Incidents dans le secteur :
Une cyberattaque de décembre 2025 contre Eurail B.V., opérateur des pass Interrail et Eurail, a exposé les données personnelles d'environ 308 000 voyageurs — noms, coordonnées, dates de naissance et numéros de passeport — revendues sur le dark web en 2026.
Le 19 mars 2026, l'entreprise française de location de véhicules Mingat a confirmé une fuite de données touchant ses clients, qu'elle a informés d'un incident de sécurité ayant exposé des informations personnelles issues de ses fichiers de location.
Des pirates liés à l'Iran ont compromis l'agence de transport LA Metro en mars 2026, dérobant au moins 700 Go de données internes et perturbant l'information voyageurs et la billettique TAP.
Le 8 mars 2026, un cybercriminel a mis en vente sur un forum une base de données de 121 Go issue de la plateforme d'indemnisation aérienne Airclaim, revendiquant 55 867 passagers touchés — dont 1 042 ressortissants français — avec passeports scannés, signatures et cartes d'embarquement exposés.
En février 2026, le groupe d'extorsion LAPSUS$ a revendiqué le vol d'environ 420 Go de données de l'OSAC (Organisme pour la Sécurité de l'Aviation Civile), dont cartes d'identité, passeports, diplômes, justificatifs de domicile et documents internes ; les données ont ensuite été intégralement diffusées.
Le 20 février 2026, le groupe d'extorsion LAPSUS$ a revendiqué le vol d'environ 420 Go de données chez OSAC, l'organisme français de sécurité de l'aviation civile, incluant pièces d'identité, passeports et documents internes ; l'intégralité a ensuite été publiée en ligne.
Voyage Privé, la plateforme française de voyages en vente flash, a confirmé en février 2026 qu'un partenaire tiers compromis avait exposé des données de réservation de clients ayant des voyages à venir — noms, pays de résidence, e-mails, numéros de téléphone et, dans certains cas, numéros de passeport — alimentant une vague de phishing sur WhatsApp.
Gustave-Auto, plateforme française de services automobiles (convoyage de véhicules, gestion de flotte et réparation), a révélé en février 2026 qu'une anomalie d'accès avait exposé des données de partenaires — noms, adresses postales et e-mail, numéros de téléphone, coordonnées bancaires (IBAN/BIC) et numéros SIRET/TVA — une revendication évoquant environ 3 600 enregistrements.
Début février 2026, le groupe de ransomware Qilin a référencé l'autocariste et voyagiste français Voyages Robin sur son site de fuites, affirmant avoir dérobé des données de réservation clients, des itinéraires de voyage et des documents financiers.
Les données clients de la société française de location de véhicules Movida ont été exposées lors d'une fuite divulguée le 24 janvier 2026, comprenant noms, coordonnées et numéros de compte bancaire (IBAN).
En janvier 2026, Eurail B.V. — exploitant des pass ferroviaires Interrail et Eurail — a révélé une fuite de données exposant les informations personnelles et de passeport de ses clients, jusqu'à ~309 000 voyageurs seraient concernés et des données volées ont ensuite été mises en vente sur le dark web.
En décembre 2025, le transporteur de colis Mondial Relay a révélé une cyberattaque au cours de laquelle des données clients et logistiques ont été dérobées — nom, e-mail, adresse postale, téléphone et informations de suivi ; un acteur du dark web a revendiqué environ 25,7 millions de lignes.
En décembre 2025, un fichier de 680 Mo portant sur environ 860 000 clients Chronopost — noms, e-mails et détails de colis aspirés sur le réseau de points relais Pickup de La Poste — a été publié sur BreachForums ; les données couvraient des envois du printemps 2025.
En novembre 2025, le transporteur français Colis Privé a révélé un accès non autorisé à une partie de ses systèmes ayant exposé des données de contact clients — noms, adresses postales et électroniques, numéros de téléphone. Un pirate a mis en vente un jeu de données chiffré à plusieurs dizaines de millions de lignes ; aucun mot de passe ni donnée bancaire n'a été affecté.
Suzuki France a révélé qu'une cyberattaque visant le système d'un de ses partenaires tiers a exposé un fichier client contenant noms, adresses email, adresses postales et numéros de téléphone ; aucune donnée financière ni mot de passe n'était concerné.
En septembre 2025, Digital Charging Solutions, fournisseur de services de facturation pour la recharge de véhicules électriques, a révélé qu'un prestataire tiers avait accédé sans autorisation à des données clients, exposant les noms et adresses e-mail d'un nombre initial très limité d'utilisateurs.
Une cyberattaque contre le plus grand constructeur automobile britannique a contraint JLR à couper son réseau informatique mondial et a interrompu la production de véhicules au Royaume-Uni, en Chine, en Slovaquie, en Inde et au Brésil pendant cinq semaines — désormais considérée comme l'incident cyber le plus économiquement dommageable de l'histoire du Royaume-Uni.
En août 2025, Air France-KLM a révélé que des attaquants avaient accédé à des données clients — nom, prénom, coordonnées, numéro et statut Flying Blue, et objet des demandes au service client — via une plateforme de service client tierce compromise.
En octobre 2025, des données dérobées des instances Salesforce de plusieurs entreprises par un groupe de pirates se faisant appeler « Scattered LAPSUS$ Hunters » ont été divulguées publiquement.
Autosur, l'un des principaux réseaux français de contrôle technique, a subi une fuite de données exposant les informations personnelles et automobiles de millions de clients — noms, e-mails, adresses postales, téléphones, plaques d'immatriculation et détails des véhicules — mises en vente sur un forum cybercriminel.
En avril 2025, l'opérateur de stationnement français Indigo a révélé une intrusion : des attaquants ont accédé à ses systèmes et dérobé noms, adresses postales et e-mail, numéros de téléphone et plaques d'immatriculation de clients ; aucune donnée bancaire ni mot de passe n'a été touché.
Le 15 avril 2025, le loueur de voitures Hertz a révélé une fuite de données provenant de l'exploitation fin 2024, par le groupe CL0P, de failles zero-day du logiciel de transfert de fichiers Cleo, exposant noms, coordonnées, dates de naissance, permis de conduire, données bancaires et passeports de clients.
En mars 2025, des données de Samsung Allemagne ont été compromises lors d'une fuite de données de son prestataire logistique, Spectos. Vraisemblablement due à des identifiants obtenus par un malware s'exécutant sur la machine d'un employé de Spectos, la fuite incluait 216 000 adresses e-mail uniques ainsi que des noms, des adresses physiques, des articles…
En mars 2025, le réseau français de contrôle technique Autosur (marque Diagnosur) a révélé une fuite exposant les données d'environ 10,7 millions de clients — noms, adresses postales et e-mail, numéros de téléphone et données détaillées des véhicules dont plaques d'immatriculation et numéros de série — ensuite mises en vente en ligne.
En mars 2025, l'opérateur postal français La Poste a révélé une fuite de sa plateforme « Élection du Timbre » exposant les données personnelles d'environ 50 000 utilisateurs — nom, année de naissance, e-mail, téléphone et adresse postale — mises en vente en ligne par un pirate.
Chronopost, le transporteur express de colis français, a confirmé en février 2025 qu'une intrusion détectée le 29 janvier 2025 avait exposé les données personnelles d'environ 210 000 clients, dont noms, adresses postales, numéros de téléphone et signatures de livraison.
En décembre 2024, le groupe de rançongiciel-as-a-service Cicada 3301 a revendiqué le vol de 40 Go de données chez des concessionnaires Peugeot (principalement dans le Lot-et-Garonne), incluant pièces d'identité de clients, codes VIN et données de stock, menaçant de les publier avant le 6 janvier 2025.
Le 2 décembre 2024, l'enseigne automobile française Norauto a révélé une cyberattaque visant son service de location de véhicules, exposant les données personnelles d'environ 78 000 clients (noms, coordonnées et, dans certains cas, numéros de pièce d'identité) ; le fichier a été mis en vente sur BreachForums.
En novembre 2024, la Compagnie des Transports Strasbourgeois (CTS) — opérateur de transport public de Strasbourg — a détecté des connexions frauduleuses sur une centaine de ses quelque 350 000 comptes clients, via une attaque par credential stuffing réutilisant des mots de passe volés lors de fuites externes.
Une base de données cloud non sécurisée et sans mot de passe appartenant au service d'autopartage iRent de Hotai Motor a exposé environ 4,2 téraoctets de données concernant plus de 400 000 clients, dont des photos de permis de conduire, des selfies et des numéros de carte bancaire partiels.
Des affiliés de LockBit ont chiffré les systèmes d'exportation internationale de Royal Mail, paralysant tous les services postaux vers l'étranger depuis le Royaume-Uni pendant six semaines. Royal Mail a publiquement refusé la demande de rançon de 65,7 M£ ; LockBit a divulgué progressivement les données exfiltrées.
Le gang de rançongiciel Daixin Team a piraté AirAsia, dérobant et divulguant les données personnelles d'environ 5 millions de passagers uniques et de l'ensemble des employés de la compagnie, après que le transporteur a, selon les rapports, refusé de négocier une rançon.
Une cyberattaque contre le sous-traitant Supeo l'a contraint à arrêter ses serveurs, désactivant une application mobile dont les conducteurs de train dépendent pour leurs données opérationnelles et immobilisant tous les trains DSB à travers le Danemark pendant plusieurs heures — une perturbation de la chaîne d'approvisionnement de manuel touchant un transport critique.
Un individu de 18 ans affilié à Lapsus$ a manipulé un sous-traitant d'Uber par ingénierie sociale, a vaincu la MFA grâce à une campagne de bombardement de notifications d'une heure, puis a trouvé des identifiants administrateur codés en dur sur un partage interne qui ont déverrouillé les tableaux de bord AWS, G-Suite, Slack et HackerOne d'Uber.
Le gang de rançongiciel Ragnar Locker a compromis la compagnie aérienne nationale du Portugal, exfiltrant puis publiant 581 Go de données concernant environ 1,5 million de clients, exposant noms, dates de naissance, adresses et coordonnées pour plus de 5 millions de comptes e-mail.
Une attaque par rançongiciel attribuée au gang Vice Society a paralysé l'opérateur postal national grec ELTA pendant environ huit jours, interrompant les services financiers et les paiements de pensions, avec une fuite de données et une amende RGPD de 2,99 millions d'euros en 2024.
Une attaque par rançongiciel contre Transnet, l'entreprise logistique publique sud-africaine, a paralysé les opérations des terminaux à conteneurs de Durban, Ngqura, Port Elizabeth et Le Cap, contraignant l'opérateur à déclarer la force majeure. Durban — 60 % du trafic conteneurisé d'Afrique australe — est revenu à un dédouanement papier pendant une semaine.
Un wiper inédit nommé Meteor a paralysé le réseau ferroviaire national iranien, effaçant les ordinateurs des gares, immobilisant et retardant des centaines de trains, et défigurant les panneaux d'affichage avec un numéro à appeler : le bureau du Guide suprême Khamenei.
Une compromission de la chaîne d'approvisionnement du fournisseur informatique aéronautique SITA a exposé les données d'environ 4,5 millions de passagers d'Air India : noms, informations de passeport, données de billetterie, numéros de fidélité et informations de cartes de paiement collectées sur près d'une décennie de réservations.
Un mot de passe VPN réutilisé a permis à DarkSide de chiffrer les systèmes de facturation de Colonial Pipeline. L’opérateur a arrêté 5 500 miles de pipeline pendant six jours, payé 4,4 M$, et déclenché une urgence fédérale.
La compagnie aérienne espagnole Air Europa a exposé les coordonnées et les données complètes de cartes de paiement — y compris les codes CVV — d'environ 489 000 clients sur 1,5 million d'enregistrements, et a été condamnée à 600 000 euros d'amende par l'AEPD pour sécurité insuffisante et notification tardive de 41 jours.
Malaysia Airlines a révélé un incident de sécurité des données s'étalant sur neuf ans chez un prestataire informatique tiers gérant son programme de fidélité Enrich, exposant les noms des membres, leurs coordonnées, dates de naissance et données de grand voyageur.
En août 2020, le site de transport public napolitain Unico Campania a été piraté et les données ont largement circulé. La fuite contenait 166 000 enregistrements d'utilisateurs avec des adresses e-mail et des mots de passe en clair.
Evil Corp a déployé le rançongiciel WastedLocker contre Garmin, mettant hors ligne les services aéronautiques flyGarmin, Garmin Connect et la messagerie satellite inReach pendant cinq jours. Garmin a versé une rançon estimée à 10 M$ malgré les sanctions de l'OFAC visant Evil Corp.
En août 2020, une fuite de données concernant la compagnie aérienne russe Utair, remontant à l'année précédente, a été révélée. La fuite contenait plus de 400 000 adresses e-mail uniques accompagnées de nombreuses informations personnelles, dont des noms, des adresses postales, des dates de naissance, des numéros de passeport et un programme de fidélité…
Début 2019, la compagnie aérienne malaisienne Malindo Air a subi une fuite de données qui a exposé des dizaines de millions d'enregistrements de clients. Comportant 4,3 millions d'adresses e-mail uniques, la fuite a également exposé de nombreuses informations personnelles, notamment des noms, des dates de naissance, des sexes, des adresses postales, des numéros de téléphone et…
Une intrusion pluriannuelle dans les systèmes informatiques de Cathay Pacific a exposé les données personnelles de 9,4 millions de passagers dans le monde, dont des numéros de passeport et de pièce d'identité, valant à la compagnie aérienne l'amende maximale de 500 000 £ infligée par l'ICO britannique avant le RGPD.
Les opérateurs de Magecart ont injecté un JavaScript de vol de données de cartes dans la page de paiement de British Airways, dérobant les détails de cartes sur 380 000 transactions en 15 jours. L'ICO britannique a d'abord proposé une amende RGPD de 183,4 M£ — ramenée ensuite à 20 M£ après des arguments d'atténuation liés à l'impact du Covid.
Des attaquants ont accédé aux systèmes de l'application de VTC Careem, basée à Dubaï, et volé les noms, courriels, numéros de téléphone et historiques de trajets d'environ 14 millions de passagers et 558 000 chauffeurs au Moyen-Orient, en Afrique du Nord et en Asie du Sud.
Des attaquants ont volé les données personnelles de 57 millions de passagers et chauffeurs Uber en octobre 2016. Plutôt que de divulguer l'incident, Uber a versé aux pirates une rançon de 100 000 dollars en la déguisant en prime de bug — une dissimulation qui a entraîné un règlement de 148 millions de dollars avec les États et la condamnation pénale du responsable de la sécurité d'Uber.
Un wiper destructeur déguisé en rançongiciel, propagé via une mise à jour compromise d'un logiciel comptable ukrainien. Estimé à 10 milliards de dollars de dommages dans le monde — la cyberattaque la plus dévastatrice économiquement de l'histoire.
Un ver rançongiciel nord-coréen qui a exploité la vulnérabilité SMB EternalBlue pour se propager à environ 200 000 systèmes dans 150 pays en 24 heures. Il a paralysé le NHS britannique et mis à genoux l'industrie manufacturière à l'échelle mondiale.
Une version réactivée du wiper Shamoon (Disttrack) a détruit des milliers d'ordinateurs au sein d'organismes gouvernementaux saoudiens, dont l'Autorité générale de l'aviation civile, écrasant les secteurs d'amorçage avec l'image d'un enfant syrien noyé.
Des pirates revendiquant le nom 1937CN ont détourné les écrans d'information des vols et les systèmes de sonorisation des principaux aéroports vietnamiens avec des messages anti-Vietnam sur la mer de Chine méridionale, et divulgué les données de 411 000 grands voyageurs de Vietnam Airlines.