Les voyageurs des Hauts-de-France qui ont acheté en ligne un titre de transport ou une carte Pass Pass entre janvier 2021 et le 18 août 2026 sont concernés par un vol de données. Le Syndicat Mixte des Mobilités des Hauts-de-France, qui exploite le service, l'a confirmé dans un message à ses clients rendu public le 11 septembre 2026.
Ce que le syndicat mixte a reconnu après le piratage de Pass Pass
Pass Pass est la carte et la centrale de vente de titres communes aux réseaux de transport de la région. Selon le syndicat, le site passpass.fr et son application mobile ont fait l'objet d'un vol de données touchant 18 637 clients. Les données exposées sont les noms, les prénoms, les adresses postales, les adresses électroniques, les dates de naissance et les achats de titres. Le syndicat affirme qu'aucune donnée bancaire n'a été volée.
La boutique en ligne a été fermée le 8 septembre au matin pour renforcer la sécurité des services numériques, et sa réouverture passe par une mise à jour de l'application mobile. Le syndicat a saisi la CNIL et déposé plainte auprès des services de police chargés de la cybercriminalité.
Près d'un millier de mineurs dans le fichier diffusé
Les données avaient été diffusées dès le 5 septembre 2026 sur un forum cybercriminel du dark web, présentées comme une partie du fichier clients, avec 92 178 lignes et 18 861 personnes annoncées. Le dépôt porterait sur un peu plus de 18 600 personnes distinctes. Au-delà de ce que déclare le syndicat, il porterait aussi le lieu de naissance, le numéro de série de la carte sans contact et des factures nominatives avec les montants réglés.
Près d'un millier des personnes concernées seraient mineures, avec leur date de naissance et leur adresse. Nom, date et lieu de naissance, adresse et achats de titres réunis forment un profil complet, utilisable pour l'usurpation d'identité ou pour des messages frauduleux imitant le réseau de transport, par exemple une fausse relance de paiement ou de renouvellement de carte.
Détails techniques :
- 18 637 clients concernés selon le syndicat mixte
- Achats en ligne effectués entre janvier 2021 et le 18 août 2026
- Diffusion du 5 septembre 2026 : 214 Mo, 92 178 lignes, 18 861 personnes annoncées
- Un peu plus de 18 600 personnes distinctes après retrait des doublons
- Près d'un millier de mineurs dans le dépôt
- Journal technique présent dans le dépôt
- Boutique en ligne fermée le 8 septembre 2026, CNIL saisie, plainte déposée
Données concernées :
- Nom et prénom
- Adresse postale
- Adresse email
- Date de naissance
- Achats de titres de transport
Données annoncées non vérifiées :
- Civilité, lieu de naissance et numéro de téléphone
- Ville, code postal et pays
- Numéro de série de la carte sans contact
- Factures nominatives, montants réglés et historique de transactions
- Données de mineurs
- Champs libres et identifiant interne
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise