La CTS, qui gère les trams et bus de Strasbourg, confirme le vol des données de 230 000 comptes

Le mercredi 28 octobre, la Compagnie des transports strasbourgeois (CTS), qui exploite les trams et les bus de Strasbourg, a annoncé que des données de ses clients avaient été copiées depuis son site internet. Les clients concernés ont été informés. Selon un communiqué consulté par ICI Alsace et repris par franceinfo, environ 230 000 comptes clients sont concernés.

D'après les reprises de ce communiqué, les données volées sont les noms, dates de naissance, adresses postales et identifiants de compte. La CTS affirme que les mots de passe et les coordonnées bancaires ne sont pas touchés. Le site spécialisé cyberattaque.org évalue la part des comptes touchés à environ 40 % du total. France 3 Grand Est donne le même ordre de grandeur : la CTS compte près de 586 000 comptes clients, et la fuite concerne près de 4 comptes sur 10.

Comment les données sont-elles sorties ?

La CTS parle d'une exfiltration, c'est-à-dire d'une copie des données vers l'extérieur, permise par une utilisation illicite de son site. « Dès que l'incident a été identifié, l'exfiltration a été stoppée et la sécurité autour du site a été intensifiée », indique la compagnie, citée par franceinfo. Elle a signalé l'incident à la CNIL et, selon ICI Alsace, une plainte doit être déposée auprès du tribunal de Strasbourg.

Plusieurs questions restent ouvertes. La CTS n'a pas nommé de responsable. Son directeur général, Emmanuel Auneau, a toutefois précisé, selon Clubic, que l'attaque s'est produite dans la nuit du dimanche 18 au lundi 19 octobre. Aucune revendication ni mise en vente des données n'a été repérée à ce stade. Enfin, un compte ne correspond pas forcément à une personne : le nombre exact de voyageurs touchés n'est pas connu.

Ce n'est pas la première alerte pour l'opérateur. En novembre 2024, une centaine de comptes avaient fait l'objet de connexions frauduleuses, avec des identifiants volés sur d'autres sites. Aucun lien entre les deux affaires n'a été établi.

Pourquoi ces données restent dangereuses

Sans mot de passe ni numéro de carte, la fuite peut sembler bénigne. Elle ne l'est pas tout à fait. Un nom, une adresse et une date de naissance suffisent pour rédiger un message très crédible au nom de la CTS : faux renouvellement d'abonnement, remboursement à réclamer, prélèvement rejeté. C'est le risque déjà signalé après d'autres vols de fichiers, comme à la Fédération française de voile.

Les bons réflexes pour les clients de la CTS

• Méfiez-vous de tout message (courriel, SMS, appel) au nom de la CTS qui demande des coordonnées bancaires ou un paiement. La compagnie elle-même appelle à la vigilance sur ce point.
• Ne cliquez pas sur les liens d'un message douteux. Passez par le site officiel ou l'application de la CTS pour vérifier votre compte.
• Si vous utilisez le même mot de passe sur d'autres sites, changez-le par précaution, même si la CTS le dit non concerné. Activez la double authentification là où elle existe.
• Un message qui connaît votre date de naissance n'est pas une preuve d'authenticité : c'est justement la donnée qui a fuité.

Reste à savoir qui a vidé ce fichier, et si les données réapparaîtront sur un forum de revente. Selon Clubic, la CTS ne sait pas encore si elles ont été revendues ou diffusées.