Fuite chez Mairie d’Alfortville (via RDV360)

Le 19 novembre 2025, la mairie d’Alfortville — commune du Val-de-Marne, en proche banlieue parisienne — a commencé à avertir ses administrés que leurs données personnelles avaient été exposées, non pas à la suite d’une attaque de ses propres systèmes, mais d’une fuite chez RDV360, la plateforme tierce qu’elle utilisait pour la prise de rendez-vous administratifs (cartes d’identité, passeports et services similaires).

Il s’agit d’une compromission de la chaîne d’approvisionnement. Les attaquants auraient utilisé les identifiants d’un agent municipal — récupérés lors d’une fuite antérieure sans rapport — pour accéder à un compte client RDV360, puis exploité une faille du module de rendez-vous et de réservation permettant l’export massif non autorisé d’enregistrements. La campagne, active vers septembre–octobre 2025, a frappé environ 1 300 communes françaises via RDV360 et un second prestataire, SynBird, exposant de l’ordre de 14 millions d’enregistrements couvrant des rendez-vous pris entre 2021 et novembre 2025. Un groupe se faisant appeler « dumpsec » a été associé à l’opération.

Les données exposées pour les administrés concernés se limitaient à :

• Nom et prénom
• Adresse e-mail
• Numéro de téléphone
• Adresse postale

RDV360 a indiqué qu’aucune donnée sensible, aucun document ou pièce d’identité, aucune donnée financière ni aucun mot de passe n’avaient été prélevés. Le prestataire a déclaré avoir corrigé la vulnérabilité, notifié la CNIL et déposé une plainte ; les communes concernées, dont Alfortville, ont appelé leurs administrés à la vigilance face aux risques d’hameçonnage.