Grand Paris Grand Est : faille sur la plateforme Wastreet utilisée par son prestataire SEPUR, e-mails et téléphones d'usagers des encombrants exposés

Le 5 novembre 2026, Cyberattaque.org et Bonjour la fuite ont rendu public un courriel de Grand Paris Grand Est, établissement public territorial qui regroupe 14 communes de Seine-Saint-Denis dont Noisy-le-Grand, Montreuil, Rosny-sous-Bois, Neuilly-sur-Marne et Gagny. Le message est adressé aux habitants qui ont utilisé le service de prise de rendez-vous pour la collecte des encombrants et signé de la déléguée à la protection des données : une faille de sécurité a été détectée le 28 septembre 2026 sur la plateforme Wastreet, que le prestataire SEPUR emploie pour gérer ce service, et elle a permis à un tiers non autorisé d’accéder à certaines données d’utilisateurs. La capture du courriel constitue la source primaire de cette fiche, Cyberattaque.org affirmant avoir obtenu une copie du même message.

Selon ce courriel, les données concernées sont principalement l’adresse électronique et le numéro de téléphone. L’établissement précise qu’aucune adresse postale ni donnée d’état civil (nom, prénom) n’est en cause et qu’aucun autre service de SEPUR ou de Wastreet n’est touché. La faille a été corrigée, des mesures de renforcement ont été prises et les mots de passe concernés ont été réinitialisés. La gravité est retenue à « modérée » : selon l’établissement, le périmètre se limite à un service ponctuel et à deux coordonnées de contact, sans donnée sensible, ce qui n’empêche pas leur usage pour des messages frauduleux ; le niveau serait à revoir si le nombre d’usagers se révélait élevé.

L’incident touche une plateforme employée par le prestataire, et l’établissement indique l’avoir notifié à la CNIL et en assurer le suivi avec SEPUR. Aucune recherche ne retrouve d’autres collectivités clientes de SEPUR ou de Wastreet ayant notifié cet incident, et ni publication de données ni campagne de fraude liée n’est rapportée à ce jour. Les sources consultées ne disent pas si Wastreet appartient à SEPUR ou à un éditeur tiers, et une fiche au nom du prestataire n’est pas justifiée à ce stade. L’attaquant, la méthode, la durée de l’exposition et le nombre d’usagers restent inconnus.

Les usagers du service peuvent réinitialiser leur mot de passe lors de leur prochain rendez-vous et le changer partout où ils l’avaient réutilisé. Un courriel, un SMS ou un appel qui évoque la collecte des encombrants, la mairie ou SEPUR et réclame un mot de passe, un paiement ou un code doit être ignoré, puisque l’établissement et SEPUR affirment ne jamais demander de mot de passe. Les SMS et appels suspects se signalent au 33700, les courriels à Signal Spam, et le délégué à la protection des données répond aux questions à l’adresse dpo@grandparisgrandest.fr.