Auto-Planning : 242 millions de plaques françaises en vente sur un forum cybercriminel

Les faits

Le 7 novembre 2026, un acteur malveillant a mis en vente sur un forum cybercriminel spécialisé une base de données présentée comme contenant 242 millions de lignes liées à des plaques d'immatriculation françaises et à des données personnelles de propriétaires de véhicules. La source revendiquée est Auto-Planning, une plateforme SaaS éditée en France, utilisée par des centres de contrôle technique, des garages et des préparateurs automobiles pour gérer leurs rendez-vous, leurs passages et l'historique des véhicules traités.

Les données proposées incluent selon le vendeur : les numéros de plaque d'immatriculation, les noms et prénoms des propriétaires, les adresses postales, les dates de contrôle technique ou de passage en atelier, le kilométrage relevé et l'historique des interventions. 242 millions de lignes représentent un volume bien supérieur aux 40 millions de véhicules immatriculés en France, ce qui s'explique par l'accumulation de plusieurs années d'historique — un même véhicule pouvant apparaître plusieurs fois.

Simultanément, un chercheur opérant sous le pseudonyme ChimeraZ a revendiqué l'accès à une base liée à SGS, société opérant les réseaux Autovision et Dekra en France, avec 259 millions d'enregistrements présumés. Ces deux incidents pourraient être distincts ou partager une origine commune dans la chaîne logicielle du secteur. Plusieurs éditeurs du contrôle technique mutualisent des API et des formats de données, ce qui pourrait expliquer une exposition similaire chez plusieurs opérateurs.

En France, le croisement d'une plaque d'immatriculation avec l'adresse du propriétaire constitue une donnée à accès restreint. Le Système d'immatriculation des véhicules (SIV) géré par l'ANTS n'est accessible qu'aux forces de l'ordre, aux assureurs et aux professionnels de l'automobile dans un cadre légal strict. La commercialisation illicite de ces données sur un forum cybercriminel constitue une violation grave de la réglementation française et du RGPD.

Les chercheurs de FrenchBreaches qui ont analysé des échantillons proposés par le vendeur les jugent crédibles : les plaques et adresses testées semblent correspondre à des données géographiquement cohérentes avec la réalité française. L'authenticité de l'ensemble du fichier n'a cependant pas pu être établie indépendamment, et le volume exact de données authentiques pourrait être inférieur aux 242 millions annoncés.

Le risque opérationnel associé à cette fuite est élevé et multi-dimensionnel. La combinaison plaque + adresse + historique de déplacements permet de localiser un véhicule, d'identifier les habitudes de déplacement de son propriétaire et de cibler géographiquement des opérations criminelles : vols de véhicules ou de contenus sur des adresses identifiées, cambriolages en l'absence du propriétaire en corrélation avec son emploi du temps déduit des passages en atelier, harcèlement ciblé. Des réseaux de vol organisé ont déjà exploité des données similaires dans d'autres contextes européens.

L'incident illustre un problème structurel des plateformes SaaS multi-tenants dans des secteurs à forte réglementation mais faible maturité cybersécurité. Les PME clientes d'Auto-Planning ont sous-traité leur traitement de données à un tiers sans nécessairement vérifier les garanties contractuelles de sécurité prévues par l'article 28 du RGPD sur les sous-traitants. Une brèche chez l'éditeur expose simultanément les données de l'ensemble de ses clients, sans que ces derniers aient aucune capacité de réaction individuelle.

La DGCCRF et la CNIL sont compétentes en matière de violation de données personnelles d'automobilistes. L'ANSSI n'a pas publié d'alerte à ce jour sur cet incident. Le parquet de Paris, compétent pour les infractions informatiques d'envergure nationale, pourrait être saisi si l'enquête judiciaire confirme l'étendue de la fuite.

Impact et exposition

Potentiellement plusieurs dizaines de millions d'automobilistes français pourraient voir leurs données personnelles liées à leurs véhicules circuler dans des bases criminelles. Les propriétaires de véhicules récents ou de valeur sont particulièrement exposés au risque de vol ciblé. Les centres de contrôle technique et garages clients d'Auto-Planning ont une exposition juridique RGPD au titre de responsable de traitement, même si la fuite émane de leur sous-traitant. Les clauses contractuelles avec Auto-Planning devront être examinées par leurs services juridiques ou DPO.

Recommandations

• Si vous êtes dirigeant d'un garage ou centre de contrôle technique utilisant Auto-Planning : contactez l'éditeur pour obtenir une déclaration officielle, vérifiez vos obligations RGPD et consultez votre DPO ou juriste.
• Pour les automobilistes : méfiez-vous des SMS, appels ou emails mentionnant votre véhicule, votre plaque ou vos rendez-vous de contrôle — le phishing exploitant ces données sera précis et crédible.
• Éditeurs SaaS dans des secteurs réglementés : mettre en œuvre un cloisonnement des données par tenant, chiffrement au repos par client et audit d'accès continu — la mutualisation dans un schéma unique transforme une brèche en catastrophe sectorielle.