Le Code by DEKRA : incident chez un sous-traitant le 20 octobre, comptes de candidats à l'examen du code concernés (NEPH et résultats selon Fuites Infos)

Le Code by DEKRA, plateforme de réservation et de passage de l’examen théorique du code de la route et du code bateau exploitée par DEKRA (plus de 300 centres d’examen), aurait informé ses candidats, selon Fuites Infos, qu’un incident de sécurité avait touché le 20 octobre 2026 les systèmes d’un sous-traitant. Fuites Infos, qui rapporte cette notification le 4 novembre en la classant « confirmée par l’entreprise », cite pour source le blog de l’auto-école Ludic Conduite (Sarthe), qui avait signalé publiquement le 27 octobre un problème de réservation de sessions attribué à des cyberattaques. La notification elle-même n’est publiée par aucune des sources consultées (ni capture, ni page de DEKRA, ni billet encore visible sur le blog de l’auto-école, ni capture de Bonjour la fuite), si bien que la fiche reste au statut allégué tant qu’un document primaire n’est pas retrouvé. Cyberattaque.org reprend le dossier le 5 novembre, sans citer de communiqué de DEKRA, et ne nomme que cette seule auto-école malgré un titre évoquant plusieurs établissements.

Les deux sources divergent sur les données. Fuites Infos liste le nom, le prénom, la date de naissance, l’adresse électronique, le téléphone, les numéros NEPH et OEDIPP, les résultats d’examen et le mot de passe du compte, que l’entreprise dirait chiffré sans en préciser la méthode ; Cyberattaque.org retient le nom, la date de naissance et un mot de passe dont on ignore s’il est chiffré, haché ou lisible, et ne confirme ni le NEPH, ni les résultats, ni les données bancaires. L’adresse postale, les pièces d’identité et les paiements ne sont ni confirmés ni écartés. Le Code by DEKRA a, selon Fuites Infos, réinitialisé les mots de passe, sécurisé son infrastructure, notifié la CNIL et déposé plainte, sans dater ces démarches, et aucun pirate ni aucune vente n’est signalé.

DEKRA Automotive a notifié le 2 novembre à ses clients du contrôle technique un incident daté du même 20 octobre chez un sous-traitant non nommé. Les deux notifications sont distinctes et aucune source consultée n’établit qu’il s’agit du même prestataire ni de la même intrusion ; Cyberattaque.org écrit qu’aucune preuve technique publique n’indique une compromission, un prestataire ou un auteur communs. La sévérité est qualifiée d’élevée : le numéro NEPH identifie le dossier de permis d’un candidat, mais aucun document d’identité ni donnée bancaire n’est établi et le nombre de candidats est inconnu.

Les candidats ayant un compte Le Code by DEKRA changent leur mot de passe, ainsi que celui de tout autre service où ils l’ont réutilisé, et activent la double authentification quand elle existe. Des messages se faisant passer pour Le Code, une auto-école ou la préfecture et citant un numéro NEPH ou un résultat d’examen paraissent crédibles : mieux vaut passer par le site officiel que par un lien reçu, ne jamais communiquer de code reçu par SMS, et signaler les courriels à Signal Spam et les SMS ou appels au 33700. L’assistance gratuite de cybermalveillance.gouv.fr reste ouverte en cas d’usurpation d’identité.