Contrôle technique : des pirates revendiquent 14 millions de plaques chez Auto-Planning

Le 28 octobre 2026, la page d’accueil des sites d’Auto-Planning a laissé place à une demande de rançon. Cette plateforme de prise de rendez-vous pour le contrôle technique a été piratée. D’après L’Automobiliste, une seconde plateforme, Auto-Controle-Paris, a aussi été visée. Les auteurs se font appeler « Operation GlassLodge ». Ils revendiquent près de 14 millions de plaques d’immatriculation et les données de 18 millions de personnes. Pour les automobilistes passés par ces sites, le principal risque est de recevoir de faux messages d’amende ou de rappel, rendus crédibles par leurs propres informations.

Auto-Planning est installée à Boulogne-Billancourt, dans les Hauts-de-Seine. Ce n’est pas un centre de contrôle : l’entreprise fournit aux centres un agenda de réservation en ligne. La taille de son réseau varie selon les sources : plus de 450 centres pour Mediaterranee et JeChange, 791 pour L’Informaticien. Le 30 octobre 2026, la société a confirmé le piratage à BFM Tech, sans en valider l’ampleur. Les deux plateformes ont saisi la Cnil, l’autorité chargée de la protection des données personnelles. La loi impose de la prévenir dans les meilleurs délais, si possible sous 72 heures après la découverte d’une fuite de données.

Ce que revendiquent les pirates

Le décompte diffère d’un média à l’autre : 200 millions de lignes de données pour L’Informaticien, plus de 220 millions pour Fuites Infos. Les pirates disent aussi détenir des données personnelles de clients, environ 36 500 factures et des relevés d’identité bancaire (RIB). Des mots de passe pourraient faire partie du lot. Un pirate a mis en vente sur le dark web un dossier d’environ 9 Go. Cette partie d’Internet, accessible seulement avec des logiciels particuliers, sert de marché aux données volées. Aucun de ces éléments n’a été vérifié à ce stade.

Le but affiché est l’extorsion. Les pirates réclament une rançon de 33 333 à Auto-Planning pour ne pas diffuser ni revendre les informations. Ils lui laissent 72 heures pour payer. La devise n’est pas la même partout : des euros pour L’Automobiliste et Econostrum, des dollars pour L’Informaticien et Fuites Infos. Le chantage vise l’entreprise, mais ce sont des automobilistes dont les données sont en jeu.

Le danger tient à cette position d’intermédiaire. L’Informaticien le résume : une intrusion chez un prestataire commun « pourrait exposer des informations provenant de nombreux centres ». Cela ne veut pas dire que chacun de ces centres a été piraté. Rien n’indique non plus que les systèmes des grandes enseignes clientes aient été touchés. Les personnes exposées restent avant tout les clients des centres qui passaient par ces plateformes.

Une autre base, sans lien établi

Une autre revendication circule depuis le 24 octobre 2026, sans lien établi avec Auto-Planning. D’après Assurland, un pirate qui signe ChimeraZ propose sur un forum une archive de 175 Mo comptant 905 097 lignes. Elle contiendrait 847 064 plaques distinctes, 506 003 adresses e-mail et 474 906 numéros de téléphone. Chaque plaque y serait rattachée à un nom, un prénom et une adresse postale. Le pirate évoque un « site vulnérable » sans le nommer. Rien ne met en cause le Système d’immatriculation des véhicules (SIV), le fichier tenu par l’État.

Fausse amende : le piège du SMS

Une plaque seule n’apprend pas grand-chose. Associée à un nom, à un téléphone et à un centre de contrôle, elle devient un appât. L’Informaticien prévient : « La nature des données exposées pourrait rendre particulièrement crédibles d’éventuels SMS de phishing ». Le phishing, ou hameçonnage, consiste à usurper l’identité d’un organisme connu pour soutirer un paiement ou des coordonnées bancaires. Les risques ne s’arrêtent pas là : L’Automobiliste cite aussi le repérage de véhicules à voler et le ciblage de logements à cambrioler.

Le scénario type tient en une ligne : « Votre contrôle technique a expiré, régularisez sous 48 h ». Il s’appuie sur une sanction qui existe bien : rouler avec un contrôle périmé est une contravention de 4e classe, soit 135 €. Mais la date limite du prochain contrôle figure sur le procès-verbal remis par le centre. Elle se vérifie donc sur ce papier, sans rien ouvrir. L’ANTAI, l’agence qui traite les amendes, n’envoie jamais de SMS : un tel message réclamant un paiement est frauduleux.

En cas de doute, ne cliquez sur aucun lien. L’ANTAI conseille de vérifier que tout lien ou code QR reçu mène bien à l’un de ses sites officiels, comme amendes.gouv.fr pour le paiement des amendes. Aucune administration ne vous demandera vos coordonnées bancaires ni vos mots de passe. Un SMS suspect se transfère au 33700, la plateforme de signalement des appels et SMS indésirables. Si vous aviez créé un compte sur ces plateformes, changez son mot de passe, surtout s’il sert sur d’autres sites. Surveillez aussi vos relevés bancaires dans les mois qui suivent.

Cette affaire rappelle celle du fichier I-CAD des chiens et chats : un fichier centralisé, une revendication non confirmée et des données propices à des escroqueries crédibles. Pour une TPE, un garage ou une association, nous retenons deux leçons. D’abord, ne collecter que les données nécessaires. Ensuite, demander à tout prestataire en ligne où il stocke les informations, combien de temps il les garde et comment il prévient ses clients en cas d’incident. Côté particuliers, un seul réflexe : vérifier toute demande de paiement sur le site officiel, jamais par un lien reçu.