Saint-Étienne : la ville victime d’une cyberattaque via son prestataire de billetterie

Le 29 avril 2026, la Ville de Saint-Étienne et Saint-Étienne Métropole — la collectivité municipale et l’établissement métropolitain de la préfecture de la Loire — ont informé d’un incident de sécurité affectant le prestataire tiers qui exploite leur service de billetterie en ligne. La compromission est survenue dans les systèmes du prestataire et non sur l’infrastructure de la collectivité, ce qui en fait un incident de chaîne d’approvisionnement (supply-chain) au sein de la sous-traitance municipale.

Par précaution, les collectivités ont désactivé les mots de passe des comptes de billetterie concernés et invité les usagers à en définir un nouveau via la fonction « mot de passe oublié » lors de leur prochaine connexion. Les habitants ont été prévenus que des échecs de connexion étaient à prévoir pendant l’opération et appelés à la vigilance face aux courriels ou liens suspects susceptibles d’exploiter l’incident.

La collectivité n’a pas précisé les catégories de données personnelles potentiellement exposées, ni le nombre de comptes concernés. Les informations à risque dans ce type de fuite liée à une billetterie comprennent généralement :

• Les identifiants de connexion (adresses e-mail / noms d’utilisateur)
• Les mots de passe des comptes (statut non précisé ; réinitialisation imposée par précaution)
• Les données de profil et de compte de billetterie des clients

Au moment de la divulgation, l’incident est considéré comme maîtrisé : la collectivité a pris des mesures de confinement immédiates (désactivation des mots de passe et réinitialisation imposée) tandis que l’ampleur exacte et les données précisément exposées restaient en cours d’évaluation.