Mauvaise nouvelle pour les habitués des transports en commun. La plateforme Pass Pass Mobilités, utilisée notamment pour acheter des titres de transport dans la métropole lilloise et les Hauts-de-France, a été victime d'un important vol de données personnelles. Et si vous avez rechargé votre carte en ligne au cours des cinq dernières années, mieux vaut jeter un œil à votre boîte mail.
Près de 19 000 voyageurs concernés par le piratage
Le 11 septembre dernier, le Syndicat mixte des mobilités des Hauts-de-France a annoncé que son site Pass Pass et son application mobile avaient été victimes d'un vol de données, revendiqué quelques jours plus tôt sur un forum du darknet. Au total, 18 637 clients ayant effectué un achat en ligne entre janvier 2021 et le 18 août 2026 sont concernés. Mais ce chiffre pourrait être légèrement plus élevé. Pour 2 228 autres voyageurs ayant réalisé un achat entre le 19 août et le 8 septembre 2026, le gestionnaire indique ne pas pouvoir confirmer que leurs données ont été épargnées. Ce sont donc plus de 20 000 clients qui ont reçu un message d'information, par mesure de précaution.
Quelles données personnelles ont été volées ?
C'est évidemment la question qui nous intéresse le plus. Les informations dérobées comprennent notamment les noms, prénoms, adresses postales, adresses e-mail, dates de naissance et historiques d'achat de titres de transport. En revanche, le gestionnaire assure qu'aucune donnée bancaire n'a été volée lors de cette cyberattaque. Une précision rassurante, mais qui ne signifie pas pour autant qu'il n'y a aucun risque. Avec ces informations personnelles, des escrocs pourraient notamment fabriquer des messages frauduleux particulièrement convaincants.
Comment savoir si vous êtes concerné ?
Si vous avez acheté une carte Pass Pass ou des titres de transport sur la boutique en ligne entre janvier 2021 et début septembre 2026, vous faites potentiellement partie des clients concernés. Cela peut notamment toucher les usagers d'ilévia dans la métropole lilloise, mais aussi ceux d'autres réseaux régionaux, comme Transvilles, Marinéo, Artis ou les TER des Hauts-de-France. Les clients concernés ont été informés individuellement par e-mail. Le message doit vous avertir de l'incident de sécurité et de la possible compromission de vos données personnelles. Attention toutefois : recevoir un message qui semble provenir de Pass Pass ne suffit pas à garantir son authenticité. Et c'est précisément là qu'il faut redoubler de vigilance.
Attention aux faux messages Pass Pass
C'est le principal risque après ce type de piratage : le phishing, aussi appelé hameçonnage. Le principe est simple. Des escrocs se font passer pour un organisme connu afin de vous pousser à communiquer des informations confidentielles. Dans le cas présent, ils pourraient par exemple envoyer un faux e-mail Pass Pass vous demandant de confirmer vos coordonnées bancaires, de régler un problème de paiement ou de réactiver votre compte. Et puisqu'ils peuvent disposer de votre véritable nom, de votre adresse e-mail ou de votre historique d'achat, leurs messages risquent de paraître particulièrement crédibles. Si vous recevez un e-mail ou un SMS suspect, évitez de cliquer sur les liens et ne communiquez jamais votre mot de passe, vos coordonnées bancaires ou un code de validation. Pour consulter votre compte, mieux vaut saisir vous-même l'adresse officielle de Pass Pass dans votre navigateur. Et si vous utilisez le même mot de passe sur plusieurs sites, c'est le bon moment pour le changer.
La boutique Pass Pass a rouvert après plusieurs jours de fermeture
À la suite de cette cyberattaque, la boutique en ligne Pass Pass avait été temporairement fermée le 8 septembre afin de renforcer sa sécurité. Elle a finalement rouvert le vendredi 11 septembre. Le Syndicat mixte des mobilités des Hauts-de-France a également annoncé avoir saisi la CNIL et déposé plainte auprès des services de police spécialisés dans la cybercriminalité. En attendant, un petit conseil : si vous connaissez quelqu'un qui achète régulièrement ses titres de transport en ligne, pensez à lui transmettre l'information. Pour une fois, c'est un message qu'on peut partager sans craindre de participer à une chaîne WhatsApp douteuse.