850 000 plaques d'immatriculation : vos données en vente sur le Dark Web ?

Votre plaque d'immatriculation, tout le monde peut la voir. Dans la rue, sur un parking ou même sur une photo publiée sur Internet. Rien de particulièrement inquiétant jusque-là. Mais imaginez qu'il suffise de connaître cette plaque pour retrouver votre nom, votre adresse et même votre numéro de téléphone. Voilà précisément ce que permettrait un fichier actuellement proposé à la vente par un pirate informatique.

Le 24 octobre 2026, un cybercriminel utilisant le pseudonyme ChimeraZ a revendiqué le vol d'une importante base de données concernant des automobilistes français. Au total, près de 850 000 plaques d'immatriculation seraient associées aux coordonnées de leurs propriétaires. Une affaire qui mérite notre attention, même si l'origine et l'authenticité complète du fichier restent à confirmer.

Des plaques, des noms et des adresses personnelles

Selon les informations publiées par le pirate, la base contiendrait exactement 905 097 enregistrements, dont 847 064 plaques d'immatriculation distinctes. On y retrouverait également 506 003 adresses électroniques et 474 906 numéros de téléphone, ainsi que des noms, prénoms et adresses postales.

Ces chiffres demandent toutefois une petite précision. Les 905 097 enregistrements ne correspondent pas nécessairement à autant de personnes différentes. Un même automobiliste peut posséder plusieurs véhicules, et certaines informations peuvent apparaître plusieurs fois.

Les échantillons examinés par le site spécialisé FrenchBreaches couvriraient une période allant de 2017 à 2026. Les captures diffusées ne montrent pas de mots de passe ni de coordonnées bancaires, mais cela ne permet pas d'exclure définitivement la présence d'autres informations dans le fichier complet.

Quant à l'origine de cette base, c'est encore le mystère. ChimeraZ affirme l'avoir récupérée sur un site Internet vulnérable, dont il refuse pour le moment de révéler le nom. Rien ne permet d'affirmer que le Système d'immatriculation des véhicules (SIV), utilisé par les autorités françaises, a été piraté.

Autrement dit, nous avons une revendication accompagnée de quelques éléments, mais pas encore la confirmation officielle d'une fuite de cette ampleur. Une différence importante, surtout lorsqu'on parle de centaines de milliers de personnes potentiellement concernées.

Une fausse amende pourrait devenir beaucoup plus crédible

Le principal danger ne vient pas de la plaque d'immatriculation elle-même. Après tout, elle n'a jamais été un secret ! C'est le rapprochement entre cette plaque et les coordonnées personnelles de son propriétaire qui pourrait intéresser les escrocs.

Imaginez recevoir un SMS vous annonçant une contravention impayée. Le message indique votre nom, reprend votre véritable numéro d'immatriculation et vous invite à régler rapidement quelques dizaines d'euros pour éviter une majoration. Avec autant d'informations exactes, difficile de ne pas se demander si le message est authentique.

Pourtant, il pourrait parfaitement s'agir d'une arnaque. Les campagnes de fausses amendes existent déjà depuis plusieurs années. Les escrocs se font notamment passer pour l'Agence nationale de traitement automatisé des infractions (ANTAI) et redirigent leurs victimes vers de faux sites de paiement, parfois très ressemblants aux véritables services administratifs.

Un tel fichier pourrait aussi servir à préparer de faux appels de garages ou d'assureurs. Quelqu'un vous contacte en connaissant votre véhicule et prétend qu'un rappel constructeur nécessite une intervention urgente. Il réclame ensuite quelques informations bancaires pour organiser la réparation. Voilà une histoire qui pourrait sembler sérieuse, surtout lorsque l'interlocuteur connaît déjà votre adresse.

Attention cependant : aucun de ces scénarios n'a été officiellement relié au fichier revendiqué par ChimeraZ. Il s'agit de risques possibles, pas d'escroqueries dont l'existence aurait été démontrée dans cette affaire.

Faut-il craindre une usurpation de sa plaque ?

Autre inquiétude, les fameuses « doublettes ». Cette fraude consiste à reproduire le numéro d'immatriculation d'un véhicule sur un autre. Le conducteur malhonnête peut alors commettre des infractions, tandis que le véritable propriétaire reçoit les contraventions. Sympathique surprise dans la boîte aux lettres, surtout lorsqu'on n'a jamais mis les roues dans la ville où l'infraction aurait été commise !

Mais soyons précis : une fuite de données n'est absolument pas nécessaire pour fabriquer une doublette. Un fraudeur peut déjà relever une plaque dans la rue. La présence éventuelle de coordonnées personnelles dans une base supplémentaire pourrait faciliter certaines escroqueries, sans pour autant démontrer une augmentation des usurpations.

Si vous recevez une contravention concernant une infraction que vous n'avez pas commise, ne la payez pas immédiatement. Vérifiez d'abord les informations figurant sur l'avis et, si nécessaire, demandez la photographie du radar.

En cas d'usurpation avérée, il faut déposer plainte, contester la contravention et demander un nouveau numéro d'immatriculation auprès de France Titres. Les démarches sont détaillées sur le site officiel Service-Public.

Comment savoir si votre voiture est concernée ?

Malheureusement, il n'existe actuellement aucun service public permettant de vérifier si votre plaque figure dans ce fichier. Puisque l'organisme à l'origine de la fuite n'est pas identifié, personne ne peut fournir une liste officielle des personnes concernées.

Pas question pour autant de changer précipitamment sa plaque d'immatriculation ou tous ses mots de passe. À ce stade, rien ne justifie de telles mesures pour l'ensemble des automobilistes.

En revanche, quelques précautions restent utiles. Si vous recevez un SMS ou un courriel vous demandant de payer une contravention, ne suivez pas directement son lien. Rendez-vous vous-même sur le site officiel de paiement des amendes pour vérifier la situation.

Même prudence lorsqu'un prétendu garagiste ou assureur vous téléphone en connaissant votre plaque. Raccrochez et contactez directement l'entreprise à l'aide d'un numéro trouvé sur son site officiel ou sur vos documents habituels. Et ne communiquez jamais un code de validation reçu par SMS à un interlocuteur inconnu.

Le site gouvernemental Cybermalveillance.gouv.fr propose d'ailleurs plusieurs exemples de fausses contraventions pour apprendre à reconnaître ces tentatives d'escroquerie.

Cette affaire rappelle finalement que les données personnelles les plus banales peuvent devenir sensibles lorsqu'elles sont réunies dans un même fichier. Une plaque, un numéro de téléphone et une adresse ne permettent pas, à eux seuls, de pirater un compte bancaire. Mais ils peuvent suffire à gagner la confiance d'une personne qui ne se méfie pas.

Et c'est peut-être ce qui devrait nous inquiéter davantage que les chiffres annoncés : nous avons pris l'habitude de voir nos informations personnelles circuler d'un service à l'autre, sans toujours savoir qui les conserve ni pendant combien de temps. Quand elles finissent au mauvais endroit, il est malheureusement beaucoup plus difficile de les récupérer.