SGS France (Auto Sécurité, Sécuritest, Vérif'Autos) : une base de 22,7 millions de personnes revendiquée, avec des accès de centres et des IBAN

Le dimanche 8 novembre 2026, une annonce publiée sur un forum cybercriminel a proposé à la vente une base présentée comme la partie française de SGS, groupe suisse d’inspection et de certification qui exploite en France les réseaux de contrôle technique Auto Sécurité, Sécuritest et Vérif’Autos. Fuites Infos a relevé l’annonce le jour même, avec un échantillon diffusé librement, et Cyberattaque.org en a tiré le 9 novembre trois articles distincts, un par enseigne, qui décrivent le même lot et attribuent la revendication à l’acteur ChimeraZ, que Fuites Infos ne nomme pas. Les trois enseignes sont citées ensemble dans la revendication et le vendeur, selon Cyberattaque.org, ne fournit aucune ventilation vérifiable entre elles ; la fiche traite donc une seule vente couvrant les trois enseignes. À la date de rédaction, SGS n’a pas confirmé l’incident, Fuites Infos écrit que le groupe n’a pas confirmé le piratage présumé et Cyberattaque.org n’a trouvé aucune confirmation officielle lors de ses recherches du 8 novembre. Les trois enseignes appartiennent au groupe SGS, selon le site controle-technique.sgs.com, qui annonce 2 000 centres (plus de 900 pour Auto Sécurité, plus de 1 000 pour Sécuritest, plus de 60 pour Vérif’Autos).

Les volumes proviennent de l’annonce, rapportés par Fuites Infos : environ 259 millions de lignes pour 96 Go, près de 4 000 centres, 90,8 millions de véhicules, 74,7 millions de contrôles techniques et 22,7 millions de personnes. Ces chiffres ne reposent sur aucune vérification, et le nombre de centres revendiqué est le double des 2 000 centres annoncés par SGS sur son site. Cyberattaque.org, qui a examiné des échantillons de 1 000 lignes, rappelle qu’un nombre de lignes ne correspond pas à un nombre de clients. Son échantillon de relations entre prestations et véhicules, daté d’octobre 2021 à octobre 2026 pour les services et remontant à 2008 pour la facturation, contient 904 lignes avec une fiche de personne, et le site ne tire de cet échantillon aucun chiffre propre à une enseigne.

Les échantillons décrivent trois familles de données, selon Cyberattaque.org et Fuites Infos. Les fiches clients associent identité, adresse postale, téléphone et adresse électronique à une plaque d’immatriculation, avec parfois un numéro de série, le kilométrage et l’historique des contrôles et des factures. Les fichiers de gestion des centres contiennent des identifiants et des mots de passe lisibles en clair ou hachés, des paramètres de connexion distante et des jetons : sur 1 000 entrées d’une table de centres, 549 portent un mot de passe de connexion distante et 287 blocs regroupent adresse, port, identifiant et mot de passe. Des coordonnées bancaires figurent enfin dans un ensemble imbriqué du fichier des centres, avec 276 IBAN à clé valide sur 282 entrées ; Cyberattaque.org précise que cette vérification ne prouve ni l’existence des comptes ni leur titulaire, et qu’aucun numéro de carte bancaire n’est établi. La sévérité est qualifiée de critique en raison de ces mots de passe exploitables et de ces IBAN, qui s’ajoutent au très grand volume revendiqué.

Les automobilistes qui ont passé un contrôle dans un centre Auto Sécurité, Sécuritest ou Vérif’Autos peuvent s’attendre à de faux rappels de contrôle technique, de fausses factures ou de faux messages de suivi de rendez-vous citant leur véhicule : en cas de message de ce type, ils vérifient l’expéditeur en passant par le site officiel de l’enseigne et ne communiquent jamais de code reçu par SMS ni de coordonnées bancaires. Les courriels frauduleux se signalent à Signal Spam, les SMS et appels au 33700, et cybermalveillance.gouv.fr propose une assistance gratuite ; un client qui a donné un mot de passe à un espace en ligne de l’enseigne le change partout où il l’a réutilisé. Les gérants de centres, dont des identifiants distants et des IBAN seraient exposés, remplacent les mots de passe de connexion distante, vérifient leurs prélèvements bancaires pendant treize mois et contestent tout débit non autorisé auprès de leur banque.