Pass Pass Mobilités : les données de 19 000 usagers volées lors d'une cyberattaque

Le Syndicat mixte des mobilités des Hauts-de-France a annoncé une cyberattaque contre le site et l'application Pass Pass Mobilités. Selon le syndicat, environ 19 000 clients sont concernés par un vol de données, sans information bancaire. Les pirates revendiquent l'attaque sur un forum du darkweb.

Noms, adresses et historique d'achats parmi les données dérobées

Selon franceinfo, les données qui circulent sont les noms, prénoms, adresses postales, adresses électroniques, dates de naissance et les achats de titres de transport réalisés. Le Syndicat mixte des mobilités des Hauts-de-France précise qu'aucune information bancaire n'a été dérobée.

Le chiffre de victimes varie selon les sources. Le syndicat parle de 19 000 clients concernés, tandis que franceinfo indique que 18 637 usagers ont acheté en ligne des titres de transport ou des cartes Pass Pass entre janvier 2021 et le 18 août 2026. Ces personnes ont été informées de la fuite par courriel.

Le titre de 20 Minutes situe l'incident dans la Somme, alors que le syndicat et franceinfo évoquent l'ensemble des Hauts-de-France. Le texte disponible de cet article ne permet pas de vérifier ce point.

Une attaque revendiquée sur le darkweb

D'après franceinfo, l'action a été revendiquée le samedi 5 septembre sur un forum du darkweb (partie d'internet non indexée par les moteurs de recherche). Les sources disponibles ne permettent pas d'identifier le groupe à l'origine de la revendication.

Cette revendication n'a pas été vérifiée de manière indépendante à ce stade. Elle émane des pirates eux-mêmes.

Site fermé puis réouverture prévue

La boutique en ligne a fermé dès le 8 septembre au matin, afin de renforcer la sécurité des services numériques, selon franceinfo. Sa réouverture était prévue le vendredi 11 septembre, dans quelques heures à la date de publication.

Les usagers doivent mettre à jour leur application mobile pour continuer à l'utiliser, indique franceinfo.

CNIL saisie et plainte déposée

Le Syndicat mixte des mobilités des Hauts-de-France a saisi la CNIL (Commission nationale de l'informatique et des libertés), l'autorité française de protection des données. Il a aussi déposé plainte auprès des services de police chargés de la cybercriminalité, selon franceinfo.

Les sources ne précisent pas à ce stade l'état de l'enquête ni la date de la plainte. Aucune sanction n'est mentionnée.