Auto-Planning, le prestataire qui gère la réservation en ligne pour plus de 450 centres de contrôle technique en France (réseaux Autovision, Autosur, Sécuritest, Dekra, Norisko, ainsi que le service Auto-Contrôle-Paris), a été victime d'une cyberattaque revendiquée le 29 octobre 2026. Selon JeChange, qui relaie l'alerte du site spécialisé dans les fuites de données FrenchBreaches, les pirates affirment détenir les fiches de 18 millions de personnes et près de 14 millions de plaques d'immatriculation. Auto-Planning a confirmé le piratage à BFM Tech le 30 octobre, mais sans valider ces volumes.
L'enjeu dépasse la simple fuite : ces données alimentent déjà des SMS d'hameçonnage usurpant une alerte « contrôle technique expiré », et ce smishing est nettement plus convaincant que les campagnes génériques puisqu'il peut s'appuyer sur la vraie plaque et le vrai centre fréquenté par la victime.
À retenir
- Auto-Planning, prestataire de 450+ centres de contrôle technique, piraté et revendiqué le 29 octobre 2026.
- Les pirates réclament 33 333 € sous 72 heures, sans quoi ils menacent de diffuser ou revendre les données.
- Volumes revendiqués : 18 millions de personnes et près de 14 millions de plaques, non confirmés par l'entreprise.
- Données exposées présumées : noms, e-mails, téléphones, plaques, centre et adresse exacte visités, et 36 545 factures PDF pouvant contenir un RIB.
- L'amende de contrôle technique (135 € ou 90 €) ne se paie jamais via un lien SMS, seul antai.gouv.fr est légitime.
01Ce qu'on sait du piratage d'Auto-Planning
Auto-Planning n'est pas un centre de contrôle technique mais l'outil de réservation utilisé en coulisses par un grand nombre d'entre eux. C'est ce rôle d'intermédiaire qui donne au pirate accès, en un seul point, aux données de clients répartis sur plusieurs réseaux concurrents : Autovision, Autosur, Sécuritest, Dekra, Norisko, ainsi que le service parisien Auto-Contrôle-Paris.
Selon Cyberattaque.org, les auteurs de l'attaque réclament 33 333 euros à l'entreprise, avec un délai de paiement de 72 heures, faute de quoi ils menacent de diffuser ou de revendre les données. C'est le scénario classique du chantage post-intrusion : la rançon se négocie sur la non-publication, pas sur la restitution des fichiers déjà copiés.
Des données bien plus précises qu'une simple fuite d'e-mails
D'après JeChange, les informations exposées comprendraient noms, prénoms, adresses e-mail, numéros de téléphone, adresses IP de réservation, plaques d'immatriculation, et surtout le nom et l'adresse exacte du centre de contrôle technique fréquenté par chaque personne. S'y ajouteraient 36 545 factures au format PDF, dont certaines peuvent contenir un RIB.
02Pourquoi ce SMS précis est plus crédible qu'un phishing classique
Les SMS usurpant une amende ou une administration ne sont pas nouveaux : un mécanisme très proche a déjà servi à pirater des comptes via un faux vote WhatsApp, en misant sur l'urgence pour faire cliquer avant de réfléchir. Ce qui change ici, c'est la matière première dont disposerait l'escroc : s'il a bien accès aux données revendiquées, il ne devine plus une plaque au hasard, il connaît la vraie plaque, le vrai centre visité et parfois la date du dernier passage. Le SMS gagne alors un niveau de personnalisation que le smishing générique n'atteint pas.
Un SMS qui cite la bonne plaque et le bon centre ne devine plus rien, il rejoue une information volée.
Le mécanisme à redouter est toujours le même : un message qui crée l'urgence (contrôle technique soi-disant expiré, amende à régler sous peine de majoration), un lien qui imite un site officiel, et un formulaire qui collecte identifiants bancaires ou données personnelles complémentaires. Aucune source consultée ne cite le texte exact d'un de ces SMS : c'est le mécanisme qui est documenté, pas le libellé précis, et il ne faut donc pas prendre pour argent comptant une formulation de SMS qui circulerait ailleurs sans preuve.
Ce type de fuite rejoint une série d'incidents touchant spécifiquement les plaques d'immatriculation françaises, comme celui où un pirate revendiquait déjà le vol de 847 064 plaques quelques mois plus tôt. La répétition de ce type de ciblage suggère que les plaques, croisées avec une adresse ou un service administratif, sont devenues une donnée recherchée pour construire des arnaques crédibles.
03Le réflexe à avoir en cas de SMS « contrôle technique expiré »
La règle est simple et elle vaut pour toute amende routière : l'amende pour contrôle technique expiré s'élève à 135 euros, ramenée à 90 euros en cas de paiement rapide, et elle ne se règle jamais via un lien reçu par SMS. Le seul site légitime est antai.gouv.fr, à taper directement dans la barre d'adresse du navigateur, jamais via un lien transmis par message.
Trois vérifications avant de cliquer
Un SMS qui demande de régler une amende en urgence, qui renvoie vers un nom de domaine qui ressemble à l'officiel sans l'être, ou qui pousse à saisir des coordonnées bancaires sur une page inconnue doit systématiquement être considéré comme suspect, même s'il cite la bonne plaque ou le bon centre de contrôle technique.
04Que faire si vous recevez le SMS, ou si vous avez cliqué
Le SMS suspect peut être transféré gratuitement au numéro court 33700, le dispositif national de signalement qui permet de faire bloquer le numéro de l'émetteur frauduleux. C'est un geste simple, gratuit, et utile pour tout le réseau d'abonnés, pas seulement pour la personne qui signale.
Si vous avez déjà cliqué et saisi des informations, le réflexe le plus efficace reste de changer immédiatement les mots de passe réutilisés sur d'autres services, et de surveiller les mouvements bancaires dans les jours suivants. C'est le même conseil qui vaut après n'importe quelle fuite exploitée par des arnaqueurs, comme on l'a détaillé après la fuite de données Engie : l'exploitation d'une brèche se joue souvent dans les semaines qui suivent sa divulgation, pas le jour même.
05Une réserve d'intégrité à garder en tête
Les chiffres de 18 millions de personnes et 14 millions de plaques sont une revendication des pirates, publiée pour appuyer leur demande de rançon et donner du poids à la menace de revente. Auto-Planning a confirmé l'intrusion elle-même auprès de BFM Tech, mais aucune source consultée n'indique que l'entreprise ait validé ces volumes précis. Le signal à retenir n'est donc pas le chiffre exact, mais la nature des données concernées : elles relient une identité à un véhicule et à un lieu fréquenté, ce qui suffit à rendre un SMS frauduleux plus convaincant, que la fuite touche 18 millions de personnes ou un nombre plus restreint.
Le lecteur se demande souvent
Que faire si j'ai déjà communiqué des informations à un faux conseiller ? Comment savoir si mon site a été touché par un skimmer ? Comment savoir si mes données figurent dans cette fuite ?Questions fréquentes
Comment savoir si mes données ont été exposées par la fuite Auto-Planning ?
Le vrai site antai.gouv.fr peut-il envoyer un SMS avec un lien de paiement ?
Que risque-t-on vraiment avec ce smishing au-delà du paiement de la fausse amende ?
Pourquoi les pirates réclament-ils une rançon à Auto-Planning plutôt que de vendre directement les données ?
Sources
Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo