Communauto : des permis et pièces d'identité potentiellement exposés

Un compte interne utilisé sans autorisation

L'incident n'est pas présenté comme une attaque contre le site public de réservation. Dans la notification reprise par FrenchBreaches et Cyberattaque.org, Communauto explique avoir détecté une activité inhabituelle le 4 septembre 2026, liée à l'utilisation non autorisée d'un compte utilisateur interne. Ce compte avait accès aux documents employés pour contrôler l'identité de membres lors de leur inscription.

Cette précision compte : un accès interne dispose déjà de droits sur les dossiers. Il peut donc permettre de consulter ou de télécharger des documents sans avoir à contourner, depuis l'extérieur, les protections visibles par les clients. Les premières investigations de l'entreprise concluent que certains fichiers ont pu être vus ou récupérés sans autorisation. Elles ne disent pas quels dossiers l'ont été avec certitude, ni combien de personnes sont concernées.

Permis, coordonnées et photographies dans les dossiers concernés

Les catégories potentiellement exposées sont particulièrement sensibles. Communauto cite les nom et prénom, la date de naissance, l'adresse, le numéro de téléphone et le numéro de permis de conduire. Peuvent aussi figurer dans le dossier d'autres pièces d'identité ou justificatifs envoyés à l'inscription, ainsi qu'une photographie lorsqu'elle a été fournie pour la vérification d'identité.

Ce n'est pas l'équivalent d'une simple adresse e-mail. Un permis ou un justificatif, associé à une identité complète et à une photo, peut servir à rendre un faux dossier ou un faux échange beaucoup plus crédible. Une personne malveillante peut par exemple se faire passer pour Communauto, un assureur ou un loueur et connaître assez de détails pour convaincre sa cible de fournir une information supplémentaire. Cela ne prouve pas qu'une telle fraude est déjà en cours.

Les paiements et les mots de passe ne seraient pas accessibles

Communauto précise que les renseignements de paiement et les mots de passe des comptes n'étaient pas accessibles depuis le compte impliqué. Selon l'entreprise, ils n'ont donc pas pu être consultés ou téléchargés dans cet incident. Changer son mot de passe Communauto ne répondrait pas, à lui seul, au risque décrit par la notification : l'enjeu porte d'abord sur des données d'identité qui ne se remplacent pas comme un mot de passe.

L'entreprise indique ne pas avoir connaissance, à ce stade, d'un usage frauduleux des renseignements concernés. Elle dit avoir coupé les accès, mandaté des experts indépendants et chargé ceux-ci de surveiller le web et le dark web. La police a été avisée. D'après les sources consultées, une perquisition au domicile de la personne soupçonnée aurait eu lieu dès le lendemain, avec saisie de matériel informatique.

Le bon réflexe : ne jamais compléter un dossier sur demande

Les personnes notifiées doivent se méfier en priorité d'un message, d'un appel ou d'un SMS qui réclame de confirmer un permis, de payer des frais, de transmettre une pièce d'identité ou de donner un code reçu sur le téléphone. Un escroc peut utiliser le nom, l'adresse ou le numéro de permis pour donner à sa demande une apparence légitime. Ces données ne constituent jamais une preuve que l'interlocuteur est bien Communauto.

En cas de doute, ouvrez vous-même l'application ou tapez l'adresse habituelle du service dans votre navigateur, au lieu de suivre un lien reçu. Pour toute demande qui semble urgente, retrouvez les coordonnées de Communauto indépendamment du message et rappelez par ce canal. Ne transmettez ni copie de document, ni code de connexion, ni information bancaire à la suite d'un contact non sollicité.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas déterminer le nombre de membres concernés, le nombre de documents effectivement consultés ou téléchargés, ni les catégories précises présentes dans chaque dossier. Communauto n'a pas publié de bilan chiffré. Les sources consultées indiquent que la société a contacté certains membres, mais elles ne permettent pas d'établir si des abonnés de France, notamment en Île-de-France, font partie des personnes concernées.

Nous ne pouvons pas non plus vérifier l'identité de la personne soupçonnée, le déroulé exact de l'accès, ni si des fichiers sont sortis de son matériel ou ont été diffusés. L'entreprise dit ne pas disposer d'élément montrant une utilisation frauduleuse. Cette situation peut évoluer avec l'enquête et avec les résultats de la surveillance annoncée.

Sources : Cyberattaque.org ↗ · Fuites Infos ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.