Des pirates affirment avoir dérobé les données de près de 18 millions de personnes et d’environ 14 millions de plaques d’immatriculation chez Auto-Planning, une entreprise française qui gère la prise de rendez-vous en ligne de centaines de centres de contrôle technique. Cette fuite de données Auto-Planning, revendiquée fin octobre 2026, n’est pas confirmée à ce stade par la société. Pour les automobilistes, le principal risque est de recevoir de faux messages très crédibles au sujet de leur véhicule.

Que s’est-il passé chez Auto-Planning ?

Un groupe de pirates a revendiqué, autour du 28 octobre 2026, une intrusion dans les systèmes d’Auto-Planning. Il dit avoir pris le contrôle de plusieurs serveurs de l’entreprise. Il affirme aussi avoir modifié l’apparence des sites auto-planning.fr et auto-controle-paris.com, une pratique appelée défiguration (ou « défacement ») : c’est un peu comme si quelqu’un remplaçait la vitrine d’un magasin par sa propre affiche.

Le 29 octobre 2026, le site d’Auto-Planning affichait un simple message de maintenance. La façon dont les pirates seraient entrés n’est pas connue. Les hypothèses évoquées vont du vol d’identifiants à l’exploitation d’une faille dans une application web.

D’après les premières informations, les auteurs réclament une rançon, c’est-à-dire une somme d’argent en échange de la non-publication des fichiers. Un montant de 33 333 dollars et un délai de 72h ont été évoqués, sans confirmation officielle.

Qui est Auto-Planning et quels centres sont concernés ?

Auto-Planning est une société basée à Boulogne-Billancourt, dans les Hauts-de-Seine. Depuis 2007, elle développe des outils de réservation en ligne pour les professionnels de l’automobile. Elle exploite aussi le service Auto Contrôle Paris.

L’entreprise travaille avec plus de 450 centres de contrôle technique, ainsi qu’avec des garages et des auto-écoles. Concrètement, quand un automobiliste réserve son contrôle sur le site d’un centre partenaire, c’est souvent l’outil d’Auto-Planning qui enregistre le rendez-vous en coulisses.

Plusieurs grandes enseignes du contrôle technique, comme Autovision, Autosur, Sécuritest, Dekra ou Norisko, figurent parmi les références commerciales du prestataire. Rien n’indique cependant que les systèmes de ces réseaux aient eux-mêmes été piratés : seul le prestataire est visé par la revendication.

Quelles données auraient été volées ?

Selon les éléments revendiqués par les pirates, le fichier associerait l’identité des clients à des informations sur leur véhicule. C’est ce croisement qui rend la fuite sensible. Voici les catégories de données annoncées :

  • identité : nom et prénom ;
  • coordonnées : adresse postale, adresse e-mail et numéro de téléphone mobile ;
  • véhicule : plaque d’immatriculation, marque et modèle ;
  • rendez-vous : date, heure et centre de contrôle choisi, avec un historique qui remonterait à 2008 ;
  • documents internes : factures au format PDF, code source et identifiants techniques.

Les volumes avancés sont considérables : plus de 200 millions de lignes de données et environ 91,8 millions de rendez-vous, pour 13,9 millions de plaques distinctes. Ces chiffres proviennent des pirates eux-mêmes et n’ont pas été vérifiés de façon indépendante. Aucune donnée bancaire n’est mentionnée à ce stade.

Quels risques pour les automobilistes concernés ?

Le premier risque est l’hameçonnage, aussi appelé phishing : un faux message qui imite un organisme connu pour pousser la victime à payer ou à donner des informations. Avec un nom, une plaque, un modèle de voiture et la date du dernier contrôle, un escroc peut rédiger un message qui semble parfaitement authentique.

Les scénarios les plus probables sont faciles à imaginer. Un SMS peut annoncer un faux rappel de contrôle technique avec un lien de paiement. Un e-mail peut se faire passer pour le garage habituel. Un message peut aussi réclamer le règlement d’une fausse amende liée à la plaque.

Cette affaire s’ajoute à d’autres fuites récentes touchant les automobilistes français. En octobre 2026, un pirate a déjà mis en vente un fichier d’environ 905 000 enregistrements associant plaques, noms et adresses.

Comment se protéger après la fuite de données Auto-Planning ?

Il n’existe pas d’outil officiel pour savoir si l’on figure dans le fichier. Toute personne ayant réservé un contrôle technique en ligne depuis plusieurs années peut donc être concernée. Quelques réflexes simples limitent les risques :

  • ne jamais payer une amende à partir d’un lien reçu par SMS ou e-mail : les amendes se règlent uniquement sur le site officiel amendes.gouv.fr ;
  • contacter directement son centre de contrôle technique, par son numéro habituel, en cas de message inattendu ;
  • se méfier des appels qui citent la plaque ou le modèle de la voiture pour gagner la confiance ;
  • changer le mot de passe du compte de réservation s’il est utilisé ailleurs ;
  • signaler les messages frauduleux au 33700 pour les SMS et sur la plateforme Pharos pour les sites suspects.

Que va-t-il se passer maintenant ?

Au 30 octobre 2026, Auto-Planning n’a ni confirmé ni démenti publiquement l’incident. Si la fuite est avérée, le Règlement général sur la protection des données (RGPD) impose à l’entreprise de la notifier à la CNIL dans un délai de 72h après en avoir pris connaissance. Elle devra aussi prévenir les personnes concernées si le risque pour elles est jugé élevé.

Les prochains jours diront si les pirates publient tout ou partie des fichiers, comme ils menacent de le faire. Une communication officielle d’Auto-Planning ou des centres partenaires est attendue pour préciser le nombre réel de clients touchés.