Fuite de données revendiquée chez Tisséo : près de 2 900 personnes potentiellement concernées Mise à jour le 4 septembre à 10h00 À la suite de l’alerte initiée par FrenchBreaches, Tisséo Voyageurs confirme une exfiltration de données touchant deux applications internes concernant ses agents, indique avoir saisi les autorités compétentes (CNIL, ANSSI et autorités judiciaires) et déposé plainte, tout en précisant qu’aucune donnée voyageur ni donnée sensible, bancaire ou personnelle de ses agents n’aurait été compromise. Une fuite de données visant Tisseo, le réseau de transports en commun de Toulouse, a été revendiquée le 3 septembre 2026 sur un forum cybercriminel. Un acteur utilisant le pseudonyme ChimeraZ affirme avoir récupéré puis publié une base de données attribuée au site tisseo.fr. D’après la publication, le fichier représenterait 1,22 Go, avec 13 446 lignes et des informations associées à 2 877 personnes. Quelles données semblent exposées ? L’échantillon publié semble contenir principalement des informations relatives à des agents et personnels de Tisséo. Parmi les champs visibles figurent notamment : • des noms et prénoms ; • des matricules ; • des identifiants internes ; • des informations relatives au sexe ; • des fonctions et métiers ; • des catégories professionnelles ; • des informations liées aux soldes de repos et de congés ; • des informations relatives aux campagnes et à l’organisation du travail. Des informations directement identifiantes apparaissent dans l’échantillon. Elles ne sont volontairement pas reproduites ici. Une base de 1,22 Go revendiquée L’auteur affirme avoir publié un fichier au format JSON représentant environ 1,22 Go de données. La publication fait état de 13 446 lignes et présente 2 877 personnes comme étant concernées. La différence entre le nombre de lignes et le nombre de personnes laisse penser qu’une même personne peut être associée à plusieurs enregistrements ou objets dans la base. Le chiffre de 2 877 personnes reste toutefois une revendication de l’auteur et doit être considéré avec prudence. Des informations professionnelles détaillées L’échantillon montre des données qui semblent provenir d’un environnement lié à la gestion des agents et de leur activité professionnelle. Des intitulés de fonctions tels que des postes techniques, de maintenance, d’exploitation ou liés au réseau de transport apparaissent notamment dans les données présentées. Des champs relatifs à des matricules, catégories, campagnes et soldes de repos sont également visibles. La nature de ces informations pourrait rendre la fuite particulièrement sensible pour les personnels concernés. Une base publiée sur un forum cybercriminel La publication est intitulée « [FR] 2.8K TISSEO.FR » et a été mise en ligne le 3 septembre 2026 par ChimeraZ. L’auteur affirme explicitement publier une base provenant de tisseo.fr et fournit un important échantillon pour appuyer sa revendication. La présence de ces données constitue un élément permettant d’étudier la revendication, mais ne suffit pas à confirmer indépendamment l’origine et l’authenticité de l’intégralité de la base. Un piratage revendiqué, mais un vecteur inconnu À ce stade, il est préférable de parler de fuite de données revendiquée. La publication ne précise pas comment les informations auraient été obtenues. Aucune vulnérabilité, méthode d’intrusion ou technique d’exfiltration n’est démontrée par la seule capture. La date réelle de récupération des données reste également inconnue. Leur publication le 3 septembre 2026 ne signifie pas nécessairement qu’elles ont été extraites récemment. Quels sont les risques ? Les identités, matricules, fonctions et informations professionnelles exposées pourraient être exploitées pour mener des campagnes de phishing ou d’ingénierie sociale ciblées contre des agents. La connaissance de la fonction ou de l’organisation interne d’un salarié peut notamment permettre de construire des messages frauduleux plus crédibles en usurpant l’identité de Tisséo ou de collaborateurs. Ce qui reste à confirmer Plusieurs éléments restent inconnus : • l’authenticité de l’intégralité de la base ; • le nombre exact de personnes distinctes concernées ; • la date réelle d’extraction des données ; • le vecteur utilisé pour obtenir la base ; • l’existence éventuelle d’autres catégories de données compromises ; • l’existence d’une intrusion récente dans les systèmes de Tisséo. Conclusion Une base attribuée à Tisséo a été revendiquée et publiée sur un forum cybercriminel le 3 septembre 2026 par un acteur utilisant le pseudonyme ChimeraZ. L’auteur revendique un fichier de 1,22 Go, comprenant 13 446 lignes et des informations associées à 2 877 personnes. L’échantillon fait notamment apparaître des noms, prénoms, matricules, fonctions et informations professionnelles relatives à des agents. L’origine complète de la base, sa date d’extraction, la méthode utilisée pour l’obtenir et le nombre réel de personnes concernées restent à confirmer indépe
Tisséo : piratage et fuite de données — ce que l’on sait, que faire
