Un pirate dit vendre 1,1 million de plaques d'immatriculation et des adresses de clients de MPA

Le 1er novembre 2026, à 14 h 27, un pirate qui signe ChimeraZ met en vente 3,1 gigaoctets de données. Il les attribue à MPA Group, un imprimeur installé à Marsannay-la-Côte, près de Dijon, qui vend en ligne des plaques d'immatriculation, des autocollants et des plaques funéraires. C'est l'observatoire Cyberattaque.org qui a repéré l'annonce et en a analysé un extrait.

Le vendeur revendique 3 824 749 enregistrements, dont 1 133 713 numéros de plaques distincts, plus d'1,5 million d'adresses e-mail, environ un million de numéros de téléphone et près de 970 000 empreintes de mots de passe. Il affirme que 1 713 120 clients seraient touchés. Parmi les sites cités figurent plaque-immatriculation-auto.com, mpadeco.com, mpa-pro.fr et e-mmat.fr. À ce stade, MPA n'a pas confirmé l'incident publiquement.

Que montre l'extrait analysé ?

Cyberattaque.org a examiné 3 000 lignes provenant de trois fichiers. Sur 1 000 commandes, 600 contiennent au moins une référence de plaque, certaines personnalisées. Sur 1 000 factures, 562 associent une plaque au nom et à l'adresse du destinataire. Presque toutes les commandes (996 sur 1 000) comportent une valeur compatible avec une empreinte SHA-256, une fonction de hachage qui, utilisée seule, n'est pas jugée adaptée au stockage des mots de passe.

Les commandes s'étalent de 2016 au 19 octobre 2026 : il ne s'agirait donc pas d'une vieille base oubliée. Mais un échantillon ne prouve pas le total annoncé, et la date de l'intrusion reste inconnue. Autre nuance : l'acheteur d'une plaque n'est pas forcément le titulaire de la carte grise.

Le même pirate, troisième fichier en moins de dix jours

ChimeraZ n'en est pas à son coup d'essai. Le 24 octobre, il revendiquait environ 847 000 plaques, sans nommer le site d'origine. Le 31 octobre, il annonçait 2,9 millions d'immatriculations françaises liées à des données personnelles. Cyberattaque.org déconseille d'additionner ces chiffres, car les fichiers peuvent se recouper et leur origine n'est pas établie.

Les arnaques à prévoir

Un numéro de plaque associé à une adresse vaut cher pour un escroc. Aucun usage frauduleux de ce fichier n'est démontré à ce jour, mais les risques sont connus :

• fausses amendes par SMS ou e-mail citant votre vraie plaque : l'Antai ne demande jamais de payer via un lien reçu par SMS, passez par le site officiel ;
• doublettes : une plaque clonée posée sur un autre véhicule peut vous valoir des avis de contravention pour des infractions que vous n'avez pas commises ; dans ce cas, portez plainte et contestez l'amende auprès de l'Antai, sans la payer ;
• mots de passe : si vous avez un compte sur l'un de ces sites, changez le mot de passe, et partout ailleurs où vous l'auriez réutilisé.

Ce que MPA dira, ou ne dira pas, de l'origine de ces données sera la prochaine étape à suivre.