CTS Strasbourg : incident reconnu par la CTS, exfiltration de données d'environ 230 000 comptes clients du site

Le mercredi 28 octobre 2026, la Compagnie des Transports Strasbourgeois (CTS), qui exploite les tramways et les bus de l’Eurométropole de Strasbourg, a annoncé, dans un communiqué relayé par Ici, Cyberattaque.org et Clubic, avoir subi un piratage de son site internet, ce que sa notification aux clients, reproduite par Bonjour la fuite, décrit comme « une exfiltration de données concernant votre compte client, rendue possible par une utilisation illicite de notre site internet ». Le chiffre d’environ 230 000 comptes clients provient des trois médias. Selon Clubic, l’attaque aurait eu lieu dans la nuit du 18 au 19 octobre et aurait été repérée grâce à une sollicitation anormalement élevée de la base de données, alors que la notification de la CTS indique seulement une exfiltration « récemment » identifiée ; le communiqué lui-même n’ayant pas pu être consulté, le nombre de comptes repose sur les trois articles qui le relaient. La CTS reconnaît l’incident dans sa notification aux clients, ce qui justifie le statut confirmé.

Le chiffre de 230 000 est attribué à la CTS et correspond, d’après Clubic et Cyberattaque.org, à près de 40 % des comptes clients de l’opérateur. Il désigne des comptes et non des personnes, puisqu’un compte ne correspond pas forcément à un voyageur unique, et la CTS n’a pas indiqué le nombre de personnes distinctes concernées, de sorte qu’aucun chiffre de victimes n’est retenu ici. Aucune des sources consultées ne fait état d’une revendication, d’une mise en vente ou d’une diffusion des données, et la CTS déclare elle-même, selon Clubic, ignorer si elles ont été revendues ou publiées.

Les données exposées sont les noms et prénoms, les adresses et les identifiants des comptes (un identifiant Badgéo lié au compte selon Clubic), ainsi que les dates de naissance, liste que la notification de la CTS énumère (nom, prénom, date de naissance, adresse, identifiant du compte client). La CTS affirme que ni les mots de passe ni les coordonnées bancaires ne sont concernés, une indication relayée par les trois médias et qui n’a pas pu être vérifiée de façon indépendante. Ces informations suffisent à bâtir des messages d’hameçonnage crédibles, par exemple sur le renouvellement d’un abonnement Badgéo, une régularisation ou un remboursement, qui sont les scénarios cités par Clubic. En l’absence de mot de passe, elles ne permettent pas à elles seules de se connecter aux comptes. Cyberattaque.org rappelle par ailleurs que la CTS avait signalé en novembre 2024 des connexions frauduleuses à une centaine de comptes clients, obtenues avec des identifiants issus d’autres fuites, et précise qu’aucun lien n’est établi avec l’incident de 2026.

Sur le plan de la réaction, la CTS indique que l’exfiltration a été stoppée dès l’identification de l’incident, que la sécurité du site a été renforcée et que les clients concernés ont été prévenus par courriel. Selon sa notification, une déclaration de fuite de données a été effectuée auprès de la CNIL et une plainte va être déposée auprès du tribunal de Strasbourg, dont les sources consultées ne confirment pas encore le dépôt. Selon Clubic, son directeur général explique que les pirates ont utilisé une API sans altérer les serveurs et assure que les clients risquent surtout des courriels indésirables, une appréciation qu’il convient de nuancer au regard du risque d’hameçonnage ciblé.

Pour les clients de la CTS, la compagnie rappelle qu’elle ne demande ni transaction financière ni coordonnées bancaires par courriel : tout message se réclamant d’elle qui en réclame doit être ignoré, et les liens contenus dans un courriel ou un SMS évoquant un abonnement, un remboursement ou une vérification de compte ne doivent pas être ouverts. Les courriels suspects peuvent être signalés à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée.