Les agents de Tisséo Voyageurs, l'exploitant du bus, du tramway et du métro de l'agglomération toulousaine, sont concernés par une fuite de données que l'établissement public a confirmée le 4 septembre 2026. Des fichiers diffusés gratuitement sur un forum cybercriminel au lendemain d'une revendication porteraient sur environ 3 200 membres du personnel ; ils ne comportent aucune donnée de voyageur selon l'entreprise.
Ce que contiennent les fichiers du personnel de Tisséo
L'exploitant dit avoir identifié le 3 septembre 2026 une extraction de données sur deux applications internes consacrées à ses agents. Les fichiers mis en ligne, annoncés à environ 1,2 Go pour 13 446 enregistrements, proviennent d'un outil de gestion des dotations en équipements de travail et d'un annuaire du personnel. Ils couvrent la période de janvier 2021 à août 2026.
On y trouve l'identité et le matricule des agents, leur affectation détaillée (direction, service, site, intitulé de poste), leurs coordonnées professionnelles internes, leurs identifiants de connexion internes, sans mot de passe associé, et l'historique des équipements de travail qui leur ont été remis.
La position de Tisséo Voyageurs sur la cyberattaque
Tisséo Voyageurs précise qu'aucune donnée bancaire ou sensible de ses agents n'a été compromise, qu'aucune donnée de voyageur n'est concernée et que le fonctionnement du réseau n'a pas été affecté. L'établissement a déposé plainte contre l'auteur des faits et informé la Cnil, l'Anssi et les autorités judiciaires. Il ne s'est en revanche prononcé ni sur le nombre de personnes concernées, ni sur la date de l'intrusion, ni sur le mode opératoire. Les fichiers restent proposés au téléchargement sur une dizaine d'hébergeurs.
Pour les agents, le croisement de leur nom, de leur poste, de leur site de travail et de leurs coordonnées internes fournit une matière toute prête pour des messages frauduleux ciblés : faux courriel de la direction, fausse demande d'un service interne ou tentative d'obtenir le mot de passe lié à un identifiant déjà connu.
Détails techniques :
- 3 234 agents concernés
- Environ 1,2 Go et 13 446 enregistrements annoncés
- Sources : application interne de gestion des dotations et annuaire du personnel
- Période couverte : de janvier 2021 à août 2026
- Identifiants de connexion internes sans mot de passe associé
- Extraction identifiée par l'exploitant le 3 septembre 2026, confirmation publique le 4 septembre 2026
- Fichiers proposés sur une dizaine d'hébergeurs
Données concernées :
- Nom complet, prénom et nom
- Matricule (identifiant interne)
- Identifiant de connexion
- Adresse email et numéro de téléphone professionnels
- Données d'emploi et données professionnelles (direction, service, site, intitulé de poste)
- Historique de dotation en équipements de travail
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise