Le lundi 26 octobre 2026 à 17:02
Un pirate dit détenir une base de données qui associe 847 064 plaques d'immatriculation françaises à des informations personnelles, et la propose à la vente. Il a publié son annonce samedi 24 octobre sur un forum cybercriminel, sous le pseudonyme ChimeraZ. L'information a été révélée par le site spécialisé FrenchBreaches. Le fichier contiendrait les noms, prénoms, adresses postales, numéros de téléphone et adresses mail des propriétaires des véhicules. Aucune confirmation n'a été apportée à ce stade.
Dans son message, le pirate parle d'un fichier de 905 097 lignes, pour environ 175 Mo de données. En plus des 847 064 plaques distinctes, on y trouverait 506 003 adresses mail et 474 906 numéros de téléphone, surtout des numéros de portable. Les adresses se situent dans différentes régions de France. FrenchBreaches précise que ces chiffres n'ont pas pu être vérifiés sur l'ensemble de l'archive. Les extraits mis en ligne par ChimeraZ ne montrent ni numéro de sécurité sociale, ni mot de passe, ni coordonnées bancaires. Selon le site spécialisé, cela ne permet pas pour autant d'exclure la présence d'autres informations dans l'archive complète. On ne sait pas non plus combien de personnes sont réellement concernées : un même propriétaire peut avoir plusieurs véhicules, et une plaque peut figurer dans plusieurs enregistrements.
Les échantillons comportent aussi un champ intitulé "date", avec des enregistrements qui vont de 2017 à 2026. D'après FrenchBreaches, ces dates ne permettent pas de savoir quand le piratage aurait eu lieu, et on ignore ce qu'elles désignent exactement.
Le nom du site visé n'a pas été dévoilé
Le pirate n'a pas expliqué comment il s'est procuré ces données. Il affirme seulement qu'elles viennent d'un site internet qui présenterait des failles de sécurité. Il refuse d'en donner le nom tant que ces failles n'auront pas été corrigées. Le Système d'immatriculation des véhicules (SIV), géré par l'État, contient ce type d'informations.
«Probablement 2 millions de plaques» dans un second fichier
ChimeraZ annonce une suite. Il assure qu'un second fichier, qui contiendrait "probablement 2 millions de plaques", sera divulgué "dans les prochains jours". L'existence de cette deuxième base n'est pas établie pour l'instant.
Ce pirate a aussi revendiqué, ces derniers jours, des fuites de données visant plusieurs partis politiques. Le Parti communiste français a reconnu avoir été touché, alors que La France insoumise et Renaissance ont démenti. Il serait également à l'origine d'attaques contre des armureries et des associations de protection animale.
La crainte de fausses amendes au nom de l'ANTAI
Pour l'instant, rien ne dit que ce fichier a trouvé preneur. S'il est authentique et qu'il est vendu, il pourrait servir à des escroqueries particulièrement crédibles. Avec une plaque d'immatriculation, un nom, une adresse et un numéro de téléphone, des fraudeurs disposent de quoi personnaliser leurs messages et tromper leurs cibles.
Le scénario le plus probable reste celui de la fausse amende. Un SMS ou un mail se faisant passer pour l'ANTAI (Agence nationale de traitement automatisé des infractions) pourrait réclamer le paiement d'une contravention, en mentionnant le véritable numéro de plaque du destinataire. Le lien renverrait alors vers un faux site conçu pour récupérer ses coordonnées bancaires. D'autres prétextes sont envisageables, comme une démarche à effectuer sur la carte grise, un contrat d'assurance à renouveler ou un prétendu rappel du constructeur. Les numéros de téléphone pourraient aussi être utilisés pour des appels frauduleux, dans lesquels un escroc se présenterait comme un conseiller en citant des informations exactes pour paraître légitime.
Ces données pourraient également servir à des tentatives d'usurpation d'identité. Le lien entre une plaque et une adresse postale pose par ailleurs une question de vie privée : il permettrait de retrouver le domicile du propriétaire d'un véhicule simplement repéré dans la rue.
Face à un message suspect, il vaut mieux ne pas cliquer sur le lien et vérifier l'existence de la contravention directement sur le site officiel de l'ANTAI, amendes.gouv.fr, à partir du numéro de l'avis. Pour une sollicitation qui semble venir d'un assureur ou d'un constructeur, il est préférable de le contacter par ses canaux habituels. Il ne faut jamais communiquer de coordonnées bancaires à la suite d'un message non sollicité. Les SMS frauduleux peuvent être signalés en les transférant au 33700, les faux sites sur la plateforme internet-signalement.gouv.fr du ministère de l'Intérieur, et les tentatives d'escroquerie sur cybermalveillance.gouv.fr. Les victimes peuvent aussi déposer plainte.
Si la fuite est confirmée, l'organisme d'où proviennent les données pourrait être tenu de la notifier à la CNIL dans les 72 heures suivant sa découverte, comme le prévoit le RGPD. Il devrait aussi prévenir directement les personnes concernées si le risque pour elles est jugé élevé.