Des données attribuées aux activités françaises de SGS seraient proposées à la vente sur un forum cybercriminel. Le 8 novembre 2026, un hacker utilisant le pseudonyme ChimeraZ a annoncé détenir environ 259 millions de lignes, comprenant des informations sur des automobilistes, des véhicules et des centres de contrôle technique. Les enseignes Auto Sécurité, Sécuritest et Vérif’Autos sont explicitement citées dans sa publication.
SGS est un groupe suisse spécialisé dans les essais, l’inspection et la certification. En France, ses activités automobiles comprennent notamment les réseaux de contrôle technique Auto Sécurité et Sécuritest, ainsi que l’enseigne Vérif’Autos, créée par Sécuritest.
Une base de 96 Go revendiquée par ChimeraZ
Dans une publication datée du 8 novembre 2026 à 11 h 38, sans indication de fuseau horaire, ChimeraZ annonce la vente de ce qu’il présente comme la partie française des bases de SGS.
Le vendeur décrit un ensemble de fichiers au format JSONL, représentant 96 Go et environ 259 millions de lignes. Il communique notamment les volumes suivants :
- 90,8 millions de fiches de véhicules ;
- 74,7 millions de contrôles ;
- 29,2 millions de prestations ;
- 22 688 152 personnes ;
- 40 920 439 immatriculations uniques, dont environ 13 millions associées à des données personnelles ;
- 9 575 635 numéros de téléphone uniques ;
- 4 068 190 adresses électroniques uniques.
Ces chiffres restent ceux du hacker. L’accès aux seuls échantillons ne permet pas de vérifier la taille totale de la base ni ses décomptes de personnes uniques. Une même personne peut apparaître dans plusieurs fichiers, pour différents véhicules, factures ou contrôles.
Ce que révèlent les 36 fichiers examinés
Cyberattaque.org a examiné 36 fichiers représentant 42 570 lignes, pour environ 12,84 Mo. Leur contenu dépasse un simple annuaire de clients.
Les échantillons comprennent des identités, des coordonnées, des immatriculations, des numéros de série VIN, des informations sur les prestations et des éléments de facturation. D’autres tables concernent les contrôleurs, les exploitants, les audits, les enquêtes de satisfaction et le suivi commercial.
Un fichier consacré aux centres contient également des mots de passe lisibles, des paramètres de connexion et des coordonnées bancaires. Aucun accès n’a été testé et aucun secret n’est reproduit dans nos publications.
Ces structures sont cohérentes avec différentes fonctions d’une activité de services automobiles. Elles ne permettent toutefois pas de confirmer l’origine exacte des exports ni d’attribuer chaque enregistrement à une enseigne précise.
Auto Sécurité, Sécuritest et Vérif’Autos : trois volets du même dossier
La revendication cite les trois enseignes dans une même annonce. Les éléments examinés ne démontrent pas trois attaques distinctes et ne permettent pas de calculer un nombre de victimes propre à chacune.
Nous détaillons les différentes dimensions de cette affaire dans trois articles complémentaires :
- Auto Sécurité : les identités, coordonnées et véhicules présents dans le lot revendiqué, avec les risques liés au rapprochement entre une personne et son historique automobile ;
- Sécuritest : le volet des mots de passe et des coordonnées bancaires, pour comprendre la portée des informations professionnelles exposées ;
- Vérif’Autos : les données de réservation, de relation client et des centres affiliés, avec les limites de leur attribution à l’enseigne.
Des dates allant jusqu’en octobre 2026
Les fichiers réunissent des informations de périodes différentes. L’échantillon de facturation comporte des dates comprises entre septembre 2008 et octobre 2026. Des associations entre plaques et personnes présentent des dates allant jusqu’au 29 octobre 2026.
Ces valeurs ne permettent pas de dater l’intrusion présumée. Une date de facture, de prestation ou de mise à jour n’indique pas le moment auquel les fichiers auraient été récupérés.
Des entreprises tierces mentionnées dans un annuaire professionnel
Un fichier de contacts professionnels contient des références à CNH, Iveco, Fiat/Alfa/Lancia, Jaguar/Land Rover et Chrysler/Jeep/Dodge. Des champs commerciaux mentionnent aussi les groupes Hess, SIPA, Gerbier-Mosca, Rouyer et Maurin.
Ces mentions ne constituent pas une liste d’entreprises piratées. Elles peuvent correspondre à des contacts, à des clients ou à des classifications commerciales historiques. Aucun élément ne démontre une compromission de leurs propres systèmes.
Une revendication dont le périmètre reste à confirmer
Lors des recherches publiques effectuées le 8 novembre 2026, aucune confirmation officielle de SGS portant sur cette revendication précise n’a été identifiée.
La méthode d’obtention, la date d’extraction et le nombre réel de personnes concernées restent inconnus. Les fichiers ne démontrent ni un chiffrement des systèmes, ni une interruption des contrôles techniques, ni une modification de leurs résultats.
Les échantillons révèlent néanmoins une combinaison sensible : des informations permettant de rapprocher des automobilistes de leurs véhicules, ainsi que des données internes susceptibles de concerner les outils des centres.
Source originale : Cyberattaque.org.
