Autosur (SECTA) : incident reconnu dans une cinquantaine de centres, 798 502 lignes de clients revendiquées par un pirate

Le samedi 31 octobre 2026 à 21 h 38, un acteur que Cyberattaque.org désigne sous le pseudonyme ChimeraZ a publié sur un forum cybercriminel l’annonce de vente d’une extraction de 248 Mo attribuée à Autosur, l’un des principaux réseaux français de contrôle technique automobile (plus de 900 centres selon Cyberattaque.org), détenu par la Société Européenne de Contrôle Technique Automobile (SECTA). L’annonce a été relevée le soir même par Cyberattaque.org et par Fuites Infos. Le dimanche 1er novembre, le délégué à la protection des données de SECTA a confirmé par écrit un incident de cybersécurité touchant environ cinquante centres, mentionnant l’isolement du système dès la détection, la notification à la CNIL et le dépôt d’une plainte. Cette réponse écrite est rapportée par Fuites Infos et reprise par Cyberattaque.org : les deux articles relaient une même source, la réponse de SECTA, qui porte sur un incident reconnu et non sur la base mise en vente. Les informations disponibles ne permettent pas d’établir la date de l’intrusion ni ses circonstances techniques.

Les chiffres de l’annonce viennent uniquement du pirate : 798 502 lignes réparties en deux fichiers JSONL, qu’il dit correspondre à 615 233 personnes, avec 392 175 numéros de téléphone distincts, 144 689 adresses e-mail distinctes et 1 354 adresses postales uniques. SECTA ne confirme pas que ces fichiers proviennent de l’incident qu’elle reconnaît, ne donne aucun nombre de personnes et ne mentionne pas la base mise en vente, de sorte que Fuites Infos juge le lien entre l’annonce et l’incident, comme le volume annoncé, non vérifiés. L’écart entre « une cinquantaine de centres » et près de 800 000 lignes n’a pas d’explication établie : les 1 000 lignes examinées par Cyberattaque.org (deux échantillons de 500) portent toutes l’identifiant « ancier », commune de Haute-Saône où se trouve un centre Autosur, ce qui évoque soit le système d’un seul établissement, soit une plateforme mutualisée hébergeant un environnement par centre, hypothèse que le chiffre de cinquante centres rend plus plausible sans la démontrer. Rien ne permet d’affirmer que le centre d’Ancier figure parmi les cinquante, ni de savoir si les autres lignes concernent d’autres établissements. Dans l’échantillon, on compte 997 noms et 921 prénoms renseignés, 827 numéros de téléphone (796 valeurs distinctes) et 130 adresses e-mail (127 distinctes), avec des identités qui reviennent plusieurs fois, ce qui confirme qu’un nombre de lignes ne vaut pas un nombre de clients.

Selon les deux analyses, les fiches ressemblent à des données de contact ou de gestion de clientèle : identités, téléphones, parfois adresses e-mail, identifiants clients et références techniques. Ni Cyberattaque.org ni Fuites Infos n’ont relevé d’adresse postale complète, de plaque d’immatriculation, de donnée bancaire ou de mot de passe dans leurs échantillons, ni de résultat de contrôle technique, mais ces constats ne valent que pour 1 000 lignes et ne préjugent pas du contenu des fichiers complets. Le risque principal est celui des SMS et appels frauduleux ou de l’hameçonnage : un message citant le nom de l’automobiliste et un centre de contrôle technique paraît crédible lorsqu’il annonce une échéance de visite, un faux rendez-vous ou un règlement à effectuer, et les données peuvent être recoupées avec d’autres fichiers en circulation.

Autosur avait déjà reconnu en mars 2025 un accès non autorisé à des données de clients, décrit dans la fiche Autosur et Diagnosur : fuite de données clients, qui portait notamment sur des plaques d’immatriculation et des données de véhicules. L’incident de 2026 se distingue par la date de révélation (octobre 2026 contre mars 2025) et par le contenu des échantillons, sans plaque ni donnée de véhicule, mais aucune source ne permet de dire si les fichiers actuellement mis en vente proviennent de l’incident de 2025, de celui que reconnaît SECTA ou d’une autre origine ; Cyberattaque.org écrit que la confirmation des cinquante centres ne démontre pas à elle seule un nouveau vol distinct de celui de 2025. Fuites Infos indique de son côté que la structure de l’échantillon diffère de celle des deux fuites antérieures déjà recensées chez Autosur, en mars 2025 et en juin 2026, cette dernière n’ayant pas pu être examinée ici faute d’accès à l’article complet.

Du côté de la réaction, SECTA fait état de mesures de détection et d’isolement des systèmes affectés, d’un renforcement de la sécurité, de la notification à la CNIL et d’une plainte, sans publier de communiqué public dans les sources consultées. Les personnes ayant fait contrôler un véhicule dans un centre Autosur peuvent se montrer prudentes face aux messages inattendus évoquant une visite, un rendez-vous ou un paiement, ne cliquer sur aucun lien de règlement et, en cas de doute, rappeler leur centre par ses coordonnées habituelles. Les courriels suspects peuvent être signalés à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée.