Fuite chez Mairie de Saint-Aubin d’Aubigné (via RDV360)

Le 24 novembre 2025, la mairie de Saint-Aubin d’Aubigné — petite commune d'Ille-et-Vilaine, en Bretagne — a informé ses administrés que leurs données personnelles avaient été exposées à la suite d'une fuite chez RDV360, la plateforme tierce qu'elle utilise pour la prise de rendez-vous en ligne. La mairie n'a pas été piratée directement : elle fait partie des quelque 1 300 communes françaises touchées par une compromission plus large des prestataires de réservation RDV360 et Synbird, qui gèrent les rendez-vous pour les demandes de cartes nationales d'identité et de passeports.

Les attaquants auraient réutilisé des identifiants issus de fuites antérieures pour accéder au compte d'un agent municipal, puis exploité une faille logicielle des prestataires afin d'exporter les enregistrements de rendez-vous. Un groupe cybercriminel se présentant sous le nom de « dumpsec » a été associé à cette campagne, qui concerne des données de rendez-vous allant de 2021 à novembre 2025.

Les données exposées se limitaient aux coordonnées et informations de rendez-vous :

• Nom et prénom
• Adresse e-mail
• Numéro de téléphone
• Code postal / commune
• Type de démarche (carte d'identité, passeport) et date de rendez-vous

RDV360 a indiqué qu'aucune donnée sensible — mot de passe, pièce d'identité ou information bancaire — n'avait été compromise. Le prestataire affirme avoir corrigé la faille et engagé les démarches réglementaires nécessaires. Les communes concernées ont été invitées à notifier la CNIL et à déposer plainte, l'affaire étant traitée en coordination avec l'ANSSI et la section cybercriminalité du parquet de Paris. Les administrés ont été appelés à la vigilance face aux tentatives d'hameçonnage exploitant les données dérobées.