// CLUBIC — CYBERSECURITY
Piratage à Strasbourg : les données de 230 000 clients de la CTS compromises
La Compagnie des transports strasbourgeois (CTS) a été victime d’un vol de données touchant environ 230 000 comptes clients. Si les mots de passe et les coordonnées bancaires n’ont pas été compromis, les informations dérobées pourraient faciliter des tentatives d’hameçonnage. Méfiance donc.
Officialisée hier 28 octobre, la cyberattaque concerne près de 40 % des comptes clients de la CTS. Une fuite de données qui a conduit l’opérateur de transports strasbourgeois à prévenir les personnes concernées par courriel. Comme le rapporte Ici.fr, l’incident remonte à la mi-octobre et la faille exploitée a depuis été corrigée.
Dans le détail, les pirates ont pu récupérer plusieurs informations personnelles telles que le nom, le prénom, la date de naissance, l’adresse postale ainsi que l’identifiant Badgéo associé au compte client. En revanche, la CTS assure que les mots de passe et les données bancaires ne font pas partie des informations exfiltrées.
Le directeur général de la CTS, Emmanuel Auneau, précise que l’attaque s’est produite dans la nuit du dimanche 18 au lundi 19 octobre. L’entreprise annonce avoir détecté une activité anormale, caractérisée par une sollicitation particulièrement élevée de sa base de données.
Le responsable tient également à préciser la méthode employée par les pirates : « Nos serveurs ne sont pas altérés, les hackeurs ne se sont pas infiltrés dans notre système informatique, ils ont utilisé une API pour voler des données. La faille est depuis corrigée. ».
Les assaillants ont donc exploité une interface permettant à différents logiciels de communiquer avec le site, sans nécessairement pénétrer dans l’ensemble du système informatique de l’opérateur.
Si aucune donnée bancaire ni aucun mot de passe n’ont été dérobés, l’incident n’est pas pour autant sans conséquence pour les usagers. Les informations récupérées peuvent en effet servir à concevoir des messages frauduleux particulièrement convaincants (et donc dangereux) en reprenant des éléments personnels pour inspirer confiance à leurs destinataires.
Un faux courriel évoquant un abonnement Badgéo, une régularisation ou encore un remboursement sont autant de scénarios qui pourraient sembler parfaitement légitimes. Tout récemment, c’est Engie qui a tenu à prévenir ses clients après un vol de données personnelles.
Emmanuel Auneau indique : « Je suis vraiment désolé pour nos clients mais ils risquent au pire d’être importunés par des mails indésirables ».
La prudence reste donc de mise, et la CTS rappelle qu’elle ne demande pas à ses clients d’effectuer une transaction financière ou de communiquer leurs coordonnées bancaires par courriel. Comme toujours, en cas de message suspect, on évite soigneusement les liens proposés et on vérifie directement les informations auprès de l’opérateur.