Des données de propriétaires de véhicules de plusieurs cantons, dont Vaud et Valais, ont été dérobées à la mi-août par des cybercriminels. Cela concerne toutefois uniquement des données déjà publiques.

Pour cinq des six cantons concernés (Vaud, Argovie, Lucerne, Schaffhouse et Zoug), les données ont été récupérées de manière automatisée via l’eAutoIndex, explique vendredi l’Etat de Vaud. Outre le numéro d’immatriculation, cela comprend le nom et l’adresse des détenteurs de véhicules, « pour autant que ceux-ci n’aient pas fait bloquer la publication de leurs données », précise le communiqué.

Le canton ajoute avoir été victime de « tentatives de chantage », tout comme l’entreprise exploitante de l’eAutoIndex, mais n’avoir donné aucune suite. Les cinq cantons concernés ont déjà porté plainte ou le feront prochainement.

Il semble que l’extraction de ces données a été effectuée en contournant « les mécanismes de protection en place limitant le nombre de requêtes via l’eAutoIndex », poursuit le communiqué. Depuis, des restrictions d’accès techniques supplémentaires ont été mises en place. Et d’autres mesures de protection sont évaluées.

Appel à la prudence

Même si ces données sont publiques, et que les données bloquées par les propriétaires ne sont pas concernées, les autorités appellent à la prudence. « On peut par exemple imaginer des demandes de paiement, souvent urgentes et d’une authenticité trompeuse, concernant de prétendues amendes, des émoluments, des contrôles de véhicules à moteur ou des péages étrangers », relèvent les cantons touchés.

Ils rappellent aussi que les détenteurs de véhicules peuvent demander gratuitement, auprès du service des automobiles de leur canton, que leurs données ne soient pas rendues publiques.

Le Valais également concerné

La fuite de données publiques a également touché le Valais, le module de recherche « ecari », fourni par un partenaire externe au Service de la circulation routière et de la navigation ayant aussi été pris pour cible. Grâce à des extractions supplémentaires, le hacker a également pu accéder à des données approximatives liées à la date de naissance, qui ne sont généralement pas accessibles lors d’une requête ordinaire.

« Ces données ne sont pas forcément correctes », précise le chef du Service de la circulation routière et de la navigation Bruno Abgottspon, qui se dit soulagé que ni le système d’exploitation du Service ni celui de l’Etat n’aient été touchés. Néanmoins, « il est important que la population soit sensibilisée, dans le cas où ces données devaient être utilisées », poursuit le responsable, citant par exemple les tentatives de phishing.

ats/ther