Identité, fonction, téléphone… les données de milliers de salariés de Tisséo diffusées en ligne

Une fuite de données touche Tisséo à Toulouse. Des fichiers contenant des informations professionnelles sur plusieurs milliers de salariés ont été diffusés en ligne. Les données concernent notamment l’organisation interne du réseau et certaines opérations d’achat, sans élément permettant à ce stade d’établir une compromission des systèmes d’exploitation des transports.

Les informations concernant plusieurs milliers de salariés de Tisséo se retrouvent sur internet. Ce jeudi 3 septembre, un pirate utilisant le pseudonyme ChimeraZ a publié une série de fichiers qu’il présente comme provenant du réseau de transports toulousain. Selon l’analyse menée par le site spécialisé Cyberattaque.org, les données disponibles ne semblent cependant pas porter sur les usagers du métro, du tramway ou des bus, mais principalement sur le fonctionnement interne de l’opérateur.

L’un des fichiers permet notamment de retrouver de nombreuses informations professionnelles sur des agents de Tisséo. Identité, matricule, adresse électronique, service, lieu d’affectation et fonction figurent ainsi dans les données examinées, avec parfois un numéro de téléphone. La diversité des profils recensés donne également un aperçu des métiers exercés au sein du réseau toulousain, de la conduite et du contrôle à la maintenance, à la sûreté ou aux services techniques. Ces éléments permettent de mieux cerner l’organisation de certaines équipes, sans pour autant démontrer que les systèmes utilisés pour faire circuler les métros, tramways et bus ont été touchés.

Cette distinction est importante, car la publication de données liées aux salariés ne signifie pas nécessairement que l’exploitation du réseau a été compromise. À ce stade, les fichiers étudiés relèvent principalement de la gestion des personnels et de l’organisation de l’entreprise. La fuite concerne toutefois aussi un autre pan de l’activité de Tisséo.

Des informations sur les commandes et les fournisseurs de Tisséo

Parmi les documents diffusés figurent en effet plusieurs milliers d’enregistrements liés à des opérations d’achat internes. Ils font apparaître différents éléments concernant les personnes associées aux commandes, les catégories professionnelles, les campagnes concernées ou encore les fournisseurs. Des références de marchés et des codes utilisés dans le suivi de ces opérations sont également présents. Certaines informations remontent à plusieurs années, tandis que d’autres sont plus récentes.

Le volume de données annoncé par l’auteur de la fuite mérite par ailleurs d’être précisé. Les 13 446 enregistrements évoqués correspondent au nombre de lignes présentes dans les fichiers et non au nombre de personnes touchées. Après analyse, Cyberattaque.org estime à 2 877 le nombre d’individus concernés par les informations publiées.

Au-delà de la diffusion elle-même, le niveau de détail de certaines données soulève une question particulière pour les salariés concernés. En associant une identité à une fonction, un service et une adresse professionnelle, les fichiers peuvent fournir des informations utiles à la préparation de tentatives d’hameçonnage ciblées. Un message frauduleux pourrait ainsi être davantage personnalisé en reprenant l’organisation réelle de Tisséo ou les relations entre différents interlocuteurs. Aucun élément disponible ne permet néanmoins d’affirmer qu’une telle utilisation a déjà eu lieu.

Reste désormais à déterminer comment ces informations ont pu être récupérées. Le pirate n’a pas expliqué l’origine de son accès et les éléments rendus publics ne permettent pas, à ce stade, d’identifier le point d’entrée. Il est donc impossible de savoir si la fuite trouve son origine dans les systèmes informatiques de Tisséo, dans une application utilisée par l’opérateur ou chez l’un de ses prestataires.