Fuite de données France Casse : 3.3 millions de personnes exposées

Le 20 juillet 2026, une publication mise en ligne sur un forum fréquenté par des cybercriminels a revendiqué la diffusion d'une base de données attribuée à France Casse, plateforme spécialisée dans le rachat et la destruction de véhicules hors d'usage. L'annonce évoque environ 3,3 millions d'enregistrements clients contenant noms, prénoms, adresses électroniques, numéros de téléphone et mots de passe. Deux jours plus tard, l'entreprise a confirmé avoir subi un accès non autorisé à ses systèmes, susceptible d'avoir exposé certaines données personnelles de ses utilisateurs, tout en indiquant qu'aucune coordonnée bancaire n'était concernée. Le volume et le contenu exact du lot restent, à ce stade, des allégations émanant du vendeur et non des éléments vérifiés publiquement. Pour les personnes concernées, la combinaison identité civile, coordonnées de contact et identifiants de connexion constitue néanmoins un matériau directement exploitable pour des campagnes d'hameçonnage ciblé et des tentatives de réutilisation de mots de passe. Pour l'entreprise, l'incident déclenche mécaniquement les obligations du RGPD en matière de notification, de documentation et d'information des victimes.

Que s'est-il passé : France Casse victime d'une violation de données

La chronologie connue tient en trois temps. Le 20 juillet 2026, une offre apparaît sur un forum de revente de données compromises, présentant un jeu d'enregistrements attribué au système d'information de France Casse. L'auteur de la publication n'est pas identifié publiquement et ne se réclame d'aucun groupe connu : il ne s'agit pas, en l'état, d'une opération de rançongiciel revendiquée, mais d'une mise en vente classique sur un marché parallèle.

Le 22 juillet 2026, France Casse reconnaît un accès non autorisé à ses systèmes ayant potentiellement exposé des données d'utilisateurs, en précisant qu'aucune information de paiement n'a été touchée. Cette confirmation valide l'existence d'un incident de sécurité, sans pour autant corroborer le chiffre de 3,3 millions de personnes avancé par le vendeur, ni la structure précise du lot.

Le vecteur d'intrusion n'a pas été communiqué. Sur ce type de plateforme grand public, les scénarios les plus fréquents restent l'exploitation d'une vulnérabilité applicative non corrigée, une injection SQL sur un formulaire exposé, la compromission d'un compte d'administration dépourvu d'authentification multifacteur, ou encore l'accès à une sauvegarde ou une interface de recette laissée accessible depuis Internet.

La sensibilité du jeu de données mérite d'être qualifiée précisément. Les noms, prénoms, adresses électroniques et numéros de téléphone ne relèvent pas des catégories particulières de l'article 9 du RGPD, mais leur agrégation permet de reconstituer un profil identifiant et directement contactable. Le point le plus critique reste la présence annoncée de mots de passe : aucun élément public ne permet de déterminer s'ils étaient stockés en clair, hachés avec un algorithme obsolète, ou correctement protégés par une fonction moderne à sel. Cette incertitude impose de traiter les identifiants comme compromis par défaut.

Obligations légales RGPD pour France Casse

En tant que responsable de traitement, France Casse est soumise au régime des articles 33 et 34 du RGPD. L'article 33 impose de notifier la violation à la CNIL dans un délai de 72 heures après en avoir pris connaissance, sauf si l'incident est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Ce délai court à compter de la prise de connaissance effective, et non de la date d'intrusion. Lorsque la notification intervient au-delà des 72 heures, elle doit être accompagnée d'une justification du retard. Une notification initiale incomplète est admise, à condition d'être complétée au fil de l'investigation.

L'article 34 va plus loin : dès lors que la violation est susceptible d'engendrer un risque élevé pour les personnes, celles-ci doivent être informées individuellement, dans les meilleurs délais et en des termes clairs. La présence d'identifiants de connexion associés à des adresses électroniques place typiquement un incident dans cette catégorie, puisqu'elle expose directement à la prise de contrôle d'autres comptes. Cette communication doit décrire la nature de la violation, ses conséquences probables et les mesures recommandées aux personnes concernées.

L'article 33 §5 impose par ailleurs une obligation permanente et souvent négligée : documenter toute violation dans un registre interne, y compris celles qui ne sont pas notifiées. Ce registre doit consigner les faits, les effets et les mesures correctrices adoptées. Il constitue le premier document réclamé par la CNIL en cas de contrôle.

Sur le plan des sanctions, l'article 83 distingue deux plafonds. Les manquements aux obligations de sécurité et de notification relèvent du plafond de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les violations des principes fondamentaux du traitement et des droits des personnes relèvent du plafond supérieur, à 20 millions d'euros ou 4 % du chiffre d'affaires. Dans la pratique décisionnelle française, l'insuffisance des mesures de sécurité de l'article 32 — mots de passe faiblement protégés, absence de politique de conservation, journalisation inexistante — pèse plus lourd que la survenue de l'incident lui-même.

Risques pour les personnes touchées et que faire

Le premier risque est l'hameçonnage ciblé. Un attaquant disposant du nom, du prénom, du numéro de téléphone et d'un historique de relation commerciale peut rédiger un message crédible, par courriel ou par SMS, se faisant passer pour le service client afin d'obtenir un moyen de paiement ou un code de validation.

Le deuxième risque est le bourrage d'identifiants : les couples adresse électronique et mot de passe sont testés automatiquement sur des dizaines de services tiers. Toute réutilisation du même mot de passe ailleurs transforme une fuite isolée en compromission en chaîne, notamment sur la messagerie principale, qui commande la réinitialisation de tous les autres comptes.

Le troisième risque est l'usurpation d'identité, alimentée par le recoupement avec d'autres bases déjà en circulation. Les incidents recensés dans notre panorama des fuites de données en France montrent que la valeur d'un lot augmente avec chaque nouvelle fuite qui vient l'enrichir.

Concrètement, quatre réflexes s'imposent. Changer immédiatement le mot de passe du compte concerné, puis celui de tous les services où il était réutilisé, en adoptant un mot de passe unique par service via un gestionnaire. Activer l'authentification à deux facteurs partout où elle est proposée, en privilégiant une application d'authentification au SMS. Surveiller les relevés bancaires et les notifications de connexion pendant plusieurs mois. Enfin, en cas de préjudice constaté ou d'absence de réponse du responsable de traitement, déposer une plainte auprès de la CNIL, après avoir vérifié l'exposition de son adresse sur Have I Been Pwned.

Enseignements pour les entreprises similaires

Cet incident illustre un profil de risque courant chez les plateformes de services grand public : une base clients volumineuse, une valeur unitaire faible par enregistrement, et un budget sécurité calibré sur cette valeur perçue plutôt que sur le volume réel exposé.

Quatre mesures réduisent significativement la surface d'exposition. Le chiffrement au repos des bases et des sauvegardes, associé à un hachage des mots de passe par une fonction dédiée à sel unique, prive l'attaquant de tout bénéfice immédiat en cas d'exfiltration. L'authentification multifacteur sur l'ensemble des accès d'administration, des interfaces d'hébergement et des accès prestataires ferme le vecteur d'intrusion le plus rentable. La segmentation réseau empêche qu'une compromission applicative se propage jusqu'aux données de production. Enfin, des tests d'intrusion réguliers, complétés par une revue des dépendances et des interfaces exposées, permettent de détecter les points faibles avant qu'ils ne soient exploités.

S'y ajoute une exigence de conformité montante : la directive NIS 2, transposée en droit français, étend le périmètre des entités soumises à des obligations de gestion des risques et de notification d'incident, avec une responsabilité explicite des dirigeants. Pour de nombreuses PME et ETI jusqu'ici hors du champ réglementaire, l'année 2026 marque le passage d'une sécurité facultative à une obligation opposable.

Questions fréquentes

Que faire si vous êtes client de France Casse ?

Considérez votre mot de passe comme compromis et changez-le sans attendre, ainsi que sur tout autre service où vous l'auriez réutilisé. Activez ensuite l'authentification à deux facteurs sur votre messagerie principale en priorité. Restez méfiant pendant plusieurs mois face aux courriels et SMS mentionnant votre véhicule ou une prétendue régularisation de dossier : ils peuvent s'appuyer sur des informations exactes vous concernant.

France Casse doit-elle notifier la CNIL ?

Oui. Dès lors qu'une violation de données personnelles est susceptible d'engendrer un risque pour les droits et libertés des personnes, l'article 33 du RGPD impose une notification à la CNIL dans les 72 heures suivant la prise de connaissance. L'exposition d'identifiants de connexion crée en outre une présomption de risque élevé, qui déclenche l'obligation d'information individuelle prévue à l'article 34.

Comment vérifier si vos données ont été exposées ?

Interrogez votre adresse électronique sur Have I Been Pwned, qui recense les bases compromises publiées. Une absence de résultat ne garantit rien : un lot mis en vente sans diffusion large n'y figure pas nécessairement. Vous pouvez également exercer votre droit d'accès auprès de l'entreprise, qui doit vous répondre dans un délai d'un mois.