Auto-Planning confirme un piratage et conteste le décompte des plaques

Auto-Planning, une société de Boulogne-Billancourt qui fournit des agendas de rendez-vous en ligne, a confirmé une attaque informatique. Elle l'a dit à la presse. Le 3 novembre 2026, son site public ne le disait pas. Les décomptes qui circulent, proches de 14 millions de plaques d'immatriculation et de 18 millions de personnes, viennent des pirates et du site d'alerte French Breaches. L'entreprise les conteste, sans publier son propre chiffre.

Une fuite, ici, désigne des données personnelles copiées ou lues par quelqu'un qui n'avait pas à y accéder. Une revendication est le récit des pirates. Ce récit peut être exact, partiel ou gonflé. Il ne devient un fait que lorsqu'une autre source le recoupe.

Ce que l'entreprise a dit à la presse

L'alerte est partie le 29 octobre 2026 de French Breaches, un site qui recense les fuites de données en France. Ce jour-là, Frandroid notait qu'Auto-Planning n'avait encore publié aucune communication. C'était exact ce matin-là.

Le 30 octobre, BFM écrit que le piratage a été « confirmé par Auto-Planning à BFM Tech ». La suite de la phrase est au conditionnel : l'attaque « concernerait » aussi des factures, des documents confidentiels, des codes sources, des relevés d'identité bancaire (les RIB, qui servent à un virement) et des mots de passe, pour 9 gigaoctets. Ce conditionnel veut dire que BFM ne présente pas cette liste comme validée par l'entreprise.

Le 2 novembre au soir, Le Parisien est plus net. Contactée, « l'entreprise confirme l'attaque informatique et affirme avoir averti la Cnil, comme la loi l'exige en cas de violation de données personnelles ». Elle « conteste les chiffres qui circulent sur plusieurs sites lanceurs d'alerte ». Le journal ne publie pas le chiffre de remplacement. Ouest-France, le même jour, écrit aussi que l'intrusion est confirmée. L'article est signé « Ouest-France avec NewsGene » et ne cite pas une déclaration nouvelle.

La CNIL, Commission nationale de l'informatique et des libertés, est l'autorité française qui veille au respect du RGPD, le règlement européen sur les données personnelles. Prévenir la CNIL, pour une entreprise, consiste à lui signaler une violation lorsqu'elle présente un risque pour les personnes. La CNIL demande ce signalement dans les meilleurs délais, si possible sous 72 heures après la constatation, quitte à le compléter ensuite. Ce signalement n'est pas public. Aucun texte lu ne dit que les clients ont déjà reçu un courriel ou un courrier d'Auto-Planning.

Le 3 novembre, la page d'accueil d'auto-planning.fr était en ligne. Elle ne parlait pas de l'attaque. Le site auto-controle-paris.com, aussi cité dans la revendication, affichait seulement « Maintenance en cours ». Une page en maintenance ne prouve pas qu'un message de pirates y a été affiché. French Breaches affirme que les mentions légales de ce second site désignent Auto-Planning comme éditeur. Ces mentions n'ont pas pu être lues ce jour-là.

Un logiciel de rendez-vous, derrière le nom du centre

Le nom Auto-Planning ne dit rien à la plupart des automobilistes. La réservation se fait sur le site du centre, du garage ou de l'auto-école. Le logiciel, lui, est celui du prestataire.

Les mentions légales présentent une SARL Auto-planning, immatriculée à Nanterre sous le numéro 502 783 814, dont l'activité déclarée est l'édition de logiciels. Le siège est au 102, rue du Dôme, à Boulogne-Billancourt. Le site se décrit comme spécialiste de la prise de rendez-vous sur le Web depuis 2007. Il vend un agenda en ligne, des sites, des rappels par SMS, un secrétariat téléphonique externalisé et des outils de visibilité.

La page Contrôle technique écrit : « À ce jour, plus de 450 centres de contrôle technique automobile nous font confiance ». Elle parle d'un « fonds de commerce digital multimarque » et cite Autovision, Autosur, Securitest, Dekra, Norisko, Autosécurité, Autosécuritas, Protechnologies, Autobilan systems et Autonormes. Avoir passé un contrôle dans une de ces enseignes ne signifie pas que le rendez-vous est passé par ce logiciel, ni que le réseau lui-même a été piraté. La page ne dit pas que chaque centre de ces marques est client. Elle ne publie pas la liste des établissements concernés par l'attaque.

Le même site a des pages Garages et Auto-écoles. La première décrit un planning d'atelier et des rappels de rendez-vous par SMS. La seconde parle de planification selon la disponibilité des moniteurs. Aucune des deux ne donne un nombre de clients. Le menu propose aussi les salons de coiffure et les instituts de beauté. La page coiffure date le premier client de ce secteur de 2013. Les fichiers décrits publiquement, eux, parlent de véhicules, de plaques et de centres. Rien, dans ces descriptions, ne montre des clients de salons ou d'instituts.

Les rappels par SMS font partie de l'offre. Un message qui parle d'un contrôle technique, d'une révision ou d'une leçon de conduite peut donc ressembler à un message habituel du centre.

Les chiffres qui circulent, et ceux qui ne circulent pas

Le Parisien attribue à French Breaches les volumes suivants : plus de 200 millions de lignes, près de 92 millions de rendez-vous, 18 millions d'identités et 14 millions de plaques, avec des données qui remonteraient à 2008. Le tableau publié par French Breaches est un peu plus précis, et il reste une estimation transmise au site : 91 824 920 rendez-vous, environ 18 millions d'identités, environ 13,9 millions de plaques, environ 40 millions de « liens SMS ». Le même texte précise que les 18 millions viennent d'un calcul après suppression des doublons. « Il ne s'agit pas d'un nombre de victimes officiellement confirmé. » Un même automobiliste peut avoir plusieurs rendez-vous. Quatre-vingt-douze millions de rendez-vous ne font pas quatre-vingt-douze millions de personnes.

Le bandeau de cette fiche affiche pourtant « Confirmée », « 18 M victimes » et « 60 Go ». Le corps de la même page dit le contraire sur le nombre de victimes. Il parle, pour les fichiers annoncés par les pirates, d'environ 9 Go de bases de données et de 19,9 Go d'autres fichiers. Le bandeau et le texte ne racontent pas la même chose. Mieux vaut lire le corps.

Ce qui est mieux établi que le total, ce sont des échantillons. Le Parisien écrit en avoir consulté : adresses e-mail, numéros de téléphone, modèles de voiture. French Breaches décrit des fiches qui regroupent le nom et le prénom, l'e-mail, le mobile, la marque, le modèle, la plaque, la date et l'heure du rendez-vous, le nom et l'adresse du centre, et l'adresse IP de la réservation. Une adresse IP est un numéro technique qui identifie une connexion à Internet à un moment donné. Ce n'est pas, à elle seule, une adresse de domicile. Ces échantillons montrent le type d'informations présentes dans certaines lignes. Ils ne démontrent pas que des dizaines de millions de fiches ont toutes été emportées.

Plusieurs articles, dont le Journal du Geek, évoquent des adresses postales de clients. La description détaillée de French Breaches et l'article de BFM rattachent l'adresse au centre ou au garage, pas au domicile. Le bandeau du site d'alerte écrit « adresses postales » sans le préciser. La présence du domicile dans le fichier n'est donc pas établie. BFM ajoute qu'un recoupement pourrait, ensuite, aider à situer un logement. C'est un risque décrit, pas un champ vu dans les exemples détaillés.

D'autres éléments restent des dires des pirates, repris par French Breaches. Ils affirment détenir 36 545 factures au format PDF, dont certaines pourraient contenir un RIB, ainsi que des documents internes et des codes sources. Le code source est le texte du logiciel, tel qu'il est écrit par les développeurs. Ils réclameraient 33 333 dollars pour ne pas publier les fichiers, sous 72 heures, dans une opération qu'ils nomment « Operation GlassLodge ». Ce nom ne correspond pas, selon French Breaches, à un groupe déjà identifié. Ils parlent aussi d'un défaçage, c'est-à-dire du remplacement de la page visible d'un site par leur message. Aucune de ces précisions n'est confirmée par Auto-Planning dans les articles qui l'ont jointe. On ne sait pas, au 3 novembre, si les fichiers ont été publiés après l'ultimatum.

BFM écrit que le dossier a été mis en vente sur le dark web. Le dark web, ici, désigne une partie d'Internet que les moteurs de recherche habituels n'indexent pas, et où des fichiers volés sont parfois proposés à l'achat. L'annonce de vente est celle que relatent BFM et French Breaches. Elle ne prouve pas le volume.

Ce que cela change pour vous

Une plaque seule est déjà visible à l'arrière d'une voiture. BFM le rappelle : le danger commence quand la plaque est réunie avec un nom, un téléphone, un modèle et le nom d'un vrai centre. Le message d'arnaque peut alors citer des détails exacts. Le fait qu'il soit précis ne prouve pas qu'il est authentique.

L'hameçonnage, souvent appelé phishing, est un message qui imite un expéditeur de confiance pour faire cliquer, payer, ou dicter un code, un mot de passe ou des coordonnées bancaires. Avec ce type de fichier, les scénarios décrits par la presse sont concrets.

Un faux rappel de contrôle technique, de révision ou de leçon de conduite, qui demande de payer pour « confirmer » le créneau. Un SMS qui réclame une amende et cite la vraie plaque. L'ANTAI, l'agence qui gère le paiement et la contestation des amendes, écrit depuis octobre 2024, sur une page toujours en ligne : « l'ANTAI n'envoie jamais de SMS ». Un message qui demande des frais de carte grise ou de permis, en se faisant passer pour l'ANTS, l'agence des titres (cartes grises et permis de conduire). Un appel d'une personne qui se dit du garage ou de l'auto-école, et qui connaît la date du dernier passage.

BFM et Ouest-France décrivent aussi l'usurpation de plaque : la copie du numéro sur un autre véhicule, puis des contraventions pour des faits que le titulaire n'a pas commis. C'est un risque envisagé par ces rédactions. Rien, dans les textes lus, ne montre que cette copie a déjà eu lieu à partir de ce fichier. Si un RIB figurait dans une facture, un prélèvement frauduleux deviendrait possible. Cette présence de RIB est, elle aussi, une affirmation des pirates, reprise avec des réserves par French Breaches et au conditionnel par BFM.

French Breaches ajoute que 572 empreintes de mots de passe auraient été examinées, et que 161 auraient pu être retrouvées. Une empreinte est la version brouillée d'un mot de passe, celle qu'un site est censé garder à la place du mot lui-même. La méthode citée, MD5, est ancienne. Des spécialistes savent parfois l'inverser. L'entreprise n'a pas confirmé ce point. Quelqu'un qui a créé un compte sur un site de réservation et réutilisé le même mot de passe ailleurs a néanmoins une précaution simple : le changer sur les autres services, en choisissant un mot différent à chaque fois.

Il n'existe pas, au 3 novembre, de page publique pour savoir si un nom figure dans le fichier. Le centre où le rendez-vous a été pris reste le bon interlocuteur pour demander s'il utilise Auto-Planning. L'absence de réponse immédiate ne veut pas dire que les données sont sûres, ni qu'elles ont fui.

Que faire

Le premier réflexe concerne le message, pas le fichier. S'il demande de cliquer, de payer, d'installer une application, ou de dicter un code reçu par SMS, un mot de passe, un RIB ou la photo d'une pièce d'identité, il s'arrête là. Le lien ne se suit pas, même s'il cite une vraie plaque, un vrai centre et une vraie date.

Pour une amende, l'ANTAI indique de payer sur amendes.gouv.fr, de consulter ou de contester sur antai.gouv.fr, et de taper soi-même l'adresse. Un SMS suspect se transfère au 33700. Cette plateforme, portée avec les opérateurs, sert à signaler les SMS et les appels indésirables. Un site frauduleux se signale sur internet-signalement.gouv.fr, le portail Pharos du ministère de l'Intérieur, prévu pour les contenus illicites en ligne.

Pour une carte grise ou un permis, la même règle vaut. L'adresse officielle se saisit dans le navigateur. Un QR code reçu dans un message ne remplace pas cette saisie. L'ANTAI écrit qu'aucune administration ne demande des données bancaires ou un mot de passe par messagerie, par téléphone ou par un formulaire arrivé dans un courriel.

Pour un message qui se présente comme le centre, le garage ou l'auto-école, l'échange se coupe. Le rappel se fait avec un numéro déjà connu : celui du papier de rendez-vous, du site habituel du centre, ou de l'annuaire, pas celui indiqué dans le SMS.

Si un paiement a déjà été fait, ou si des coordonnées bancaires ont été saisies, la banque est le premier appel, pour faire opposition. 17Cyber, le service gratuit de Cybermalveillance.gouv.fr, propose ensuite un diagnostic en ligne et, lorsque la situation l'exige, un échange avec un policier ou un gendarme. La plainte se dépose au commissariat ou à la gendarmerie, ou par écrit au procureur de la République. Pour certaines escroqueries financières commises en ligne, la plateforme THESEE du ministère de l'Intérieur permet une plainte à distance. Le 116 006, numéro de France Victimes, aide gratuitement à cette démarche, de 9 h à 19 h, sept jours sur sept. Les captures d'écran, le numéro expéditeur et l'heure du message se conservent.

Les droits sur les données se demandent d'abord à l'organisme qui les détient. Les mentions légales d'Auto-Planning indiquent, pour l'accès, la rectification, la limitation, l'effacement, la portabilité et l'opposition, l'adresse cnil@auto-planning.fr. La CNIL rappelle que l'organisme doit répondre au plus tard dans un délai d'un mois, parfois prolongé. La copie de la demande se garde. Si la réponse ne vient pas, ou si elle est insuffisante, une réclamation peut être déposée sur cnil.fr. La CNIL peut enquêter et sanctionner un organisme. Elle ne verse pas de dommages et intérêts, et elle n'exerce pas les droits à la place de la personne. Cette réclamation n'est pas une plainte pénale. Les deux démarches sont distinctes. Le numéro SIREN publié par la société, 502 783 814, figure dans ses mentions légales : la CNIL le demande dans un dossier de plainte.

Recevoir des contraventions pour des faits non commis peut être le signe d'une plaque copiée. La contestation passe par le site de l'ANTAI, saisi directement, et par une plainte pour usurpation. Un SMS qui propose de « régulariser » cette contravention retrouve le schéma décrit plus haut.

À Strasbourg, un signalement distinct

Le même 2 novembre, un autre incident français a, lui, été annoncé par l'organisme concerné. actu.fr rapporte un courriel de l'office de tourisme de Strasbourg après un incident dans la nuit du 27 au 28 octobre 2026. Les données visées sont celles d'un formulaire : nom, prénom, adresse e-mail, téléphone et contenu du message. L'office indique qu'aucune donnée bancaire et qu'aucun mot de passe ne sont concernés. Le site a été coupé le 28 octobre au matin, puis remis en ligne. L'office dit avoir prévenu la CNIL et déposé plainte. Le nombre de personnes n'est pas donné. Le conseil joint au courriel est le même : se méfier des messages qui reprendraient ces informations pour réclamer autre chose.

Ce qu'il faut retenir

L'attaque chez Auto-Planning est confirmée par l'entreprise, auprès du Parisien et de BFM. Le décompte de près de 14 millions de plaques et de 18 millions de personnes est une estimation des pirates, reprise par French Breaches, et contestée par la société. Des échantillons vus par Le Parisien montrent au moins des e-mails, des téléphones et des modèles de véhicules.

Quelqu'un qui a réservé un contrôle technique, un passage au garage ou une leçon de conduite en ligne peut être concerné sans avoir jamais vu le nom Auto-Planning. En attendant une liste officielle, qui n'est pas publiée, un message très bien renseigné se traite comme un message douteux : pas de clic, pas de paiement, un rappel passé par un numéro cherché soi-même, et un signalement au 33700, à Pharos ou à 17Cyber selon ce qui s'est passé.