Des pirates disent avoir volé les rendez-vous de contrôle technique pris sur Auto-Planning

Le 29 octobre, le site d'Auto-Planning affichait un message de maintenance. Auparavant, selon l'observatoire FrenchBreaches, des pirates avaient remplacé la page d'accueil d'auto-planning.fr et celle d'auto-controle-paris.com par un message revendiquant le vol de ses données.

Installée à Boulogne-Billancourt, Auto-Planning édite depuis 2007 un logiciel de prise de rendez-vous en ligne pour les garages, les auto-écoles et surtout les centres de contrôle technique. L'entreprise dit travailler avec plus de 450 centres, y compris des affiliés des grands réseaux du secteur. Rien n'indique que les systèmes de ces réseaux aient eux-mêmes été touchés.

Que disent détenir les pirates ?

Les attaquants affirment détenir des données sur jusqu'à 18 millions de personnes et environ 14 millions de plaques d'immatriculation. FrenchBreaches, qui dit avoir reçu des statistiques et des extraits, évoque plus de 200 millions de lignes et environ 92 millions de rendez-vous, dont certains remonteraient à 2008.

Les extraits montreraient des noms, adresses e-mail, numéros de mobile, marques et modèles de véhicules, plaques, détails des rendez-vous, centres visités et adresses IP. Les pirates disent aussi avoir pris des factures, du code source et des accès. Ils réclament 33 333 dollars sous 72 heures, faute de quoi ils menacent de tout publier.

Ces chiffres sont à prendre avec prudence. Un nombre de lignes n'est pas un nombre de personnes, et le chiffre de 18 millions est une estimation après dédoublonnage, pas un décompte officiel. FrenchBreaches souligne lui-même que les échantillons ne prouvent pas que tout le volume annoncé a été volé. L'observatoire Cyberattaque.org précise, lui, que les catégories exactes de données compromises n'ont pas pu être vérifiées de façon indépendante. Au 29 octobre, Auto-Planning n'avait publié aucune déclaration.

Les bons réflexes si vous avez pris rendez-vous en ligne

Même partielle, une telle base est précieuse pour les escrocs : elle relie une personne, un téléphone et un véhicule. De quoi rédiger un SMS de « rappel de contre-visite » ou de « pénalité de retard » très crédible.

• Méfiez-vous des SMS ou e-mails qui citent votre plaque ou votre dernier contrôle et demandent un paiement : un centre de contrôle technique ne réclame pas d'amende par message.
• En cas de doute, appelez directement le centre, avec le numéro trouvé par vous-même.
• Si vous aviez créé un compte avec un mot de passe réutilisé ailleurs, changez-le sur les autres services.

Le précédent du fichier des animaux I-CAD l'a montré : une revendication massive peut se révéler en partie exagérée, ou au contraire bien réelle. La réponse viendra d'Auto-Planning, ou de l'expiration de l'ultimatum.