La Compagnie des Transports Strasbourgeois (CTS) confirme une importante fuite de données personnelles concernant 230 000 comptes clients. Des cybercriminels sont parvenus à extraire des informations depuis son site Internet, notamment les noms, prénoms, dates de naissance, adresses et identifiants de comptes.
Révélée le 28 octobre 2026, cette cyberattaque concerne environ 40 % des comptes clients de la CTS. La compagnie annonce le dépôt d’une plainte et appelle ses usagers à la vigilance.
La Compagnie des Transports Strasbourgeois exploite le réseau de tramways et de bus de Strasbourg et de son Eurométropole, dans le Bas-Rhin. Chaque jour, ses services permettent à des milliers d’habitants, d’étudiants et de voyageurs de se déplacer dans l’agglomération.
230 000 comptes clients concernés, soit 40 % du total
L’ampleur de cette fuite est particulièrement importante. Selon les informations communiquées par la CTS, 230 000 comptes clients ont été concernés par une extraction frauduleuse de données personnelles.
Cela représente environ quatre comptes sur dix enregistrés sur le site de l’opérateur strasbourgeois.
Il convient toutefois de distinguer les comptes concernés du nombre de personnes physiques touchées. Un compte ne correspond pas nécessairement à un voyageur unique, et le nombre exact de personnes distinctes n’a pas été précisé.
Noms, dates de naissance et adresses dans les données volées
Les informations personnelles compromises comprennent plusieurs éléments permettant d’identifier les clients de la CTS :
- Les noms et prénoms ;
- Les dates de naissance ;
- Les adresses enregistrées dans les comptes ;
- Les identifiants des comptes clients sur le site Internet.
La compagnie précise en revanche que les mots de passe et les coordonnées bancaires ne sont pas concernés par cette fuite.
Les données dérobées ne permettraient donc pas, à elles seules, de se connecter aux comptes clients ou d’effectuer directement des paiements frauduleux.
Comment les pirates ont-ils pu extraire autant de données ?
La CTS confirme une exfiltration depuis son environnement Internet, mais la méthode utilisée par les attaquants n’a pas été précisée.
Une vulnérabilité applicative, un défaut de contrôle d’accès ou la compromission d’un compte disposant de privilèges étendus pourraient permettre de récupérer un grand volume de fiches clients.
Ces scénarios restent toutefois hypothétiques. La date exacte de l’intrusion, sa durée et l’identité des responsables n’ont pas été communiquées.
La CTS avait déjà été confrontée à un incident en novembre 2024
Cette affaire rappelle un précédent incident survenu le 21 novembre 2024. À cette époque, la CTS avait signalé des connexions frauduleuses à une centaine de comptes clients.
Les attaquants avaient alors utilisé des identifiants et mots de passe récupérés lors de fuites de données sur d’autres sites. Leur réutilisation avait permis d’accéder à certains espaces clients de la CTS.
La situation actuelle est différente : l’incident de 2026 concerne une extraction massive de données, sans compromission annoncée des mots de passe. Aucun lien entre les deux affaires n’est établi.
Des milliers de voyageurs exposés à de faux messages de la CTS
Le principal risque identifié est celui des tentatives d’hameçonnage ciblant les clients de la compagnie.
Un cybercriminel disposant du nom, de l’adresse et de la date de naissance d’un voyageur pourrait se faire passer pour la CTS afin de réclamer des informations supplémentaires.
Les victimes pourraient notamment recevoir de faux messages concernant le renouvellement d’un abonnement, un remboursement, un problème de prélèvement ou une prétendue vérification de compte.
La CTS rappelle qu’une demande inattendue de coordonnées bancaires ou de paiement, présentée comme provenant de ses services, doit être considérée avec méfiance.
Les clients informés et une plainte annoncée
La Compagnie des Transports Strasbourgeois indique avoir informé les clients concernés par courrier électronique. Une plainte doit également être déposée auprès des autorités judiciaires de Strasbourg.
À ce stade, les circonstances précises de la compromission n’ont pas été rendues publiques. Il n’est pas non plus établi que les informations dérobées aient été diffusées publiquement ou proposées à la vente.
Avec 230 000 comptes concernés, cette cyberattaque représente une fuite majeure de données personnelles pour un opérateur de transports urbains français. Même sans mots de passe ni informations bancaires, les éléments récupérés pourraient alimenter des campagnes d’escroquerie particulièrement crédibles auprès des usagers du réseau strasbourgeois.