Fuite chez Peugeot

Le 26 décembre 2024, Peugeot — le constructeur automobile français, filiale du groupe Stellantis — a été visé par une revendication d'extorsion : le groupe de rançongiciel-as-a-service Cicada 3301 a affirmé avoir compromis une partie de son réseau de concessionnaires. Les attaquants prétendaient détenir environ 40 Go de données et menaçaient de les publier à défaut du paiement d'une rançon avant le 6 janvier 2025.

La compromission proviendrait d'intrusions dans les systèmes informatiques de concessionnaires Peugeot, concentrés dans le Lot-et-Garonne, dans le sud-ouest de la France. Plutôt que de chiffrer les systèmes, Cicada 3301 a misé sur l'exfiltration de données et la menace de publication — un schéma de « double extorsion » / fuite seule que l'ANSSI signale comme une menace croissante pour des secteurs sensibles comme l'automobile.

Les données que le groupe affirmait avoir dérobées comprendraient notamment :

• Des pièces d'identité numérisées de clients
• Des codes d'identification des véhicules (VIN) et des plaques d'immatriculation
• Des données de stock, de production et de géolocalisation des véhicules
• Des dossiers internes de concessions et des informations de pièces détachées/logistique

Stellantis a confirmé être « au courant de la situation » et indiqué que ses équipes enquêtaient pour comprendre ce qui s'était passé. Les données personnelles exposées faisaient craindre des campagnes de phishing et des fraudes ciblées contre les clients concernés. Au moment des révélations, l'incident n'était pas résolu, l'échéance d'extorsion restant en cours et l'ampleur exacte sous investigation.