Fuite chez Companie de Transport Strasbourgeoise

Le 21 novembre 2024, la Compagnie des Transports Strasbourgeois (CTS) — opérateur de transport public de Strasbourg et de son agglomération — a adressé un courriel à l'ensemble de ses clients pour les avertir qu'une centaine de comptes clients avaient fait l'objet d'accès anormaux, détectés le jour même.

Ces intrusions résultaient d'une attaque par « credential stuffing » et non d'une compromission des systèmes de la CTS. Des identifiants et mots de passe avaient été dérobés lors de précédentes fuites de données, sans lien avec la CTS, touchant d'autres sites web ; certains clients ayant réutilisé ces mêmes identifiants pour leur compte CTS, les attaquants ont pu se connecter aux comptes concernés. La fuite ne provenait donc pas de l'infrastructure propre de la CTS.

L'ampleur de l'exposition est restée limitée. Environ 100 comptes sur les quelque 350 000 comptes clients de la CTS ont été touchés, et la CTS a précisé qu'aucune coordonnée bancaire ni pièce d'identité n'était stockée sur ses serveurs. Les données potentiellement accessibles se limitaient aux informations contenues dans les profils concernés, notamment :

• Coordonnées et informations de profil du compte
• Informations relatives au titre de transport / au compte client

La CTS a informé l'ensemble de ses clients, invité les utilisateurs concernés à modifier les mots de passe réutilisés et orienté ses clients vers le service officiel d'assistance aux victimes Cybermalveillance. L'incident a été détecté et maîtrisé rapidement, sans indice d'une compromission plus large de l'infrastructure de la CTS.