14 millions de plaques d'immatriculation dérobées lors d'une cyberattaque: que risquent les automobilistes concernés?
L'alerte a été lancée le 29 octobre par le site spécialisé French Breaches. Ce jour-là, un pirate a mis en vente sur le dark web ce qu'il affirme être un énorme dossier contenant près de 14 millions de plaques d'immatriculation, ainsi que les données de 18 millions de personnes. En cause, une brèche chez deux prestataires, Auto-Planning et Auto-Controle-Paris, qui donnent accès à des outils pour réserver des contrôles techniques à des partenaires-clients.
Le piratage, confirmé par Auto-Planning à BFM Tech, concernerait également des factures, des documents confidentiels et des codes sources, mais aussi des RIB et des mots de passe, pour un total de 9Go de données.
Les données dérobées comportaient les nom et prénoms de l'automobiliste, leur adresse mail et numéro de portable, l'adresse IP associée à la réservation du rendez-vous pour le contrôle technique, le nom, l'adresse exacte du centre fréquenté, etc.
French Breaches indique également que les attaquants revendiquent avoir mis la main sur 36.545 factures au format PDF, qui peuvent éventuellement contenir des relevés d'identité bancaire (RIB).
Au-delà de ces détails, la question est désormais de savoir ce qu'il est possible de faire de ces informations quand on est une personne mal intentionnée.
Des campagnes de phishing et des cambriolages possibles
Dans le cas des plaques d'immatriculation, elles ne peuvent pas, à elles seules, représenter un risque. Mais quand elles sont cumulées à d'autres données, comme des coordonnées personnelles, cela peut vite devenir problématique.
Plus une campagne de phishing affiche d'informations précises sur vous, plus elle est crédible et plus vous risquez de ne pas vous méfier. D'autant que l'accumulation de données est sans fin. Un cyber-malfaiteur peut ainsi vous envoyer une demande de faux contrôle technique en vous demandant de payer une somme pour la réservation. Ce qui lui permettra de subtiliser, en plus, vos données bancaires.
Des SMS ou des mails frauduleux peuvent alors être envoyés, par exemple pour vous sommer de payer une amende ou pour régler des frais administratifs liés à la carte grise, ou même pour une infraction supposée, comme cela pourrait être le cas avec une fausse amende ANTAI.
Le risque de l'usurpation d'identité?
En outre, toutes ces informations accumulées peuvent aboutir à une usurpation d'identité. Si les personnes concernées par cette fuite de données reçoivent à l'avenir des contraventions pour des faits qu'elles n'ont pas commises, cela pourra signifier que la plaque d'immatriculation de leur véhicule a été utilisée par un autre véhicule.
Les données dérobées peuvent également aboutir, par recoupement, à établir où habitent les personnes touchées par les fuites de données, ce qui peut également mener à un ciblage en vue d'un cambriolage.
Dans tous les cas, en cas de doute, que ce soit lors d'un échange par mail, par SMS ou même au téléphone, il est conseillé de raccrocher et de contacter directement les services ou l'entreprise qui prétend vous contacter pour vous assurer qu'ils cherchaient bien à vous joindre.
Dans le cas d'Auto-Planning et de Auto-Controle-Paris, la Cnil, le gendarme des données personnelles, a été contactée, conformément à leurs obligations.