# Auto-Planning : ce que démontre la fuite automobile revendiquée

> Une revendication évoque des millions de rendez-vous et d’automobilistes. Analyse des échantillons rapportés, des risques et des limites de la preuve publique.

Publié le: 2026-11-04  
Canonical: https://rootzero.eu/research/auto-planning-revendication-fuite-controle-technique-2026/

**Revendication signalée le 29 octobre 2026 ; état des sources au 4 novembre.** [FrenchBreaches, cité par Solutions Numériques](https://www.solutions-numeriques.com/cyberattaque-contre-auto-planning-18-millions-dautomobilistes-potentiellement-exposes/), rapporte des échantillons de données attribués à Auto-Planning, prestataire de prise de rendez-vous de contrôle technique. Les auteurs de la revendication parlent de très gros volumes ; **18 millions d’identités** est une estimation après dédoublonnage, pas un bilan confirmé par l’entreprise. Aucune communication publique d’Auto-Planning confirmant l’étendue de l’exfiltration n’a été trouvée dans les sources examinées.

## Trois niveaux de preuve à ne pas mélanger

Premier niveau : une **revendication** d’attaquants, qui décrit un volume et une intrusion. Elle ne prouve ni la possession de chaque ligne annoncée ni un accès persistant. Deuxième niveau : des **échantillons** que FrenchBreaches dit avoir examinés, comportant notamment identité, téléphone, plaque et rendez-vous. Ils peuvent montrer que certaines données ont circulé ; ils ne permettent pas d’extrapoler mécaniquement à la totalité. Troisième niveau : un **périmètre confirmé par l’opérateur**, absent des sources publiques consultées. Le média cité précise lui-même que les échantillons ne suffisent pas à confirmer tous les volumes revendiqués.

Le reportage mentionne environ **92 millions de rendez-vous** allégués, des données remontant à 2008 et une estimation proche de **14 millions de plaques**. Ce sont des chiffres issus de l’analyse rapportée, non des totaux officiellement validés. Il évoque aussi des empreintes de mots de passe utilisant MD5 dans un échantillon. Si confirmé, ce serait un mauvais choix pour protéger des mots de passe : MD5 est rapide à calculer, ce qui favorise les essais hors ligne après fuite d’empreintes. Le reportage ne publie pas l’architecture d’authentification complète, le mode de salage ni le vecteur initial ; on ne peut pas en déduire une méthode d’intrusion.

## Pourquoi le rapprochement des champs change le risque

Une plaque seule ne donne pas un accès informatique. Associée à un nom, un numéro de téléphone, un modèle et une date de rendez-vous, elle peut rendre crédible un SMS de fausse relance de contrôle technique ou d’amende. Ce sont des **scénarios de fraude possibles**, pas des abus confirmés de ces données. L’intérêt technique du dossier est la mutualisation : un prestataire peut héberger des agendas de nombreux centres ; l’analyse d’impact doit donc faire correspondre chaque enregistrement à son établissement, son ancienneté et sa durée de conservation, sans conclure que chaque centre a lui-même été piraté.

Pour transformer cette alerte en bilan, il faudrait une déclaration de l’opérateur ou une expertise indépendante précisant les journaux d’accès, les tables exfiltrées, les doublons, les dates et les données effectivement sensibles. D’ici là, l’article reste un **état de la preuve**, avec un risque conditionnel clairement identifié. Il sera corrigé si un bilan primaire est publié.

**Source publique examinée :** [enquête Solutions Numériques du 2 novembre 2026, fondée sur l’analyse rapportée par FrenchBreaches](https://www.solutions-numeriques.com/cyberattaque-contre-auto-planning-18-millions-dautomobilistes-potentiellement-exposes/).