Si vous avez acheté une pièce d’occasion sur piecesauto-online.fr, la bonne attitude est de changer votre mot de passe et de vous méfier des messages de livraison ou de remboursement, le temps que la revendication de piratage visant ce site du réseau Caréco soit éclaircie.
- Des pirates affirment avoir copié la base de clients du site et ont fixé un ultimatum au 31 octobre.
- Les extraits examinés étayent la revendication, sans établir l’ampleur réelle de la fuite.
- Au 29 octobre, aucune communication publique de Caréco ne confirmait l’attaque.
Les points :
Que revendiquent les pirates ? #
L’affaire a été révélée le 29 octobre par Cyberattaque.org, seule source que nous ayons trouvée à ce jour. Des individus se présentant sous les noms HackTheWorld, ethicxss et id0rable disent avoir accédé à une base de données de piecesauto-online.fr, site de vente exploité par une société du réseau.
À lire Épaves Peugeot, Citroën, Fiat : le réseau de centres VHU de Stellantis approuvé par l’État
Ils menaçaient de rendre les fichiers publics à partir du samedi 31 octobre si leur demande de rançon n’était pas satisfaite. Ils précisent ne rien avoir chiffré : le but déclaré n’est pas de bloquer le site, mais de faire pression avec les données copiées.
À l’heure où nous publions, nous n’avons pas trouvé de confirmation d’une mise en ligne effective, ni de réaction de l’entreprise. Il faut donc parler d’une revendication, pas d’une fuite établie.
Quelles données seraient concernées ? #
Selon Cyberattaque.org, qui a examiné des captures d’écran fournies par les pirates, un fichier client.csv fait apparaître des noms, adresses e-mail, numéros de téléphone et adresses postales. On y voit aussi le statut de particulier ou de professionnel, des informations sur les véhicules et un champ lié aux mots de passe.
Ce dernier point est le plus sensible. Plusieurs valeurs ressemblent à des empreintes MD5, un ancien procédé qui n’est plus adapté à la protection des mots de passe. Le média souligne toutefois que cela ne prouve pas que les comptes actifs soient stockés de la même façon.
À lire Casses automobiles : à Cerizay, Top Auto s’inquiète face aux géants de la déconstruction
Les auteurs affirment aussi détenir des informations bancaires. Rien ne le démontre dans les captures : un fichier nommé « commande » apparaît, mais son contenu n’est pas visible. Certaines entrées semblent par ailleurs anciennes ou correspondre à des comptes de test, ce qui empêche de chiffrer le nombre de clients réels touchés.
Pourquoi cela concerne ceux qui font recycler une voiture ? #
Le réseau, fondé en 2003, regroupe plusieurs dizaines de centres spécialisés dans le recyclage automobile et la vente de pièces de réemploi. Son site de vente s’adresse aussi bien aux particuliers qu’aux professionnels.
Ce type de fichier n’a rien d’anodin. Un nom associé à une adresse et à un véhicule rend très crédible un faux message sur une commande en attente. Un escroc peut citer un modèle exact et parler de frais de livraison à régler pour obtenir un paiement ou des identifiants.
Le sujet dépasse d’ailleurs ce seul réseau. Le même média a signalé fin octobre une mise en vente de près de 800 000 enregistrements attribués à Autosur, là encore une revendication dont les premiers fichiers semblent renvoyer à un seul centre de contrôle technique.
À lire Règlement européen sur les véhicules hors d’usage : ce qui change pour votre épave, et quand
Que faire si vous avez un compte sur ce site ? #
Commencez par le mot de passe. Changez-le sur le site, puis partout où vous l’auriez réutilisé, en priorité sur votre messagerie. Cyberattaque.org recommande un mot de passe unique, différent de ceux employés sur vos autres services.
Traitez ensuite avec méfiance tout message évoquant une livraison, un remboursement ou une confirmation de commande. Ne cliquez pas sur le lien : retournez sur le site en tapant vous-même son adresse, ou appelez le centre avec qui vous avez traité, à un numéro que vous avez déjà.
Le dispositif public Cybermalveillance.gouv.fr détaille les bons réflexes face à l’hameçonnage. Pour votre banque, aucune donnée de paiement n’est avérée à ce stade : surveillez simplement vos relevés, et signalez toute opération inconnue à votre établissement.
Faut-il éviter les pièces de réemploi ou les centres agréés ? #
Non. Cette affaire concerne un site de vente en ligne, pas la qualité des pièces ni le fonctionnement d’un centre de traitement. Rien dans les éléments publiés ne met en cause le recyclage des véhicules confiés à ce réseau.
À lire Rachat Voiture Épave : Comment Vendre Votre Véhicule Hors d’Usage
La seule précaution porte sur le canal : quand vous faites enlever une épave ou commandez une pièce, ne communiquez que ce qui est utile, et n’envoyez jamais de copie de document ni de coordonnées bancaires à la suite d’un simple message non sollicité. Vérifiez toujours l’identité de votre interlocuteur par un autre moyen.
Questions fréquentes #
La fuite de données est-elle confirmée ?
Non. Une revendication est étayée par des extraits, mais son ampleur reste à établir et aucune confirmation de l’entreprise n’était connue au 29 octobre.
Mes coordonnées bancaires sont-elles exposées ?
Les pirates l’affirment, mais les captures examinées ne le démontrent pas. Une surveillance de vos relevés reste une précaution simple.
Les centres du réseau sont-ils tous touchés ?
Les éléments connus visent le site de vente. Ils ne permettent pas de confirmer une compromission de l’ensemble du réseau.
À lire Destruction des épaves : un processus essentiel pour l’environnement et la sécurité
