Fuite chez Mairie de Quimper (via RDV360)

Le 24 novembre 2025, la mairie de Quimper — collectivité de la ville finistérienne, en Bretagne — a annoncé que des données personnelles d'usagers avaient été exposées à la suite d'une fuite chez RDV360, la plateforme tierce qu'elle utilisait pour gérer la prise de rendez-vous en ligne. L'incident s'inscrit dans une attaque de la chaîne d'approvisionnement plus large ayant touché environ 1 300 communes françaises via les services de réservation RDV360 et Synbird.

Les systèmes propres de la mairie n'ont pas été pénétrés. Selon les informations sur cette campagne, un attaquant a réutilisé des identifiants issus d'une précédente fuite pour accéder à un compte d'agent municipal sur la plateforme du prestataire, puis a exploité une fonction d'export PDF mal protégée pour extraire les données de rendez-vous en masse. Pour Quimper, l'exposition concerne environ 12 000 fiches de contact d'usagers ayant demandé un renouvellement de carte nationale d'identité ou de passeport depuis le 18 avril 2024.

Les données exposées se limitent aux coordonnées saisies lors de la prise de rendez-vous :

• Nom et prénom
• Adresse postale et code postal
• Adresse email
• Numéro de téléphone (fixe ou mobile)

La ville a souligné qu'aucune donnée sensible, aucun document ou pièce d'identité, aucune donnée financière et aucun mot de passe n'ont été prélevés. En réponse, Quimper a temporairement désactivé son système de rendez-vous en ligne (au profit d'une prise de rendez-vous par téléphone), déposé plainte et notifié la CNIL. RDV360 a également porté plainte et coopère avec l'ANSSI et le parquet de Paris. Les usagers ont été appelés à la vigilance face aux tentatives d'hameçonnage par email, SMS ou téléphone, et invités à signaler tout incident sur cybermalveillance.gouv.fr.