Les données personnelles de candidats au code de la route sont concernées par une nouvelle affaire de cybersécurité visant DEKRA. Cette fois, il s’agit de Le Code by DEKRA, la plateforme permettant de réserver et de passer les examens théoriques du permis de conduire. Des informations comprenant notamment des identités, des dates de naissance et des mots de passe sont signalées comme compromises.
Un premier signalement a été publié dès le 27 octobre 2026 par Ludic Conduite, une auto-école de la Sarthe, sous un article consacré au piratage du site Le Code DEKRA. Une autre alerte, diffusée le 4 novembre, fait état d’une fuite de données personnelles et de l’information des candidats concernés.
Le Code by DEKRA est un service du groupe DEKRA Automotive, qui organise notamment les examens du code de la route, du code moto et du code bateau. La plateforme dispose de plus de 300 centres d’examen en France et permet aux candidats de créer un compte, de sélectionner une session et de régler leur inscription en ligne.
Des informations personnelles et des mots de passe concernés
Les informations signalées dans cette affaire comprennent notamment des noms, des dates de naissance et des mots de passe associés aux comptes des candidats.
La présence de mots de passe dans les catégories de données concernées représente un risque supplémentaire. Il reste toutefois à déterminer s’ils étaient stockés sous une forme chiffrée, hachée ou directement lisible, ainsi que les protections techniques éventuellement appliquées.
Le nombre exact de personnes touchées n’a pas été établi. Rien ne permet non plus, à ce stade, de confirmer que les numéros NEPH, les résultats d’examen ou les données bancaires figurent parmi les informations compromises.
Un piratage signalé dès le 27 octobre
L’alerte publiée par Ludic Conduite le 27 octobre constitue un élément intéressant dans la chronologie de cette affaire. Elle montre qu’un problème de sécurité touchant Le Code DEKRA avait déjà été signalé publiquement plusieurs jours avant les informations diffusées début novembre sur une fuite de données.
Le mode opératoire des attaquants, la date exacte de l’intrusion et l’origine technique de la compromission restent à préciser. Les éléments publics consultés ne permettent pas non plus de démontrer formellement que tous les signalements concernent un seul et même accès frauduleux.
Une troisième affaire de cybersécurité impliquant DEKRA en octobre
Ce signalement intervient dans un contexte particulièrement délicat pour DEKRA, déjà concerné par deux incidents de sécurité distincts signalés en octobre 2026.
Le premier concerne DEKRA Automotive, dont un sous-traitant a subi un accès non autorisé le 20 octobre, entraînant la compromission de coordonnées personnelles d’automobilistes ayant réservé un contrôle technique.
Le second a été détecté le 21 octobre chez DEKRA Industrial France, sur une application liée aux certificats d’économies d’énergie. Plus de 15 000 bénéficiaires de travaux de rénovation énergétique étaient concernés par cette affaire.
Les trois situations impliquent des activités différentes du groupe. Aucun élément technique public ne permet d’affirmer qu’elles proviennent d’une même compromission, d’un même prestataire ou des mêmes cybercriminels.
Que doivent faire les candidats au code de la route ?
Les personnes disposant d’un compte sur Le Code by DEKRA sont invitées à modifier leur mot de passe et à le remplacer également sur les autres services où elles l’auraient réutilisé.
Elles doivent également rester vigilantes face aux messages évoquant une convocation, une annulation d’examen, un remboursement ou une demande de paiement supplémentaire. Des fraudeurs pourraient utiliser des renseignements personnels pour usurper l’identité de la plateforme ou d’une auto-école.
Le nombre de candidats concernés et les circonstances précises de la fuite restent inconnus. Cette affaire soulève néanmoins une question importante sur la sécurité des plateformes auxquelles les futurs conducteurs confient leurs informations personnelles pour passer un examen officiel.
Source originale : Cyberattaque.org.
