Auto-Planning confirme une cyberattaque et conteste les chiffres des plaques

Le 2 novembre 2026, la société Auto-Planning a confirmé au Parisien avoir subi une cyberattaque et avoir prévenu la Commission nationale de l'informatique et des libertés (CNIL). Jointe par le journal, elle conteste les volumes de FrenchBreaches, qui estime environ 13,9 millions de plaques d'immatriculation et 18 millions d'identités.

Auto-Planning édite des agendas en ligne pour des centres de contrôle technique, des garages et des auto-écoles. Sa page d'accueil, consultée le 5 novembre 2026, indique que plus de 450 centres lui font confiance. Les mentions légales la présentent comme une SARL d'édition de logiciels, siège à Boulogne-Billancourt.

L'attaque est confirmée, pas le décompte

Louis Valleau et Damien Licata Caruso écrivent, dans Le Parisien du 2 novembre 2026 à 18 h 56, que l'entreprise confirme l'attaque et affirme avoir averti la CNIL, comme la loi l'exige en cas de violation de données personnelles. Elle conteste les chiffres des sites d'alerte.

Mais elle conteste les chiffres qui circulent sur plusieurs sites lanceurs d'alerte.

Cette phrase est celle des journalistes, et l'accueil du site, relu le 5 novembre 2026, ne publie aucun bilan chiffré.

Ce que FrenchBreaches a estimé le 29 octobre

L'alerte FrenchBreaches, signée Seblatombe le 29 octobre 2026 et mise à jour le 2 novembre, part de fichiers transmis au site : plus de 200 millions de lignes, 91 824 920 rendez-vous, environ 18 millions d'identités après suppression des doublons, et environ 13,9 millions de plaques. Certaines données remonteraient à 2008. Le billet associé, mis à jour le 1er novembre, rappelle que ce n'est pas un décompte officiel de victimes.

Ces rendez-vous ne sont pas autant de personnes. Un autre fichier recense 791 centres et plus de 37,2 millions de rendez-vous dits actifs, et un troisième liste 694 noms de domaine. Y figurer ne signifie pas, écrit FrenchBreaches, que le site du centre a été piraté.

Une fiche d'échantillon peut réunir le nom, l'e-mail, le téléphone, le véhicule, la plaque, le rendez-vous, le centre et une adresse IP. FrenchBreaches ne republie pas ces identifiants.

Les attaquants revendiquent aussi 36 545 factures PDF, des pièces susceptibles de contenir des relevés d'identité bancaire, et des codes sources. L'inventaire ne prouve pas, écrit FrenchBreaches, que chaque fichier a été copié. Ils réclament 33 333 dollars et menacent de publier les données sous 72 heures, sous le nom Operation GlassLodge, qui n'identifie pas un groupe connu.

La reprise du 5 novembre omet la contestation

Le 5 novembre 2026 à 16 h, Florian Bayard écrit sur 01net que la base aurait été mise en vente et que les deux sociétés ont prévenu la CNIL. Il présente Auto Contrôle Paris comme un concurrent, alors que FrenchBreaches rattache ce site à la SARL Auto-Planning. 01net ne reprend pas la contestation des chiffres, et la mise en vente n'y figure pas comme un prix distinct : FrenchBreaches décrit la rançon et la menace de publication.

Ne payez pas un contrôle technique reçu par SMS

Une plaque exacte, un téléphone exact et une date de contrôle rendent un message plus crédible qu'un SMS générique. FrenchBreaches cite une fausse amende de l'Agence nationale de traitement automatisé des infractions (ANTAI), de faux frais de carte grise, ou un paiement pour confirmer un rendez-vous. Au 1er novembre, aucune utilisation frauduleuse ni aucun vol lié n'était confirmé. Les pages relues le 5 novembre ne disent pas le contraire.

Cette affaire est distincte de la revendication ChimeraZ du 24 octobre 2026, déjà relatée : plus de 905 000 enregistrements et 847 064 plaques, origine non établie. Rien, le 5 novembre, ne montre qu'il s'agit du même fichier. Auto-Planning n'a toujours pas publié le nombre de dossiers copiés, la liste des centres, ni indiqué si les personnes ont été prévenues une par une.

Source

• Le Parisien, 2 novembre 2026 à 18 h 56, Louis Valleau et Damien Licata Caruso : attaque confirmée, CNIL saisie, chiffres contestés.

• FrenchBreaches, alerte, 29 octobre 2026, Seblatombe, mise à jour le 2 novembre : volumes estimés et rançon de 33 333 dollars.

• FrenchBreaches, billet, 29 octobre 2026, mis à jour le 1er novembre : même estimation, pas d'usage frauduleux confirmé à cette date.

• 01net, 5 novembre 2026 à 16 h, Florian Bayard : reprise du jour, sans la contestation des chiffres.

• auto-planning.fr, accueil et mentions légales consultés le 5 novembre 2026.

• Revendication ChimeraZ du 24 octobre 2026, article KLYNLABS du 27 octobre. Fichier distinct.