Fuite de données CTS à Strasbourg : la Compagnie des transports strasbourgeois (CTS) a révélé le mercredi 28 octobre 2026 une fuite de données touchant environ 230 000 comptes clients. Noms, prénoms, dates de naissance, adresses postales et identifiants de connexion ont été dérobés via son site internet, tandis que les coordonnées bancaires et les mots de passe ne sont pas concernés.
L’opérateur des bus et tramways de l’Eurométropole de Strasbourg a informé les clients touchés par courriel et prévenu l’autorité de protection des données. Le principal danger désormais identifié porte sur des tentatives d’hameçonnage ciblées.
Que s’est-il passé lors du piratage de la CTS ?
La CTS a été victime d’une exfiltration de données, c’est-à-dire d’une copie non autorisée d’informations stockées sur ses serveurs vers l’extérieur. Selon le communiqué publié par l’entreprise, l’attaque a reposé sur une utilisation illicite de son site internet, sur lequel les usagers gèrent leur compte client.
La compagnie indique avoir interrompu l’extraction dès que l’incident a été repéré. Elle n’a en revanche communiqué ni la date de l’intrusion, ni sa durée, ni l’identité ou le nombre des auteurs.
Combien de clients sont concernés par la fuite de données CTS ?
La fuite de données CTS porte sur environ 230 000 comptes clients. D’après les premières informations disponibles, cela représenterait près de 40 % des quelque 586 000 comptes enregistrés sur la plateforme de l’opérateur.
Le chiffre communiqué correspond à des comptes et non à des personnes physiques : un même usager peut en posséder plusieurs, et certains comptes peuvent être inactifs. La CTS n’a pas précisé le nombre exact d’individus touchés.
Quelles données personnelles ont été volées ?
Les informations dérobées sont des données d’identité et de contact, suffisantes pour personnaliser un message frauduleux. Voici ce qui a été exposé et ce qui ne l’a pas été :
- Exposé : nom et prénom du titulaire du compte
- Exposé : date de naissance
- Exposé : adresse postale
- Exposé : identifiants de connexion au compte client
- Non concerné : mots de passe
- Non concerné : coordonnées bancaires
L’absence des mots de passe et des données de paiement limite le risque d’accès direct aux comptes ou de prélèvements frauduleux. Le croisement d’une adresse et d’une date de naissance reste toutefois une base exploitable pour l’usurpation d’identité ou l’escroquerie par téléphone et par courriel.
Quelles mesures la CTS a-t-elle prises ?
La CTS a renforcé la sécurité de son site et accéléré des chantiers de protection qui étaient déjà programmés. Plusieurs démarches ont été engagées en parallèle :
- arrêt de l’exfiltration dès la détection de l’incident ;
- notification de la violation de données à la CNIL, la Commission nationale de l’informatique et des libertés ;
- information des clients concernés par courriel ;
- dépôt de plainte annoncé auprès du tribunal judiciaire de Strasbourg.
La notification à la CNIL est une obligation prévue par le Règlement général sur la protection des données (RGPD) : un organisme victime d’une violation présentant un risque pour les personnes doit la signaler dans un délai de 72 heures après en avoir pris connaissance.
Phishing : comment se protéger après la fuite de données CTS ?
Le risque principal est l’hameçonnage, ou phishing, une technique qui consiste à envoyer de faux messages imitant une organisation connue pour soutirer des informations ou de l’argent. La CTS elle-même désigne ce danger, car des escrocs disposant du nom, de l’adresse et de la date de naissance d’un usager peuvent rédiger des courriels ou des SMS très crédibles.
Les clients concernés sont invités à se méfier de tout message se présentant comme provenant de la compagnie et réclamant des informations personnelles ou bancaires. Quelques réflexes réduisent le risque :
- ne jamais communiquer de coordonnées bancaires à la suite d’un courriel, d’un SMS ou d’un appel non sollicité ;
- vérifier l’adresse réelle de l’expéditeur et ne pas cliquer sur les liens d’un message suspect ;
- se connecter à son compte en tapant soi-même l’adresse du site officiel ;
- changer par précaution son mot de passe s’il est réutilisé sur d’autres services ;
- signaler les tentatives d’escroquerie sur la plateforme publique Cybermalveillance.gouv.fr ou transférer les SMS frauduleux au 33700.
Une série de fuites de données en France
La fuite de données CTS s’ajoute à une longue liste de violations de données touchant des organismes français en 2026, qu’il s’agisse d’entreprises, d’administrations ou de partis politiques. Les opérateurs de services du quotidien, comme les transports publics, détiennent des fichiers clients volumineux qui intéressent les cybercriminels, notamment pour alimenter des campagnes d’arnaques ciblées.
La plainte annoncée par la CTS doit désormais permettre l’ouverture d’une enquête sur l’origine de l’attaque. La compagnie n’a pas encore indiqué si d’autres informations seraient publiées sur le déroulé exact de l’intrusion.
