Cars.no : une fuite revendiquée expose 148 288 automobilistes norvégiens

Une base de production ouverte au vent

Un pirate affirme avoir extrait la base de production de Cars Software, société norvégienne qui fournit un logiciel de gestion utilisé par plus de 500 garages, concessionnaires et grossistes automobiles en Norvège. Selon son message publié le 7 août 2026, la base de données était configurée en lecture publique : aucune authentification, aucun jeton, aucun contrôle du référent n'auraient été nécessaires pour consulter les informations. L'accès en lecture était, selon l'auteur, encore possible le 6 août 2026.

L'outil automatisé utilisé pour cette détection a été baptisé « CredHarvest V6 » par son concepteur, qui présente l'opération comme une découverte de bases insuffisamment protégées. Aucun test d'écriture n'aurait été réalisé.

Les chiffres de l'exposition

L'ensemble revendiqué comprend 315 435 enregistrements liés à l'activité de Cars Software. Voici la décomposition communiquée par le pirate :

Au total, 148 288 automobilistes seraient concernés par l'exposition de leur numéro de téléphone, accompagnés de données bien plus riches qu'un simple annuaire.

Des flottes d'entreprises citées nommément

La publication identifie également plusieurs exploitants de flottes dont les données pourraient figurer dans l'extrait, notamment :

• Oslo Taxibuss AS
• Fredrikstad Kommune
• Bergen Bilutleie AS
• Norsk Bilpool AS

Pour ces organisations, l'exposition supposée pourrait révéler la relation entre certains véhicules et leurs prestataires automobiles — une information potentiellement sensible sur le plan opérationnel.

Le cocktail qui transforme une fuite en arme de phishing

L'enjeu dépasse la simple divulgation d'un annuaire. Les données revendiquées relient plusieurs catégories d'informations : un nom peut être associé à un numéro de téléphone, une plaque d'immatriculation et un centre de service. Cette combinaison change radicalement la nature du risque.

Un fichier isolé de numéros de téléphone présente déjà une valeur pour des fraudeurs. Mais lorsqu'il est enrichi avec une plaque d'immatriculation et le nom d'un garage, le scénario d'ingénierie sociale devient nettement plus précis. Un attaquant peut se faire passer pour un garage connu de la victime et évoquer une inspection, un rappel ou une intervention concernant son véritable véhicule — réduisant considérablement les signaux d'alerte habituellement associés au phishing générique.

Les 80 789 notifications de contrôle automobile mentionnées dans la publication constituent un exemple particulièrement sensible. Elles associent des immatriculations à des rappels destinés aux propriétaires de véhicules. Un attaquant peut exploiter ce contexte pour construire un message d'apparence parfaitement légitime.

Les 1 761 devis recensés ajoutent une couche supplémentaire de crédibilité. Selon le pirate, 1 200 seraient en attente et 561 auraient été acceptés, avec des montants s'étendant de zéro à 601 000 couronnes norvégiennes (moyenne de 7 635 NOK). Un message malveillant peut s'appuyer sur l'existence supposée d'une opération automobile réelle pour inciter la victime à cliquer ou à communiquer des informations.

Une ancienneté qui tempère — sans annuler — le risque

L'auteur affirme que les données remontent principalement à 2016 et 2017. Cette ancienneté limite potentiellement leur valeur opérationnelle : des numéros de téléphone ont pu changer, des véhicules ont été revendus, des relations commerciales ont pu évoluer. Le pirate soutient toutefois que certaines coordonnées, immatriculations et relations commerciales peuvent encore être valides. Cette affirmation reste celle du pirate et n'est pas vérifiée indépendamment.

Le cadre norvégien et européen

En Norvège, l'autorité de protection des données (Datatilsynet) joue un rôle équivalent à celui de la CNIL en France. Le règlement général sur la protection des données (RGPD), applicable dans l'Espace économique européen, impose aux responsables du traitement de notifier toute violation de données personnelles à l'autorité de contrôle dans un délai de 72 heures après en avoir pris connaissance, puis d'informer les personnes concernées lorsque la violation présente un risque élevé pour leurs droits et libertés.

Au moment de la rédaction de cet article, le site du Datatilsynet mentionnait une avvnsmelding (notification d'incident) récente de la société Ryde (location de trottinettes), confirmant l'activité régulière de notification en Norvège. Aucune mention publique de Cars Software n'avait toutefois encore été publiée par l'autorité norvégienne.

La CNIL, de son côté, définit une violation de données comme « la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel, ou l'accès non autorisé à de telles données, de manière accidentelle ou illicite ». Une base de production accessible sans authentification entre sans ambiguïté dans ce cadre.

Un schéma qui n'est pas isolé

L'article de ZATAZ rappelle qu'une fuite de ce type avait déjà impacté la France en 2025 et 2026, illustrant une tendance plus large. Le même site rapporte par ailleurs, à la même date, une fuite Firebase présumée exposant des kiosques Pokémon (206 092 adresses électroniques, 70 546 empreintes de cartes bancaires), là encore via une base configurée en lecture publique sans authentification.

Ce mode opératoire — une base de données de production laissée ouverte, détectée par un outil automatisé — n'est pas nouveau, mais il continue de porter ses fruits. Les outils de scan massif d'infrastructure comme CredHarvest V6 permettent à des acteurs malveillants de cartographier des bases exposées à grande échelle, sans nécessiter d'expertise particulière en intrusion.

Par ailleurs, le pseudo Cybernox, actif depuis mars 2026, a récemment revendiqué la fuite de 3 millions de numéros Bloctel (le dispositif français d'opposition au démarchage téléphonique), démontrant l'attrait particulier des bases liées aux téléphones et aux consentements pour les acteurs malveillants.

Ce qu'il faut retenir

• 148 288 automobilistes norvégiens sont potentiellement concernés, avec des données allant bien au-delà du simple numéro de téléphone.
• La combinaison nom + téléphone + plaque + garage constitue un matériel de premier choix pour des campagnes de phishing ciblées et crédibles.
• Les données datent principalement de2016-2017, ce qui réduit mais n'élimine pas le risque.
• Aucune notification officielle du Datatilsynet n'avait été rendue publique au moment de la rédaction.
• Les automobilistes norvégiens concernés doivent rester vigilants face à tout message évoquant un contrôle technique, un rappel constructeur ou un devis automobile, même s'il semble provenir d'un garage connu.

Cette affaire rappelle une évidence trop souvent ignorée : une base de données de production ne doit jamais être accessible sans authentification. La combinaison de données contextuelles — ici, l'univers automobile — transforme une fuite technique en une menace opérationnelle pour des centaines de milliers de personnes.