Le groupe SGS a confirmé le samedi 14 novembre 2026 la fuite de données Sécuritest, qui concerne aussi ses deux autres réseaux de contrôle technique, Auto Sécurité France et Vérif’Autos. Si vous avez déjà réservé un contrôle en ligne chez l’un d’eux, votre nom, vos coordonnées et votre plaque d’immatriculation peuvent faire partie des informations dérobées.

Que s’est-il passé chez Sécuritest ?

Les pirates ont visé les systèmes de prise de rendez-vous en ligne des trois enseignes, que le groupe suisse d’inspection et de certification SGS exploite en France. Les clients ont reçu un courriel d’information à partir du 14 novembre 2026. Il ne précise ni la date de l’intrusion ni le nombre de personnes touchées.

SGS affirme avoir contenu l’incident. Le groupe a fait appel à des experts extérieurs en cybersécurité et se dit en contact étroit avec les autorités. L’enquête doit encore mesurer l’étendue exacte du vol.

Cette confirmation arrive une semaine après une revendication. Le 7 novembre, un pirate utilisant le pseudonyme ChimeraZ a déclaré détenir une base de données des réseaux de contrôle technique du groupe. Le lendemain, elle était proposée à la vente sur un forum cybercriminel, avec un échantillon gratuit pour convaincre les acheteurs.

Quelles données ont été volées ?

Selon le courriel de SGS, les pirates ont pu consulter les noms et prénoms, les adresses postales et électroniques, les numéros de téléphone et les plaques d’immatriculation. Le groupe précise qu’aucune donnée bancaire de client n’est concernée, parce que ces systèmes de réservation ne les conservent pas.

L’échantillon mis en ligne par le pirate contient davantage d’éléments. On y trouve des numéros de série de véhicules (le VIN, l’identifiant unique gravé sur chaque voiture), le kilométrage, les dates et les résultats de contrôles. Il comprend aussi des identifiants d’accès de centres et les coordonnées bancaires professionnelles de certains d’entre eux. Les enregistrements les plus récents remontent au 30 octobre 2026. SGS n’a confirmé aucun de ces points.

Combien d’automobilistes sont concernés par la fuite de données Sécuritest ?

Aucun chiffre officiel n’a été communiqué. Le vendeur revendique de son côté environ 96 Go de fichiers, soit 259 millions de lignes couvrant plus de sept ans d’activité, avec le détail suivant :

  • 22,7 millions de personnes ;
  • 40,9 millions de plaques d’immatriculation différentes, dont environ 13 millions reliées à des données personnelles ;
  • 90,8 millions de fiches de véhicules ;
  • 74,7 millions de contrôles techniques ;
  • près de 4 000 centres cités dans les fichiers.

Ces volumes n’ont pas été vérifiés de façon indépendante. Le lien entre cette base et l’incident reconnu par SGS reste lui aussi à établir. Les catégories se recoupent aussi largement, puisqu’une même personne peut avoir fait contrôler plusieurs voitures au fil des années. À titre de repère, le réseau Sécuritest compte à lui seul plus de 1 000 centres en France.

Pourquoi une plaque d’immatriculation intéresse les escrocs

Une plaque associée à un nom et à un numéro de téléphone fonctionne un peu comme un badge d’entrée pour un fraudeur. Avec ces trois informations, il peut écrire un message qui ressemble trait pour trait à ceux de votre garage habituel.

Les scénarios redoutés sont connus. Faux rappel de contrôle technique au nom de Sécuritest, d’Auto Sécurité ou de Vérif’Autos, fausse amende citant la vraie plaque, arnaque à la carte grise. Le risque s’ajoute à d’autres fichiers déjà en circulation. Parmi eux, ceux de la fuite de données Auto-Planning confirmée fin octobre, qui associait elle aussi des plaques à des clients, ou ceux de la fuite Maileva qui touche 22 millions de Français, annoncée la veille.

Que faire si vous êtes client de ces centres ?

Le piratage du contrôle technique n’impose aucune démarche immédiate. Quelques réflexes réduisent pourtant nettement le risque d’arnaque. Si vous voulez savoir si vos adresses figurent déjà dans d’autres bases piratées, la méthode pour vérifier une fuite de données et protéger vos comptes reste valable.

  • Ne payez rien depuis un lien reçu par SMS ou par e-mail, même s’il cite votre nom ou votre plaque.
  • Ne transmettez jamais un code reçu par SMS, un mot de passe ou vos coordonnées bancaires à quelqu’un qui vous contacte.
  • En cas de doute sur un rendez-vous ou une facture, appelez votre centre au numéro affiché sur son site officiel.
  • Si vous avez un compte client, changez son mot de passe, ainsi que celui des services où vous l’avez réutilisé.
  • Surveillez vos relevés : un prélèvement non autorisé se conteste auprès de votre banque pendant 13 mois.
  • En cas d’usurpation d’identité, déposez plainte et gardez le récépissé ; le site public cybermalveillance.gouv.fr accompagne gratuitement les victimes.

SGS n’a pas encore communiqué de calendrier pour les conclusions de son enquête, ni le nombre exact de clients prévenus.