Plenitude On The Road confirme un incident de sécurité ayant entraîné un accès non autorisé puis une fuite de certaines données personnelles de ses clients. L’entreprise, filiale du groupe Plenitude spécialisée dans la recharge des véhicules électriques, indique que l’intrusion a eu lieu entre les 19 et 20 octobre 2026.
Dans un email dont Cyberattaque.org s’est procuré une copie, Plenitude On The Road confirme que des personnes non identifiées ont réussi à accéder à une base de données clients avant que leurs accès ne soient bloqués.
Identité et numéro fiscal parmi les données concernées
Le périmètre annoncé comprend plusieurs catégories d’informations personnelles : nom, prénom, numéro d’identification fiscale, adresse de résidence, adresse email et numéro de téléphone.
Pour certains utilisateurs professionnels, la base peut également contenir le nom de l’entreprise ou de l’organisme employeur, la raison sociale ainsi que le numéro de TVA.
Le numéro fiscal est particulièrement sensible en Italie, où il constitue un identifiant administratif largement utilisé dans les démarches contractuelles et fiscales.
L’historique des recharges fait aussi partie de la fuite
Plenitude On The Road confirme également l’exposition de données liées aux sessions de recharge. Celles-ci peuvent comprendre la quantité d’électricité consommée en kWh, la date et l’heure d’une recharge ainsi que son coût.
Ces informations peuvent permettre de reconstituer une partie des habitudes d’utilisation d’un véhicule électrique et surtout fournir un contexte particulièrement crédible pour de futures tentatives de fraude.
Environ 600 000 bornes accessibles depuis l’application
Plenitude On The Road est le service de mobilité électrique du groupe Plenitude. Son application permet aux particuliers et professionnels de localiser et utiliser environ 600 000 points de recharge en Europe, dont plus de 23 000 exploités directement par l’entreprise.
Les utilisateurs peuvent suivre leurs sessions de recharge, consulter leurs factures et gérer leur compte directement depuis l’application.
Pas de carte bancaire ni de mot de passe concernés
L’entreprise affirme qu’aucune donnée permettant d’accéder aux comptes n’a été compromise. Les identifiants de connexion ne seraient donc pas concernés et les utilisateurs n’ont pas besoin de modifier leur mot de passe à la suite de l’incident.
Plenitude On The Road indique également qu’aucune donnée de carte bancaire, notamment numéro de carte, date d’expiration ou cryptogramme, n’a été exposée.
Le service de recharge n’a pas été interrompu
La cyberattaque n’a pas provoqué d’interruption du service. Les utilisateurs peuvent continuer à utiliser normalement l’application et les bornes compatibles.
L’entreprise explique avoir rapidement bloqué et supprimé les accès utilisés par l’attaquant puis renforcé la surveillance de ses systèmes. Aucun nouvel accès non autorisé n’aurait été détecté depuis la mise en place de ces mesures.
Une surveillance du dark web a été lancée
Plenitude On The Road indique avoir lancé des recherches afin de détecter une éventuelle publication ou revente des données compromises, y compris sur le dark web.
À ce stade, l’entreprise affirme n’avoir identifié aucune diffusion des informations dérobées. Des vérifications sont également en cours concernant d’éventuels codes de réduction qui auraient pu être récupérés puis utilisés frauduleusement.
Les autorités italiennes informées
L’incident a été signalé au CSIRT Italia ainsi qu’à l’autorité italienne chargée de la protection des données personnelles.
Plenitude On The Road indique également préparer un dépôt de plainte auprès du parquet de Milan.
Le phishing devient le principal risque pour les clients
La combinaison d’une véritable identité, d’un numéro fiscal, d’un téléphone et d’informations précises sur les recharges peut servir à fabriquer des messages frauduleux particulièrement convaincants.
Un attaquant pourrait par exemple se faire passer pour Plenitude en évoquant une recharge réelle, une facture, un remboursement ou un problème de paiement afin d’obtenir ensuite des coordonnées bancaires ou des identifiants.
Plenitude On The Road rappelle qu’elle ne demandera jamais par email ou téléphone de communiquer un mot de passe ou des informations de paiement. L’enquête doit désormais déterminer combien de clients sont réellement concernés et quelle quantité de données a été extraite pendant l’accès des 19 et 20 octobre.