Le prestataire de réservation de contrôles techniques Auto-planning a été visé par une cyberattaque revendiquée par « Operation GlassLodge ». Les pirates affirment avoir dérobé 200 millions de lignes de données, touchant potentiellement 18 millions de personnes.

Auto-planning ne l’avait sans doute pas planifié… Une cyberattaque a touché ce prestataire spécialisé dans la réservation de contrôles techniques. Résultat, les acteurs de la menace, qui se sont baptisés « Operation GlassLodge », ont revendiqué le vol de 200 millions de lignes de données. Sont notamment concernés les noms, numéros de téléphone, plaques d’immatriculation ou encore les dates et horaires des rendez-vous.

72 heures pour payer

Au total, ce sont les données de quelque 18 millions de personnes et 14 millions de plaques d’immatriculation qui ont été potentiellement exposées, rapporte le site spécialisé French Breaches, qui répertorie, analyse et documente les fuites de données. « Les pirates réclament 33 333 dollars et menacent de publier les informations qu’ils disent détenir sous 72 heures. »

Une vaste attaque qui s’explique notamment par le large périmètre que couvre Auto-planning, avec 791 centres de contrôle technique. Un chiffre avancé par French Breaches après examen d’un fichier partagé par les pirates, qui recense 694 noms de domaine ou sous-domaines. « Cela ne signifie pas que tous ces établissements ont été piratés. En revanche, une intrusion chez un prestataire commun pourrait exposer des informations provenant de nombreux centres. »

Quels risques concrets pour les personnes exposées ?

La nature des données exposées pourrait rendre particulièrement crédibles d’éventuels SMS de phishing, qui demanderaient de confirmer un rendez-vous ou de régler une facture.

French Breaches craint aussi que le croisement des données ne permette de mettre sur pied des fraudes plus élaborées : fausses amendes de l’ANTAI (Agence nationale de traitement automatisé des infractions), arnaques à la carte grise, usurpations d’identité, voire vols de véhicules et cambriolages dans le cas où des adresses personnelles figureraient dans les données compromises.