Fuite de données : un pirate revendique le vol de 847 064 plaques d'immatriculation françaises

847 064 plaques d'immatriculation françaises, associées aux noms, adresses, emails et numéros de téléphone de leurs propriétaires : c'est ce qu'un individu se présentant sous le pseudonyme ChimeraZ affirme avoir volé et mis en vente samedi 24 octobre 2026 sur un forum cybercriminel, selon l'analyse de FrenchBreaches. Le fichier revendiqué compte 905 097 lignes au format JSONL, soit environ 175 Mo.

L'origine exacte de la fuite n'est pas confirmée par un organisme officiel : seul le pirate parle d'un « site présentant des failles de sécurité », sans le nommer. Mais la revendication est rapportée de façon cohérente par plusieurs médias indépendants depuis le 26 octobre 2026, avec les mêmes chiffres. Au-delà de l'alerte, le sujet pose une question très concrète : que faire si vos coordonnées, liées à votre plaque, circulent désormais sur ce type de forum, et comment un propriétaire de site qui traite ce genre de données doit réagir si la fuite vient d'un partenaire.

01Ce que contiendrait le fichier revendiqué

Selon l'analyse des extraits diffusés par ChimeraZ, le fichier associe à chaque plaque le nom, le prénom et l'adresse postale du propriétaire, ainsi qu'un email et un numéro de téléphone dans une large partie des cas. Police & Réalités précise qu'aucun identifiant sensible (mot de passe, numéro de sécurité sociale, coordonnées bancaires) n'apparaît dans les extraits rendus publics par le pirate pour prouver sa revendication.

02Une origine toujours non confirmée, et un second fichier annoncé

Aucune entreprise ni administration n'a pour l'instant confirmé être la source de cette fuite. Le flou sur l'origine fait partie du sujet : les médias sérieux rapportent la revendication en précisant systématiquement qu'elle n'émane que du pirate lui-même, sans validation tierce indépendante à ce stade.

Le pirate reste, pour l'instant, la seule source de sa propre revendication.

Selon Actu17, ChimeraZ annonce déjà la mise en vente prochaine d'un second fichier, qu'il évalue à « probablement 2 millions de plaques ». Si ce chiffre se confirme, le total potentiel approcherait les 3 millions de plaques concernées par les deux lots cumulés.

03Le vrai risque : la « doublette »

Le danger concret d'une fuite de ce type n'est pas tant l'usurpation d'identité classique que la « doublette » : un véhicule circule avec une copie de votre plaque, et les infractions (stationnement, excès de vitesse, péages) remontent sur votre nom. Le phénomène n'est pas nouveau, mais il s'accélère : selon JeChange, le ministère de l'Intérieur a enregistré plus de 23 000 plaintes pour usurpation ou fausse plaque en 2023, contre 13 600 en 2010.

Disposer de votre nom, de votre adresse et de votre numéro de plaque dans un même fichier facilite ce type de fraude ciblée, même sans mot de passe ni donnée bancaire volée.

04Que faire si vous craignez d'être concerné

Il n'existe pas aujourd'hui d'outil officiel pour vérifier individuellement si sa plaque figure dans ce fichier précis. La vigilance porte donc surtout sur les conséquences possibles d'une doublette. JeChange résume la marche à suivre en cas de contravention suspecte :

La check-list en cas d'avis de contravention inattendu

Demandez les clichés radar à l'autorité compétente pour vérifier s'il s'agit bien de votre véhicule. Déposez une plainte en ligne, un service disponible depuis octobre 2024. Contestez chaque avis dans un délai de 45 jours. En cas de récidive, demandez un nouveau numéro d'immatriculation via le site de l'ANTS, pour 2,76 € de frais d'envoi seulement. Pensez aussi à mettre à jour votre contrat d'assurance auto si une doublette est confirmée.

05Et si vous gérez un site qui collecte ce type de données

Concessions automobiles, loueurs, assureurs, plateformes de gestion de contraventions : si votre activité en ligne traite des données liées à des plaques d'immatriculation, cette affaire rappelle une obligation souvent sous-estimée. En cas de fuite chez un sous-traitant ou un partenaire qui héberge vos données, c'est à vous, responsable de traitement, de notifier la CNIL dans les 72 heures si le risque pour les personnes est avéré, même si la faille technique n'est pas de votre fait.

Ce type d'incident montre aussi pourquoi l'origine réelle d'une faille compte autant que ses effets : on l'a vu récemment avec l'exposition de conversations Meta Muse via une mauvaise configuration DNS, ou avec les vulnérabilités PHP2Shell massivement exploitées sur des millions de sites. Vérifier régulièrement les correctifs de sécurité de son CMS et auditer les accès de ses prestataires reste la meilleure prévention, bien avant qu'un pirate ne revendique quoi que ce soit sur un forum.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo