Pass Pass confirme une fuite de données touchant 18 637 usagers

Une revendication devenue incident confirmé

Le 5 septembre, une publication sur un forum du dark web revendiquait la diffusion d’une base attribuée à Pass Pass. À ce moment-là, les chiffres disponibles venaient de l’auteur de cette publication et devaient être traités comme une revendication. FrenchBreaches rapportait alors l’existence d’une base partielle, sans confirmation publique de l’organisation concernée.

Le 11 septembre, le Syndicat mixte des mobilités des Hauts-de-France a confirmé un vol de données concernant le site passpass.fr et l’application mobile Pass Pass. Cette confirmation change le statut de l’affaire : il ne s’agit plus seulement d’une affirmation d’un acteur malveillant. Elle ne valide pas pour autant tous les chiffres ou tous les détails techniques publiés dans la revendication initiale.

Les informations relayées par franceinfo et ICI Nord distinguent clairement les deux étapes. L’action avait été revendiquée le 5 septembre. Le Syndicat a ensuite annoncé l’incident, saisi la CNIL et déposé plainte auprès des services de police chargés de la cybercriminalité.

18 637 clients ayant acheté en ligne sont concernés

Le bilan communiqué porte précisément sur 18 637 clients. Il concerne les personnes qui ont acheté en ligne des titres de transport ou des cartes Pass Pass entre janvier 2021 et le 18 août 2026. Le chiffre de « 19 000 » employé dans les titres est donc un arrondi journalistique, tandis que 18 637 est le nombre détaillé communiqué par le Syndicat.

Pass Pass permet notamment l’achat de titres sur plusieurs réseaux de transports des Hauts-de-France, dont Ilevia, Transvilles, Marinéo et Artis. La boutique en ligne permet aussi l’achat d’abonnements TER depuis le début de juillet, selon les deux médias. Cela ne signifie pas que tous les voyageurs de la région sont concernés : le périmètre annoncé est celui des clients ayant réalisé ces achats en ligne pendant la période indiquée.

Les usagers concernés ont été informés par courriel, d’après les éléments transmis aux médias. Si vous utilisez ce service mais n’avez reçu aucun message, cela ne permet pas à lui seul de conclure que vous êtes ou non concerné. Le moyen prudent reste de consulter par vous-même le site ou l’application officiels.

Noms, coordonnées, naissance et achats de titres

Le Syndicat indique que les données qui circulent comprennent les noms, prénoms, adresses postales, adresses e-mail, dates de naissance et informations sur les achats de titres. Cette liste donne à un escroc de quoi rendre un message beaucoup plus crédible qu’un simple courriel de masse : il peut évoquer le bon service, une carte de transport ou un achat réel.

En revanche, le Syndicat précise qu’aucune information bancaire n’a été dérobée. Il ne faut donc pas transformer cette fuite en fuite de numéros complets de cartes bancaires. Cette absence ne supprime pas le risque de fraude, mais elle oriente le réflexe utile : le danger immédiat est surtout le faux message ou le faux appel qui exploite des informations personnelles exactes.

La date de naissance et l’adresse postale ajoutent aussi du contexte à une tentative d’usurpation. Elles ne donnent pas à elles seules accès à un compte bancaire. Elles peuvent toutefois aider un fraudeur à se faire passer pour un service de mobilité, un transporteur ou un organisme de paiement.

La boutique a fermé et l’application doit être mise à jour

Pour renforcer la sécurité de ses services numériques, Pass Pass a fermé sa boutique en ligne le 8 septembre au matin, avant sa réouverture annoncée le 11 septembre. Les médias rapportent également que les usagers doivent mettre à jour leur application mobile. Cette consigne vient du contexte de l’incident, et non d’une règle générale inventée après coup.

Une mise à jour de sécurité ne se fait pas depuis un lien reçu par SMS ou par courriel. Ouvrez directement la boutique d’applications habituelle de votre téléphone ou l’application Pass Pass elle-même. Cherchez la mise à jour depuis cet environnement connu. Ce geste réduit le risque de tomber sur une fausse page qui utiliserait la fuite comme prétexte.

De la même manière, un message parlant de remboursement, de renouvellement de carte ou de régularisation ne doit pas vous pousser à communiquer un code reçu par SMS. Le message peut reprendre des éléments réels de votre profil, mais cela ne prouve pas que son expéditeur est légitime.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier indépendamment la méthode utilisée pour obtenir les données, le détail technique de l’intrusion, ni l’intégrité de chaque fichier qui a pu circuler. Les informations confirmées ici sont celles communiquées par le Syndicat mixte des mobilités des Hauts-de-France et relayées par franceinfo et ICI Nord.

Nous ne pouvons pas non plus établir si les données déjà revendiquées le 5 septembre correspondent exactement au périmètre confirmé le 11 septembre. Les anciens chiffres de 18 861 personnes et de 92 178 enregistrements étaient attribués à la revendication initiale. Ils ne doivent pas remplacer le bilan désormais communiqué de 18 637 clients.

Sources : franceinfo ↗ · ICI Nord ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.