Pass Pass : une fuite de données revendiquée, pas confirmée

Une revendication publiée le 5 septembre

FrenchBreaches rapporte qu’un utilisateur utilisant le pseudonyme ChimeraZ revendique la diffusion d’une base partielle attribuée à passpass.fr. Le site spécialisé indique avoir analysé des fichiers transmis avec cette publication. Le chiffre de 18 861 personnes, comme celui de 92 178 enregistrements, provient de l’auteur de la fuite et non d’une communication de Pass Pass. Il faut donc parler de données revendiquées, pas d’un bilan établi.

Pass Pass est le service de mobilité présenté sur son site officiel pour les déplacements en Hauts-de-France. Ce contexte rend l’affaire potentiellement utile à surveiller pour ses usagers. Il ne permet cependant pas de déduire que tous les détenteurs d’une carte, tous les voyageurs de la région ou tous les comptes du service seraient concernés. La source disponible décrit une base partielle, sans fournir de liste vérifiable des personnes affectées.

Une revendication de ce type signifie qu’un acteur affirme détenir ou avoir publié des données. Elle ne prouve pas à elle seule la méthode d’accès, l’authenticité complète des fichiers ni le fait que l’organisation ait été compromise dans les conditions décrites. Une entreprise peut avoir besoin de temps pour examiner une alerte, mais cette absence de confirmation oblige aussi à conserver une formulation prudente.

92 178 enregistrements ne veulent pas dire 92 178 personnes

La différence entre les deux nombres est importante. Selon FrenchBreaches, les fichiers comporteraient des commandes, des paiements, des adresses de facturation ou de livraison, des factures et des produits de transport. Une même personne peut donc apparaître dans plusieurs tables ou plusieurs lignes : une commande, son paiement, sa facture et son titre de transport peuvent tous produire des enregistrements distincts.

C’est pourquoi le chiffre de 18 861 personnes avancé par l’auteur est plus parlant que le total de 92 178 enregistrements. Mais il conserve la même limite : il n’est pas confirmé par Pass Pass. Il ne faut ni transformer les lignes techniques en individus, ni présenter ce total comme un nombre officiel de clients touchés.

Coordonnées, commandes et factures figureraient dans les fichiers

La source décrit des noms, prénoms, adresses e-mail et adresses postales, ainsi que des identifiants clients internes. Elle mentionne aussi des références de commandes et de transactions, leurs dates et montants, des statuts de paiement, des informations de facturation ou de livraison et des données relatives à des titres ou produits de transport. Des journaux techniques liés à des applications internes apparaîtraient également dans les éléments examinés.

Les détails de commande et de facturation sont plus sensibles qu’une simple adresse e-mail, car ils donnent du contexte à une tentative de fraude. Un escroc peut s’en servir pour écrire un faux message qui paraît crédible : il peut évoquer un achat, un montant, un moyen de paiement ou un service de transport. Cela ne rend pas le message authentique, mais peut le rendre plus convaincant.

FrenchBreaches précise n’avoir observé, dans les échantillons consultés, ni numéro complet de carte bancaire, ni cryptogramme visuel, ni date d’expiration. La présence d’informations relatives au paiement ne permet donc pas d’affirmer que des coordonnées bancaires de cartes ont fuité. La nuance est essentielle.

Le risque immédiat est le faux message très personnalisé

Pour une personne susceptible d’avoir utilisé le service, le réflexe le plus utile est de se méfier davantage d’un courriel ou SMS inattendu qui prétend venir de Pass Pass, d’un réseau de transport ou d’un service de paiement. Le message peut citer des détails vrais afin de pousser à cliquer sur un lien, à appeler un faux numéro ou à saisir des informations sur un site copié.

Ne suivez pas le lien reçu dans ce type de message, même s’il parle d’une facture, d’un remboursement ou d’un renouvellement. Ouvrez vous-même le site ou l’application habituelle, ou retrouvez les coordonnées du service de manière indépendante. Si un interlocuteur demande un code reçu par SMS ou vos informations bancaires pour régulariser une situation, interrompez l’échange et vérifiez par un canal officiel.

Ce que nous ne pouvons pas vérifier

Nous n’avons pas pu vérifier indépendamment l’origine de la base, son intégrité, la méthode qui aurait permis d’y accéder, ni le nombre réel de personnes concernées. Les chiffres, le volume de 214 Mo et les 92 178 enregistrements rapportés sont attribués à l’auteur de la publication et relayés par FrenchBreaches. Le nombre approximatif de 12 000 factures est déduit du nom d’un fichier analysé, pas d’un comptage officiel.

Nous n’avons identifié aucune confirmation publique de Pass Pass sur cet incident au moment de notre vérification. Nous ne savons donc pas si les accès éventuellement concernés ont été désactivés, si les personnes potentiellement touchées ont été informées, ni si d’autres catégories de données existent au-delà des échantillons décrits. Cette page sera à mettre à jour si Pass Pass ou une autorité publie des éléments vérifiables.

Sources : Pass Pass ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.