France Casse : 3,3 millions de comptes en fuite avec des mots de passe en clair — quand une faute technique de 2025 explose en 2026

Article publié le 21 juillet 2026 — Statut de l'incident au moment de la publication : revendiqué, jugé crédible — non confirmé officiellement par France Casse

Une fuite ancienne qui refait surface au pire moment

Le 20 juillet 2026, un acteur malveillant publie sur un forum cybercriminel ce qu'il présente comme l'intégralité d'une base SQL extraite de France Casse, plateforme française spécialisée dans la recherche et la vente de pièces automobiles d'occasion. Le dépôt annoncé contiendrait environ 3,3 millions de comptes clients.

Mais l'élément qui distingue immédiatement cet incident de la masse des fuites de données habituelles, c'est l'affirmation suivante : une partie des mots de passe seraient stockés en clair — c'est-à-dire lisibles directement, sans aucun mécanisme de protection.

L'extraction aurait été réalisée en mai 2025 — soit plus d'un an avant la publication. Ce délai entre la compromission supposée et la diffusion publique est lui-même un signal : les données ont vraisemblablement circulé dans des cercles restreints avant d'être rendues publiques, ce qui signifie qu'elles ont pu être exploitées pendant des mois sans que les utilisateurs ni l'entreprise en soient informés.

À ce stade, France Casse n'a pas confirmé officiellement l'incident. L'ensemble des éléments décrits doit être considéré comme revendiqué, mais non établi avec certitude.

Ce que contient la base revendiquée
Un export SQL de production complet

L'auteur de la revendication affirme diffuser un export des tables de production du site. Il ne s'agirait pas d'une base partielle ou d'un échantillon, mais d'un dump complet de la table clients telle qu'elle existait en mai 2025.

Les données par compte incluraient :

Nom et prénom
Adresse postale complète (code postal, ville, pays)
Adresse e-mail
Numéro de téléphone
Date de naissance
Date de création du compte et date de dernière connexion
Raison sociale pour les comptes professionnels (garages, carrossiers)
Identifiants internes et codes clients
Préférences de communication
Mot de passe
Mots de passe en clair : la faute technique centrale

L'auteur précise que les mots de passe sont présents en partie en clair, tandis qu'une autre partie serait stockée sous forme chiffrée ou hachée. Cette coexistence de deux méthodes de stockage suggère une évolution de la base de données au fil du temps : les anciens comptes, créés avant qu'une politique de hachage soit mise en place, conserveraient des mots de passe en texte lisible, tandis que les comptes plus récents bénéficieraient d'une protection minimale.

Ce scénario — malheureusement plus fréquent qu'on ne le croit — révèle une absence de migration systématique lors du passage à un stockage sécurisé. Changer de méthode de protection pour les nouveaux comptes sans traiter les anciens, c'est laisser une partie de sa base dans un état de vulnérabilité permanente.

Pourquoi des mots de passe en clair, c'est une faute grave — et pas seulement pour France Casse
Ce qui aurait dû être fait

Depuis les recommandations du NIST américain, de l'ANSSI française et des lignes directrices CNIL, le stockage sécurisé des mots de passe est une exigence fondamentale : les mots de passe ne doivent jamais être stockés en clair. Ils doivent être transformés par un algorithme de hachage robuste et salé — bcrypt, Argon2, scrypt — qui rend leur reconstitution pratiquement impossible même en cas d'accès à la base.

Un mot de passe haché correctement peut être comparé lors de la connexion (on hache ce que l'utilisateur saisit et on compare les deux empreintes), mais il ne peut pas être "lu" par un attaquant. Un mot de passe en clair, lui, est immédiatement utilisable.

Ce que cela signifie pour les 3,3 millions d'utilisateurs concernés

Pour les comptes dont les mots de passe sont stockés en clair, l'attaquant dispose d'un accès direct à la chaîne de caractères exacte que l'utilisateur utilise pour se connecter. Trois conséquences immédiates :

1. Compromission immédiate du compte France Casse — L'attaquant peut se connecter au compte, consulter l'historique des commandes, modifier les coordonnées, passer des commandes frauduleuses ou accéder à toute information stockée dans le profil.

2. Credential stuffing massif — C'est le risque le plus étendu. La majorité des internautes réutilisent le même mot de passe sur plusieurs services. Un mot de passe obtenu en clair sur France Casse peut immédiatement être testé sur des centaines d'autres plateformes : banques en ligne, messageries, réseaux sociaux, e-commerce, administrations numériques (impots.gouv.fr, ameli.fr, France Connect). Ce type d'attaque est entièrement automatisé et peut être lancé à grande échelle en quelques heures.

3. Constitution de listes combinées pour attaques futures — Les paires e-mail/mot de passe récupérées alimentent des bases de données criminelles revendues et utilisées pendant des années. Un mot de passe que vous avez changé depuis mai 2025 sur France Casse est peut-être toujours en usage sur un autre service où vous ne l'avez pas mis à jour.

France Casse : une cible atypique, mais cohérente
Une plateforme à double clientèle

France Casse est une plateforme de référence dans l'univers des pièces automobiles d'occasion. Sa clientèle se divise en deux segments distincts :

Les particuliers — cherchant à réparer leur véhicule à moindre coût, souvent avec des comptes créés ponctuellement et des mots de passe non uniques.

Les professionnels — garages, carrossiers, centres auto — pour qui France Casse est un outil de travail quotidien. La base revendiquée contiendrait des raisons sociales pour ces comptes professionnels, ce qui signifie que des données d'entreprises françaises sont également exposées.

Des risques spécifiques pour les professionnels

Pour les garages et ateliers utilisant France Casse régulièrement, la compromission de leur compte va au-delà du simple risque personnel :

L'historique de commandes révèle le type de véhicules réparés, les volumes d'activité, les fournisseurs
Ces informations peuvent être utilisées pour des escroqueries B2B ciblées (faux fournisseurs, fausses factures)
Le compte professionnel peut être utilisé pour passer des commandes frauduleuses au nom de l'entreprise
Les coordonnées professionnelles extraites alimentent des bases de démarchage ou des campagnes de phishing B2B
Le délai d'un an : une fenêtre d'exploitation silencieuse

L'extraction revendiquée daterait de mai 2025. La publication sur forum cybercriminel intervient le 20 juillet 2026. Entre les deux : environ 14 mois.

Ce délai n'est pas anodin. Il correspond à un schéma classique dans l'économie criminelle de la donnée volée :

Phase 1 — Exploitation privée (0 à 6 mois) : L'attaquant ou le groupe initial exploite les données en exclusivité. Credential stuffing ciblé, revente restreinte à des cercles de confiance, utilisation des comptes à valeur la plus élevée.

Phase 2 — Revente sur marchés fermés (6 à 12 mois) : La base est vendue à plusieurs acteurs. Sa valeur diminue à mesure que l'information se diffuse. Les acheteurs l'utilisent pour leurs propres campagnes.

Phase 3 — Publication publique (12 mois et plus) : La base est rendue publique, parfois gratuitement, ce qui lui confère une sorte de valeur de notoriété pour l'auteur tout en rendant les données inutilisables par les concurrents (puisqu'elles sont désormais disponibles pour tous). À ce stade, la valeur commerciale de la base est épuisée — mais les dommages pour les utilisateurs continuent, car leurs données alimentent des bases permanentes.

Ce que cela signifie concrètement : les utilisateurs de France Casse dont le mot de passe figurait en clair ont potentiellement été exposés depuis mai 2025. S'ils utilisent ce mot de passe ailleurs, cette exposition a pu générer des incidents sur d'autres services sans qu'ils aient fait le lien avec France Casse.

Ce que dit le RGPD sur le stockage des mots de passe
Une obligation explicite de sécurité

L'article 32 du RGPD impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Le stockage de mots de passe en clair constitue une violation directe de cette obligation.

La CNIL a été très claire sur ce point dans ses recommandations techniques : le hachage des mots de passe avec un algorithme robuste et un sel aléatoire est considéré comme une mesure minimale incontournable, pas comme une bonne pratique optionnelle. L'absence de cette protection place le responsable de traitement dans une situation de manquement caractérisé à ses obligations de sécurité.

La responsabilité en cas de migration incomplète

Le cas où d'anciens comptes conservent des mots de passe en clair après qu'une politique de hachage a été mise en place mérite une attention particulière. Cette situation — que la revendication semble décrire — révèle une migration incomplète lors du renforcement de la sécurité.

Du point de vue RGPD, cette situation est doublement problématique :

D'une part, elle signifie que l'entreprise a connaissance de l'existence de mots de passe en clair dans sa base (puisqu'elle a fait évoluer sa pratique), sans avoir procédé à leur migration forcée.

D'autre part, elle révèle l'absence d'un processus de vérification post-migration permettant de s'assurer qu'aucun compte legacy ne conserve une protection insuffisante.

Notification et obligations en cas de confirmation

Si l'incident est confirmé, France Casse sera soumis à :

Article 33 — Notification à la CNIL dans les 72 heures : avec une extraction datant de mai 2025, la question de la date de "prise de connaissance" sera déterminante. Si l'entreprise n'avait pas détecté la compromission à l'époque, cela soulève la question des capacités de détection en place.

Article 34 — Notification aux utilisateurs : 3,3 millions de comptes avec mots de passe potentiellement en clair constitue incontestablement un risque élevé pour les droits et libertés des personnes. La notification individuelle des utilisateurs concernés sera vraisemblablement obligatoire.

Sanctions potentielles : le manquement à l'obligation de sécurité de l'article 32, combiné à l'ampleur de l'incident (3,3 millions de comptes, mots de passe en clair), positionne cet incident parmi ceux susceptibles d'attirer l'attention de la CNIL. Le montant des sanctions peut atteindre 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial pour un manquement à l'article 32.

Ce que doivent faire les utilisateurs de France Casse — maintenant
Actions immédiates

Changer immédiatement le mot de passe de son compte France Casse — même si l'incident n'est pas encore confirmé officiellement. En situation d'incertitude, le changement préventif ne coûte rien et élimine le risque.

Identifier tous les services où le même mot de passe est utilisé et les changer en priorité — c'est l'action la plus importante et la plus urgente. Prioriser : compte bancaire en ligne, messagerie principale (Gmail, Outlook), France Connect, impots.gouv.fr, ameli.fr, services d'e-commerce avec coordonnées bancaires enregistrées.

Activer la double authentification (2FA) partout où elle est disponible — même si un attaquant dispose de votre mot de passe, le 2FA rend l'accès au compte extrêmement difficile sans accès à votre téléphone.

Vérifier l'historique de connexion sur vos comptes principaux — la plupart des services proposent une liste des connexions récentes avec l'adresse IP et le navigateur utilisés. Une connexion inconnue est un signal d'alerte.

Pour les professionnels (garages, carrossiers)

Vérifier l'historique des commandes sur France Casse — s'assurer qu'aucune commande frauduleuse n'a été passée au nom de votre établissement.

Informer votre comptable ou service administratif — une commande frauduleuse peut générer une facture sans correspondre à une livraison réelle, avec des conséquences comptables et fiscales.

Mettre à jour les mots de passe de tous les comptes professionnels partagés entre plusieurs employés si le même mot de passe était utilisé.

Outil de vérification

Le service Have I Been Pwned (haveibeenpwned.com) permet de vérifier si votre adresse e-mail apparaît dans des bases de données compromises connues. Si la base France Casse y est intégrée, vous pourrez être alerté directement.

La leçon structurelle : le mot de passe en clair, symptôme d'une dette technique non soldée

L'affaire France Casse illustre un problème que nous rencontrons régulièrement dans nos missions d'audit et d'accompagnement RGPD : la dette technique de sécurité.

Une entreprise développe une plateforme. Au moment du lancement — souvent dans les années 2010, parfois avant — les pratiques de sécurité sont celles de l'époque, pas toujours à la hauteur. Les mots de passe sont stockés en clair ou avec des algorithmes aujourd'hui considérés comme insuffisants (MD5, SHA-1 non salé).

L'entreprise grandit, la plateforme évolue. Certaines fonctions sont mises à jour, d'autres non. Un jour, quelqu'un améliore le système d'inscription : les nouveaux mots de passe sont désormais hachés. Mais les anciens comptes ? Ils restent tels quels, dans un état de vulnérabilité que personne ne voit parce que personne ne cherche activement.

Ce n'est pas de la malveillance. C'est de l'inertie — et c'est précisément le type de risque qu'une analyse d'impact (AIPD) et un audit de sécurité régulier sont censés détecter.

Trois questions que toute entreprise gérant des comptes utilisateurs devrait pouvoir répondre :

Quel algorithme utilisons-nous actuellement pour stocker les mots de passe, et depuis quand ?
Existe-t-il des comptes créés avant cette date dont les mots de passe sont stockés différemment ?
Si oui, avons-nous un plan pour forcer leur migration vers le standard actuel ?

Si la réponse à la troisième question est "non" ou "on ne sait pas", c'est une priorité de sécurité — pas une option.

Conclusion : 3,3 millions de raisons de traiter les mots de passe comme des données critiques

La fuite France Casse est la conséquence directe d'une décision technique — stocker des mots de passe en clair — qui aurait pu sembler anodine à l'époque où elle a été prise, mais dont les conséquences se mesurent aujourd'hui en millions de comptes potentiellement compromis et en années d'exposition silencieuse.

Ce n'est pas un incident de cybersécurité sophistiqué. Il n'a pas nécessité d'exploit zero-day, de malware avancé, ni d'attaque sur des systèmes particulièrement bien défendus. Un attaquant a trouvé un accès à une base de données, l'a exportée, et a découvert que les mots de passe étaient lisibles.

La prévention de ce type d'incident ne relève pas de la cybersécurité de haut niveau. Elle relève de l'hygiène technique fondamentale que tout service numérique traitant des comptes utilisateurs doit garantir — et que le RGPD impose explicitement depuis 2018.

Pour les 3,3 millions d'utilisateurs concernés, la question n'est plus de savoir si leurs données ont été exposées, mais depuis combien de temps — et sur combien d'autres services leur mot de passe a déjà été utilisé.

Cet article est rédigé à partir des éléments publiquement disponibles au 21 juillet 2026. Il ne constitue pas un avis juridique. L'incident décrit reste revendiqué et n'a pas été confirmé officiellement par France Casse.

Sources :

cyberattaque.org — France Casse : 3,3 millions de comptes en fuite avec des mots de passe en clair — 20 juillet 2026
frenchbreaches.com — FranceCasse.fr — 20 juillet 2026 (adresses e-mail, mots de passe, noms, numéros de téléphone, prénoms)