Autosur victime d’une fuite de données de grande ampleur

Le leader du contrôle technique a annoncé une fuite de données massive suite à une cyberattaque. Des noms, numéros de téléphone ou encore adresses postales ont été volés.

Lecture Blueboard sous l'angle du Conseil d'administration - 31/03/2025

1. Contexte général et résumé de la situation • Autosur, leader français du contrôle technique, a annoncé une fuite de données massives après une cyberattaque. Les informations volées incluent notamment noms, adresses postales et numéros de téléphone. • Selon la communication officielle, aucun mot de passe ni donnée bancaire sensible ne serait concerné, bien qu’un pirate revendique disposer également de données internes, dont des mots de passe et numéros de série des véhicules. • La société a informé la Commission nationale de l’informatique et des libertés (Cnil) et les autorités compétentes, en se conformant aux obligations légales. Elle a également déposé plainte et mandaté des experts en cybersécurité.
2. Gouvernance d’entreprise et responsabilité du conseil d’administration • Supervision et gestion du risque : Le conseil d’administration doit impérativement mettre en place des mécanismes robustes de contrôle interne pour prévenir les cyberattaques et y répondre. Dans ce cas précis, il est crucial qu’il évalue la gestion de crise, la réactivité et l’efficacité des systèmes d’alerte. • Transparence vis-à-vis des parties prenantes : Les administrateurs ont pour rôle de s’assurer que la direction communique de manière claire, rapide et responsable autour de l’incident, aussi bien auprès des clients, des autorités de régulation que des investisseurs. • Devoir de diligence : Les administrateurs sont légalement tenus de prendre les mesures nécessaires pour protéger les actifs, y compris les données, et veiller au respect de la réglementation en la matière (RGPD, CNIL, etc.). • Plan de redressement et perspectives stratégiques : Au-delà de la correction à court terme, le conseil doit intégrer la problématique de cybersécurité dans sa stratégie à long terme : investissements supplémentaires, formation et sensibilisation du personnel, mise à jour des protocoles de sécurité, etc.
3. RSE, durabilité et environnement, dans le contexte ESG/CSRD • RSE et gestion de la cyber-risque : Même si la cybersécurité ne relève pas toujours directement de l’axe environnemental, elle est centrale dans la sphère « social » et « gouvernance » du reporting ESG. En effet, la protection des données personnelles fait partie du volet « S » (Social). • Impacts sur la réputation et la confiance : Les fuites de données affectent la réputation d’une entreprise, ce qui peut susciter une perte de confiance auprès des clients et partenaires. Dans une démarche RSE, la transparence et le sérieux de la prise en charge de l’incident sont essentiels pour adopter une posture responsable. • Articulation avec la CSRD : La directive européenne CSRD (Corporate Sustainability Reporting Directive) va exiger des entreprises qu’elles publient des informations plus détaillées sur leur gouvernance, leurs risques et leur stratégie en matière de durabilité. La protection des données, lorsqu’elle est considérée comme une composante de la résilience de l’entreprise, sera probablement intégrée dans les rapports futurs. • Alignement avec les objectifs de durabilité : Bien que la fuite de données n’ait pas de lien direct avec l’empreinte carbone ou la gestion de l’environnement, elle met en lumière la nécessité d’intégrer des risques non financiers (comme la cybersécurité) dans la réflexion stratégique globale de l’entreprise.
4. Stratégie d’entreprise, régulation et conformité • Renforcement des processus internes : L’événement doit inciter Autosur à vérifier la maturité de ses processus de gouvernance et de conformité : audits réguliers de sécurité, tests d’intrusion, procédures de sauvegarde et de chiffrement des données, etc. • Conformité avec la réglementation : Au niveau français et européen, le RGPD (Règlement général sur la protection des données) impose des obligations strictes en matière de notification de fuite de données personnelles. Autosur devra démontrer qu’elle a mis en place des mesures techniques et organisationnelles adaptées, sous peine de sanctions potentielles. • Rôle des commissaires aux comptes et audit interne : Les auditeurs, internes comme externes, pourraient être mobilisés pour mesurer l’étendue du dommage, vérifier la solidité des contrôles et s’assurer que toutes les obligations réglementaires sont remplies. • Communication de crise et transparence : Publier des comptes rendus formels, tenir informés régulièrement les clients concernés, et répondre aux questions des médias sont autant d’actions nécessaires pour gérer la situation et maintenir un niveau de transparence satisfaisant.
5. Cybersécurité et protection des données : un enjeu majeur de gouvernance • Culture de la cybersécurité : Le conseil d’administration doit promouvoir une culture d’entreprise dans laquelle la cybersécurité est abordée à tous les niveaux, depuis la formation des employés jusqu’aux décisions d’investissement informatiques. • Gestion de crise : L’attaque subie par Autosur soulève la question du plan de continuité d’activité (PCA) et du plan de reprise après sinistre (PRA). Un plan d’urgence bien préparé contribue à réduire les conséquences négatives et à rassurer les parties prenantes. • Mesures préventives : – Audit et cartographie des vulnérabilités (réseaux, systèmes, applications). – Exigence de cybersécurité vis-à-vis des fournisseurs et partenaires. – Plan de formation continue pour les salariés, visant à prévenir l’hameçonnage (phishing) et autres failles humaines.
6. Autres dimensions : éthique, transparence et évaluation de l’impact • Éthique et gouvernance : La gestion des données sensibles s’inscrit dans une démarche éthique. Une gouvernance solide veille à la protection de la vie privée et à la responsabilisation des dirigeants dans la gestion des risques liés aux systèmes d’information. • Ingrédients de la confiance : – Communication proactive : explication concrète des mesures de remédiation. – Admission des éventuelles failles : reconnaissance de la responsabilité et plan d’action correctif. – Transparence financière : évaluation du coût de la cyberattaque (mesures correctives, éventuelles rançons, impact sur les primes d’assurance, etc.).
7. Recommandations pour le conseil d’administration et perspectives • Établir un comité dédié à la cybersécurité ou étendre le rôle du comité d’audit pour inclure la supervision de la sécurité des systèmes d’information. • Mettre en place un reporting régulier sur la cybersécurité et la protection des données : indicateurs clés (KPI), incidents évités, formations réalisées. • Renforcer les programmes de sensibilisation à destination des collaborateurs, prestataires et partenaires. • Communiquer de manière précise et transparente autour des mesures prises, afin de regagner et conforter la confiance des clients et du public. • Intégrer les risques numériques dans l’analyse de risque globale de l’entreprise, en lien avec les obligations et standards ESG/CSRD.

L’attaque subie par Autosur illustre la vulnérabilité croissante des entreprises face aux cybermenaces et rappelle à quel point la gouvernance d’entreprise et la responsabilité du conseil d’administration sont essentielles pour encadrer et gérer ce type de risques. Au-delà de l’événement ponctuel, il est fondamental de considérer la cybersécurité comme un pilier stratégique et d’accorder autant d’attention à ces enjeux qu’aux autres volets de la RSE, de la durabilité et de la performance globale de l’entreprise. Seule une démarche proactive, transparente et concertée permettra d’atténuer l’impact sur la réputation à court terme et de consolider la résilience à long terme.

Article original

Le leader du contrôle technique a annoncé une fuite de données massive suite à une cyberattaque. Des noms, numéros de téléphone ou encore adresses postales ont été volés. Les piratages d’entreprises françaises se poursuivent. La société Autosur a indiqué avoir été victime d’un « incident de sécurité » impliquant « un accès non autorisé à certaines données », via un communiqué publié ce vendredi. Avant son officialisation, l’information avait été révélée dès mercredi dernier par le média spécialisé Zataz. Le leader français du contrôle technique estime à « environ » 4 millions le nombre de clients concernés par cette vaste fuite. La cyberattaque a visé « une base de données contenant des informations de contact limitées ». D’après l’entreprise, ce sont donc les noms, prénoms, adresses postales, numéros de téléphone ou encore plaque d’immatriculations qui ont été récupérées par les malfrats. Se voulant rassurante, la société précise qu’aucun « mot de passe de particuliers, donnée bancaire ou donnée sensible » n’est concerné. « Nos clients ont été informés en conséquence. La protection des données est une priorité absolue pour notre entreprise et nous prenons cet incident très au sérieux », précise une porte-parole de la compagnie auprès de BFMTV. D’après le média spécialisé L’Usine Digitale, un hacker s’est manifesté sur une plateforme dédiée au piratage, affirmant être en possession de plus de 12,3 millions de lignes de données appartenant à Autosur, mettant en vente une copie de ces données pour un montant compris entre 5 000 et 7 000 dollars. Selon lui, les données subtilisées comprendraient aussi des mots de passe, les numéros de série des véhicules ainsi que des données commerciales et internes. « Conformément aux obligations légales en vigueur », Autosur a informé la Cnil et les autorités compétentes. L’entreprise, qui a déposé une plainte, assure qu’une analyse est actuellement réalisée par des experts indépendants référencés par l’Anssi, l’agence nationale de la sécurité des systèmes d’information. Ces actes de piratage, de plus en plus fréquents, font croître l’inquiétude chez les Français. Les consultations au sujet des fuites de données personnelles ont bondi sur la plateforme gouvernementale cybermalveillance.gouv.fr en 2024, révèle le rapport annuel de l’organisation, publié jeudi. Sur le site, dédié à l’assistance face aux menaces et actes malveillants en ligne, les demandes de particuliers liées à des fuites de données ont bondi de 82 %, pour atteindre un total de 12 400.