prise de rendez-vous pour les centres de contrôle technique, les garages et les auto-écoles. Son nom ne dit rien au grand public, mais la société collabore régulièrement avec plus de 450 centres, dont des établissements affiliés aux grands réseaux comme Autovision, Autosur, Sécuritest, Dekra ou Norisko. Son service Auto-Contrôle-Paris permet par ailleurs de réserver un passage dans de nombreux centres franciliens.
Le butin revendiqué donne le vertige. Plus de 200 millions de lignes, près de 92 millions de rendez-vous, environ 13,9 millions de plaques et quelque 18 millions d’identités uniques, selon les éléments transmis à French Breaches. On y trouverait les noms, adresses postales, mails et numéros de téléphone des clients, mais aussi la marque et le modèle de leur véhicule, la date et l’heure de leurs rendez-vous, le centre fréquenté et l’adresse IP utilisée lors de la réservation. Côté entreprise, les pirates évoquent 36 545 factures au format PDF susceptibles de contenir des RIB, des codes sources et des identifiants d’accès.
Baptisée « Operation GlassLodge », l’attaque s’accompagne d’une demande de rançon de 33 333 dollars, avec un ultimatum de 72 heures avant publication. D’après BFMTV, Auto-Planning a confirmé le piratage et les deux plateformes ont saisi la Cnil, comme la loi l’impose. Reste que l’ampleur exacte de l’attaque n’a pas été vérifiée, rendant pour le moment impossible la moindre estimation en terme de dégâts réels.
Pourquoi c’est problématique ?
Une plaque d’immatriculation seule ne vaut pas grand-chose. Elle est affichée à l’arrière de chaque voiture, à la vue de tout le monde. Ce qui rend la fuite dangereuse, c’est le croisement des données. Une plaque associée à un nom, une adresse, un numéro de portable et un modèle de voiture devient beaucoup plus intéressante pour les pirates.
Premier risque, le plus probable : le phishing ciblé. Les faux SMS d’amende ANTAI ou de régularisation de carte grise inondent déjà les smartphones. Avec ces données, le message pourra citer le vrai nom du destinataire, le modèle exact de sa voiture et le centre où il a passé son dernier contrôle, rendant l’arnaque beaucoup plus crédible.
Deuxième risque : l’usurpation d’identité. Pour cloner une plaque sans se faire repérer, un fraudeur a tout intérêt à l’apposer sur un véhicule de même marque et de même modèle. Le phénomène n’a rien de marginal : il y a une dizaine d’années, l’Assemblée nationale estimait déjà à 400 000 le nombre de véhicules victimes d’usurpation, pour un coût de 200 millions d’euros par an. Viennent ensuite les prélèvements frauduleux rendus possibles par des RIB dans la nature, et le repérage en vue d’un cambriolage. Quant aux mots de passe, ils étaient protégés par l’algorithme MD5, réputé obsolète depuis des années. Si vous avez pour habitude de réutiliser le même mot de passe, mieux vaut le changer, et vite.