La Compagnie des transports strasbourgeois (CTS) a été victime d’une cyberattaque le 19 octobre 2026, avec le vol de données personnelles associées à environ 230 000 comptes clients. Selon les informations publiées par Actu Strasbourg, l’attaque a exploité une faiblesse déjà identifiée sur le site internet de l’opérateur.
Un composant ancien au cœur de l’attaque
La CTS explique que les attaquants ont utilisé un module obsolète, c’est-à-dire un composant informatique ancien qui n’était plus suffisamment à jour et présentait des vulnérabilités. La compagnie savait depuis septembre 2026 que son site comportait des failles de sécurité. Un programme de maintenance était alors engagé, avec une échéance prévue à la fin de l’année.
Cette organisation reposait sur un traitement échelonné des correctifs. La CTS indique que les mises à jour étaient classées selon le niveau de gravité des vulnérabilités. Certaines avaient donc déjà été installées en septembre, tandis que d’autres n’étaient pas encore prêtes lorsque l’attaque est survenue.
« Les pirates ont profité d’une faille connue, mais qui n’avait pas encore été corrigée. »
Une exfiltration de données le 19 octobre
L’exfiltration, terme qui désigne la copie non autorisée de données vers un environnement extérieur, a commencé le matin du 19 octobre, d’après les éléments rapportés par Actu Strasbourg. La CTS a ensuite accéléré son plan de maintenance et affirme avoir achevé les mises à jour nécessaires.
La compagnie n’a pas, dans les informations rapportées, détaillé l’ensemble des champs présents dans les comptes concernés. L’incident porte toutefois sur des données personnelles de clients. Le nombre annoncé donne une idée de l’ampleur potentielle de la compromission, sans permettre à lui seul de déterminer quelles informations ont été consultées ou copiées pour chaque compte.
Les principaux éléments communiqués
- 19 octobre 2026 : date de l’attaque et début de la copie des données ;
- environ 230 000 comptes clients concernés ;
- un module ancien présentant des failles a été exploité ;
- certaines vulnérabilités étaient connues depuis septembre, mais toutes les corrections n’étaient pas encore déployées ;
- la CTS affirme avoir terminé les mises à jour nécessaires après l’incident.
La difficulté de corriger toutes les failles à temps
Le cas de la CTS met en évidence une difficulté récurrente pour les organisations qui administrent des sites accessibles au public : connaître l’existence d’une vulnérabilité ne suffit pas à supprimer immédiatement le risque. Les correctifs peuvent être déployés selon leur priorité, tandis que les composants non encore mis à jour restent susceptibles d’être ciblés.
L’entreprise est présentée comme victime de cette intrusion et aucune information fournie ne permet d’établir une négligence ou une responsabilité particulière. Les précisions de la CTS, rapportées par Actu Strasbourg, indiquent seulement que la maintenance était en cours et que les mises à jour ont été accélérées après l’attaque.
