Fuite de données à la CTS de Strasbourg : environ 230 000 comptes clients concernés. Ce que l'entreprise doit faire, à quoi s'attendre après une fuite et comment éviter l'hameçonnage

Ce qui s'est passé

Le 28 octobre, la Compagnie des transports strasbourgeois (CTS), qui exploite les tramways et les bus de Strasbourg, a annoncé une fuite de données. Selon l'entreprise, les données d'environ 230 000 comptes clients ont été extraites par une utilisation illicite de son site web — soit environ quatre comptes sur dix parmi ses quelque 586 000 comptes.

Ce qui a été dérobé, selon la CTS : nom et prénom, date de naissance, adresse et identifiants de compte. L'entreprise affirme que les coordonnées bancaires et les mots de passe n'en faisaient pas partie. La CTS indique avoir interrompu l'extraction dès qu'elle l'a détectée, renforcé la sécurité de son site, signalé l'incident à la CNIL, informé les clients concernés et avoir l'intention de déposer plainte. La date de l'intrusion et sa durée n'ont pas été communiquées.

La CTS met elle-même ses clients en garde contre les e-mails qui prétendent émaner de la CTS et demandent des informations, en particulier des coordonnées bancaires.

Pourquoi « pas de coordonnées bancaires » ne veut pas dire « pas de risque »

Un nom, une date de naissance et une adresse ne peuvent pas, à eux seuls, vider un compte bancaire. Mais ils rendent un message frauduleux plus convaincant : un e-mail qui salue quelqu'un par son nom et mentionne son adresse inspire plus facilement confiance. C'est pourquoi la CTS demande de se méfier des e-mails envoyés en son nom.

Ce que les règles exigent de l'entreprise

D'après les indications de la CNIL sur le RGPD, un organisme victime d'une violation de données personnelles :

• doit la notifier à la CNIL au plus tard 72 heures après en avoir pris connaissance ;
• si le risque pour les personnes est élevé, doit informer directement ces personnes dans les meilleurs délais ;
• doit expliquer dans ce message, en termes clairs, ce qui s'est passé, les conséquences probables, qui contacter (le DPO ou un autre contact) et ce qui a été fait pour limiter les dommages — et, si nécessaire, donner des recommandations telles que changer ses mots de passe.

À retenir : une notification de violation, telle que la décrit la CNIL, explique et conseille. Elle ne demande pas de répondre en communiquant son numéro de carte.

Ce que peuvent faire les clients de la CTS — et toute personne après une fuite

Recommandations de Cybermalveillance.gouv.fr et de la CNIL :

1. Ne rien faire avec les messages suspects. Ne pas cliquer sur les liens, ne pas ouvrir les pièces jointes, ne pas répondre. En cas de doute, contacter soi-même l'organisme via un site auquel on n'a pas accédé depuis le message (idéalement depuis son propre favori).
2. Vérifier les liens et les adresses web. Survoler un lien sans cliquer ; vérifier l'adresse du site — un seul caractère modifié peut trahir un faux. Les organismes légitimes ne demandent ni coordonnées bancaires ni mots de passe par e-mail ou par téléphone.
3. Mots de passe. La CNIL conseille de changer ses mots de passe, en commençant par les services les plus importants, de ne pas réutiliser le même mot de passe sur plusieurs sites et d'activer l'authentification multifacteur lorsqu'elle est disponible.
4. Signaler les fraudes. Les e-mails suspects vont sur signal-spam.fr, les SMS suspects au 33700, les faux sites sur phishing-initiative.fr.

Si vous avez déjà cliqué ou communiqué des données

Selon Cybermalveillance.gouv.fr :

• si vous avez communiqué des données de carte ou constatez des débits que vous ne reconnaissez pas, faites immédiatement opposition auprès de votre banque ;
• changez les mots de passe sur le site concerné et partout où le même mot de passe a été utilisé ; vérifiez la date de la dernière connexion au compte ;
• conservez les preuves, avant tout le message frauduleux lui-même ;
• déposez plainte (plainte) dans un commissariat ou une gendarmerie, ou par écrit auprès du procureur de la République ; une aide gratuite aux victimes est disponible auprès de France Victimes au 116 006 (tous les jours, 9 h 00–19 h 00), et des conseils auprès d'Info Escroqueries au 0 805 805 817 (gratuit, du lundi au vendredi, 9 h 00–18 h 30).

En cas d'usurpation d'identité (usurpation d'identité), la CNIL conseille de déposer plainte le plus rapidement possible et, une fois l'usurpation confirmée, de demander à la CNIL une vérification du fichier FICOBA des comptes bancaires.

À propos de l'indemnisation

La CNIL précise clairement qu'elle n'accorde pas d'indemnisation : demander des dommages et intérêts relève des juridictions civiles.

En bref

La fuite de la CTS n'est pas une raison de paniquer, mais c'est une raison de redoubler d'attention face aux e-mails et aux SMS pendant les prochaines semaines. Tout message « de la CTS », « de la banque » ou « d'un organisme public » demandant de confirmer des informations gagne à être vérifié via le site officiel, ouvert de manière indépendante.