La Compagnie des transports strasbourgeois (CTS) a été victime d’un vol de données touchant environ 230 000 comptes clients. Si les mots de passe et les coordonnées bancaires n’ont pas été compromis, les informations dérobées pourraient faciliter des tentatives d’hameçonnage. Méfiance donc.
Officialisée hier 28 octobre, la cyberattaque concerne près de 40 % des comptes clients de la CTS. Une fuite de données qui a conduit l’opérateur de transports strasbourgeois à prévenir les personnes concernées par courriel. Comme le rapporte Ici.fr, l’incident remonte à la mi-octobre et la faille exploitée a depuis été corrigée.
230 000 comptes clients concernés par le piratage
Dans le détail, les pirates ont pu récupérer plusieurs informations personnelles telles que le nom, le prénom, la date de naissance, l’adresse postale ainsi que l’identifiant Badgéo associé au compte client. En revanche, la CTS assure que les mots de passe et les données bancaires ne font pas partie des informations exfiltrées.
Le directeur général de la CTS, Emmanuel Auneau, précise que l’attaque s’est produite dans la nuit du dimanche 18 au lundi 19 octobre. L’entreprise annonce avoir détecté une activité anormale, caractérisée par une sollicitation particulièrement élevée de sa base de données.
Le responsable tient également à préciser la méthode employée par les pirates : « Nos serveurs ne sont pas altérés, les hackeurs ne se sont pas infiltrés dans notre système informatique, ils ont utilisé une API pour voler des données. La faille est depuis corrigée. ».
Les assaillants ont donc exploité une interface permettant à différents logiciels de communiquer avec le site, sans nécessairement pénétrer dans l’ensemble du système informatique de l’opérateur.
Des risques de phishing pour les clients de la CTS
Si aucune donnée bancaire ni aucun mot de passe n’ont été dérobés, l’incident n’est pas pour autant sans conséquence pour les usagers. Les informations récupérées peuvent en effet servir à concevoir des messages frauduleux particulièrement convaincants (et donc dangereux) en reprenant des éléments personnels pour inspirer confiance à leurs destinataires.
Un faux courriel évoquant un abonnement Badgéo, une régularisation ou encore un remboursement sont autant de scénarios qui pourraient sembler parfaitement légitimes. Tout récemment, c’est Engie qui a tenu à prévenir ses clients après un vol de données personnelles.
Emmanuel Auneau indique : « Je suis vraiment désolé pour nos clients mais ils risquent au pire d’être importunés par des mails indésirables ».
La prudence reste donc de mise, et la CTS rappelle qu’elle ne demande pas à ses clients d’effectuer une transaction financière ou de communiquer leurs coordonnées bancaires par courriel. Comme toujours, en cas de message suspect, on évite soigneusement les liens proposés et on vérifie directement les informations auprès de l’opérateur.
Une plainte va être déposée après la fuite de données
La CTS confirme aussi avoir stoppé l’exfiltration dès la détection de l’incident et renforcé la sécurité de son site Internet. Une déclaration a été effectuée auprès de la Commission nationale de l’informatique et des libertés (CNIL), tandis qu’une plainte doit être déposée auprès du tribunal de Strasbourg.
L’entreprise ne sait pas encore si les données dérobées ont été revendues ou diffusées, et il faudra donc surveiller les éventuelles conséquences de cette fuite, alors que la protection des informations personnelles représente un enjeu majeur pour les services numériques du quotidien.
Ce n’est pas la première fois que la CTS est confrontée à un incident de sécurité, puisqu’il y a deux ans, certains comptes clients avaient déjà fait l’objet d’accès frauduleux. Cette fois, l’ampleur de l’exfiltration est nettement plus importante, avec environ 230 000 comptes concernés.
