Fuite CTS Strasbourg : 230 000 comptes d'usagers exposés, que faire ?

La Compagnie des transports strasbourgeois (CTS) a annoncé le 28 octobre 2026 un piratage de son site internet : les données d'environ 230 000 comptes clients ont été extraites (nom, prénom, date de naissance, adresse, identifiant). Ni mot de passe ni coordonnées bancaires selon la CTS. Si vous avez un compte sur son site, vous êtes potentiellement concerné.

Selon franceinfo, qui reprend le communiqué de l'exploitant du réseau de trams et de bus de l'Eurométropole, la CTS a été victime d'une « utilisation illicite » de son site. Elle affirme avoir stoppé l'exfiltration dès que l'incident a été identifié, renforcé la sécurité du site, signalé l'incident à la CNIL et annoncé une plainte auprès du tribunal de Strasbourg. D'après ICI Alsace, les clients concernés ont été prévenus par courriel et invités à se méfier des messages suspects dans les semaines à venir.

Suis-je concerné par la fuite de la CTS ?

La fuite porte sur les comptes clients créés sur le site de la CTS, celui qui sert notamment à gérer ses titres et abonnements de transport. Le simple fait de prendre le tram avec un ticket acheté au distributeur ne vous place donc pas dans le fichier. La CTS n'a pas précisé quels services en ligne étaient en cause ni depuis quand les comptes concernés avaient été créés.

Le chiffre de 230 000 désigne des comptes, pas des personnes : un même usager peut en avoir ouvert plusieurs, et un parent a pu en créer un pour gérer l'abonnement d'un enfant. Le site spécialisé Cyberattaque.org rapporte que cela représenterait environ quatre comptes sur dix ; ce ratio ne figure pas dans les autres reprises du communiqué et doit être pris avec prudence.

Pour faire le point, parcourez cette liste :

• Vous avez reçu un courriel de la CTS sur l'incident : votre compte fait partie du lot. Conservez ce message, il vous servira de référence si un faux arrive ensuite.
• Vous avez un compte sur le site de la CTS mais rien reçu : vérifiez vos courriers indésirables, puis l'adresse e-mail enregistrée dans votre espace client. Si le doute persiste, interrogez la compagnie (modèle plus bas).
• Vous gérez le compte d'un proche : enfant scolarisé, parent âgé. Ses données ont pu partir avec les vôtres, prévenez-le.
• Vous n'avez jamais créé de compte en ligne : vous n'êtes pas concerné par cet incident. Restez tout de même attentif, car les faux messages « CTS » peuvent viser tout le monde à Strasbourg.

Un précédent mérite d'être rappelé : selon Cyberattaque.org, la CTS avait déjà signalé en novembre 2024 des connexions frauduleuses à une centaine de comptes, réalisées avec des identifiants réutilisés provenant d'autres fuites. Cette fois, l'identifiant de connexion fait partie des données extraites. Si votre mot de passe CTS sert aussi ailleurs, il devient une porte d'entrée.

Quelles arnaques attendre après cette fuite ?

Un fichier d'usagers de transport offre aux fraudeurs un prétexte du quotidien : abonnement à renouveler, carte Badgéo à « réactiver », trop-perçu à rembourser, amende à régler. Comme l'abonnement mensuel se renouvelle souvent par prélèvement, un faux message qui réclame un RIB « pour mettre à jour le prélèvement » paraît crédible. Or un IBAN fourni à un escroc peut servir à des prélèvements frauduleux.

Exemple de courriel frauduleux plausible

D'autres variantes sont à prévoir : SMS de « colis » ou d'« amende de contrôle » visant spécifiquement les Strasbourgeois, appel d'un faux conseiller bancaire qui récite votre date de naissance avant d'évoquer une « opération suspecte », courrier postal imitant une relance de la compagnie. Notre article sur les faux conseillers bancaires et l'usurpation de numéro décrit en détail ce scénario téléphonique.

Il manque encore à un fraudeur votre numéro de téléphone, votre employeur ou votre adresse e-mail personnelle pour monter une usurpation complète. Ces informations circulent souvent dans les bases de courtiers de données et d'annuaires en ligne, où elles peuvent être croisées avec le fichier CTS. Retirer votre fiche de 100 bases de courtiers vous permet de couper ces sources de recoupement, sans toucher bien sûr à la copie déjà dérobée à la CTS.

Donnée par donnée : ce qui est en jeu et comment réagir

Votre plan d'action, du plus urgent au plus long terme

Ces étapes s'appuient sur les recommandations de la CTS et sur la fiche réflexe de Cybermalveillance.gouv.fr consacrée aux fuites de données personnelles.

Aujourd'hui

• Changez votre mot de passe CTS s'il est utilisé ailleurs, puis remplacez-le sur chacun des services où vous l'aviez repris. Commencez par votre messagerie.
• N'ouvrez aucun lien reçu par SMS ou e-mail qui parle de votre abonnement, d'un remboursement ou de l'incident. Pour vérifier, tapez vous-même l'adresse du site de la CTS.
• Prévenez les personnes dont vous gérez le compte, en particulier les proches âgés, plus souvent visés par les appels de faux conseillers.

Cette semaine

• Relisez vos relevés bancaires et repérez tout prélèvement inconnu. En cas d'anomalie, notre guide pour contester et bloquer un prélèvement frauduleux détaille la marche à suivre auprès de votre banque.
• Signalez les messages suspects : SMS en le transférant au 33700, courriels sur signal-spam.fr. Si vous avez communiqué des données bancaires, appelez votre banque pour faire opposition, puis déposez plainte.
• Interrogez la CTS si vous n'êtes pas sûr d'être concerné, avec le modèle ci-dessous.

Dans les mois qui viennent

• Restez vigilant au moment des renouvellements d'abonnement (rentrée, début d'année) : les faux messages calqués sur un vrai calendrier sont les plus convaincants.
• Surveillez tout courrier inattendu d'un organisme de crédit ou d'un opérateur à votre nom : c'est souvent le premier signe d'une usurpation. Si cela arrive, suivez notre plan en cas d'usurpation d'identité : les 48 premières heures.
• Sans réponse de la CTS dans le délai prévu (en principe un mois), vous pouvez adresser une plainte à la CNIL.

Modèle : demande d'information à la CTS

Votre adresse e-mail a sans doute déjà été prise dans d'autres incidents que celui de la CTS. Contrôlez gratuitement où elle figure parmi les fuites connues : ce test ne peut pas révéler votre présence dans le fichier CTS, mais il désigne les comptes dont le mot de passe doit changer en priorité. Pour comprendre comment lire ce type de résultat, consultez notre article comment savoir si votre e-mail est concerné par une fuite.

Ce fichier peut-il ressurgir dans plusieurs mois ?

À la date de publication, aucune revendication ni mise en vente des données de la CTS n'a été rapportée. C'est fréquent au début : un fichier dérobé peut rester privé quelques semaines, puis être proposé sur un forum, revendu par morceaux ou agrégé à d'autres bases. Il arrive donc que des données volées ne surgissent sur le darknet qu'avec un long décalage, au moment où plus personne ne pense à l'incident. La surveillance continue sert à cela : vous être signalée au moment où votre adresse apparaît dans une nouvelle fuite. Une vérification gratuite, elle, ne photographie que les fuites déjà connues le jour où vous la lancez.

Si un manquement de sécurité et un préjudice étaient établis, une demande de réparation fondée sur l'article 82 du RGPD pourrait être envisagée ; rien n'est automatique et c'est au juge qu'il reviendrait de trancher. Aucune action collective liée à cette fuite n'est connue à ce jour. Si une telle action venait à voir le jour, l'abonnement EffaceData la signalerait aux abonnés concernés, libres d'y participer ou non. Ceci n'est pas un conseil juridique.

Questions fréquentes

Comment savoir si mon compte CTS fait partie des 230 000 comptes concernés ?

La CTS indique avoir prévenu les clients concernés par courriel. Cherchez ce message dans votre boîte de réception et dans les courriers indésirables. Si vous avez un compte sur le site de la CTS et que vous n'avez rien reçu, vous pouvez demander à la compagnie, au titre de votre droit d'accès, si vos données font partie de celles qui ont été extraites. En attendant sa réponse, appliquez les mêmes précautions.

Mes coordonnées bancaires ou mon mot de passe CTS ont-ils été volés ?

Non, selon la CTS : ni les coordonnées bancaires ni les mots de passe ne sont concernés. Votre identifiant de connexion l'est en revanche. Si vous utilisez ailleurs le même mot de passe que sur le site de la CTS, changez-le sur ces autres services, car les fraudeurs testent souvent les identifiants volés avec des mots de passe issus d'autres fuites.

La CTS va-t-elle me contacter pour un remboursement ou une vérification ?

La CTS a appelé ses clients à la vigilance face aux courriels suspects. Elle n'a annoncé ni remboursement, ni geste commercial, ni vérification d'identité à faire en ligne. Tout message qui vous propose un remboursement, vous demande votre RIB ou un paiement pour garder votre abonnement doit être considéré comme suspect. Vérifiez en vous connectant vous-même au site officiel ou en vous rendant en agence.

Faut-il supprimer mon compte sur le site de la CTS ?

Supprimer le compte ne retire pas les données déjà extraites. Si vous n'utilisez plus le compte, vous pouvez toutefois demander l'effacement de vos données à la CTS au titre de l'article 17 du RGPD, sous réserve de ce qu'elle doit conserver pour des obligations légales. Si vous continuez à l'utiliser, choisissez un mot de passe unique et vérifiez que l'adresse postale et l'adresse e-mail enregistrées sont exactes.

Que faire si j'ai déjà cliqué sur un faux message au nom de la CTS ?

Si vous avez saisi un numéro de carte ou un code bancaire, appelez immédiatement votre banque pour faire opposition. Si vous avez saisi un mot de passe, changez-le partout où il est utilisé. Conservez le message et les éventuelles preuves de paiement, signalez-le (SMS au 33700, e-mail sur signal-spam.fr) et déposez plainte. Cybermalveillance.gouv.fr propose un parcours d'assistance aux victimes.

Cet article repose sur les informations publiques disponibles au 29 octobre 2026 : le communiqué de la CTS du 28 octobre 2026 tel que repris par franceinfo et ICI Alsace, et les précisions publiées par Cyberattaque.org. La date et la méthode de l'intrusion, ses auteurs et le nombre exact de personnes concernées n'ont pas été communiqués. L'article sera mis à jour si de nouvelles informations sont confirmées.