Prendre rendez-vous pour faire enlever un meuble paraît être une démarche banale. Elle demande pourtant un compte, des coordonnées et une plateforme numérique. À Grand Paris Grand Est, en Seine-Saint-Denis, ce service est au cœur d’un incident de sécurité rapporté le 5 novembre par Cyberattaque.org, à partir d’une notification adressée à des usagers.
Selon ce document décrit par le média, une faille détectée le 28 septembre sur Wastreet, plateforme utilisée par le prestataire SEPUR, a permis un accès non autorisé à des données. Les adresses électroniques et numéros de téléphone sont concernés ; les noms, prénoms et adresses postales sont présentés comme épargnés. Le nombre d’usagers touchés n’est pas communiqué.
Une démarche publique, plusieurs intervenants
Les conditions d’utilisation du service de rendez-vous identifient Wastreet comme développeur et gestionnaire de la plateforme. Elles distinguent le site de prise de rendez-vous et le prestataire chargé de la collecte. Le parcours proposé au particulier relie ainsi une démarche locale à plusieurs acteurs.
Cette organisation n’est pas, en elle-même, la preuve d’un défaut de sécurité. Elle explique en revanche pourquoi le nom affiché pour un service public ne suffit pas à identifier l’ensemble des systèmes qui interviennent. Pour l’usager, une demande reste un seul rendez-vous. Derrière l’écran, le compte, les communications et l’intervention physique peuvent dépendre de responsabilités différentes.
Le point essentiel, lorsqu’un incident est annoncé, est donc de comprendre quel service précis est concerné. Une alerte sur une plateforme de réservation ne permet pas de conclure que tous les outils de la collectivité, ni toutes les activités de son prestataire, ont été compromis.
Données demandées et données exposées : deux listes différentes
Le formulaire d’inscription décrit dans les conditions d’utilisation demande un nom, un prénom, une adresse électronique, un téléphone et une adresse. La prise de rendez-vous comprend ensuite des renseignements sur les objets à enlever et le lieu de collecte. Ces informations ont une fonction pratique : organiser le passage et pouvoir joindre l’utilisateur.
Mais cette liste décrit le fonctionnement normal du service. Elle ne constitue pas l’inventaire des éléments auxquels un tiers a eu accès. Dans un dossier de fuite, mélanger les deux revient à transformer toutes les informations confiées à un organisme en données nécessairement compromises.
Ici, il faut conserver le périmètre plus restreint de la notification rapportée. Cela n’annule pas le risque lié aux coordonnées de contact ; cela évite de lui ajouter des données dont l’exposition n’est pas annoncée.
Une correction ne répond pas à toutes les questions
Toujours selon Cyberattaque.org, la notification indique que la faille a été corrigée et que des mots de passe ont été réinitialisés. Cette mesure ne prouve pas, à elle seule, un vol de mots de passe. Le document rapporté ne permet pas non plus d’établir une diffusion publique des données.
La date du 28 septembre correspond à une détection. Elle ne doit pas être présentée comme la date certaine du premier accès. Entre le repérage d’une vulnérabilité, sa correction et la compréhension de ce qui a été consulté, les questions à résoudre sont différentes. L’usager a besoin d’un bilan intelligible, pas d’une date unique qui donnerait artificiellement l’impression que tout le déroulement est connu.
Le risque pratique : un message qui semble lié au bon service
Cybermalveillance.gouv.fr explique qu’une fuite de coordonnées peut alimenter des messages, SMS ou appels frauduleux. Le risque n’exige pas qu’un fraudeur dispose de tout un dossier personnel : un contexte crédible peut aider à faire accepter une demande inhabituelle.
Un faux message évoquant un rendez-vous de collecte serait, par exemple, un scénario à surveiller. C’est une possibilité de fraude, pas une campagne constatée dans cette affaire. Le réflexe utile reste le même : retrouver soi-même le service par ses coordonnées officielles et vérifier la demande avant de transmettre des informations ou de suivre un lien.
Le dispositif national conseille également de lire attentivement la notification pour identifier les données concernées, d’utiliser des mots de passe distincts et d’activer une authentification supplémentaire lorsque le service la propose. Ces gestes réduisent certains risques ; ils ne rendent pas anodine l’exposition initiale.
Ce qu’un usager peut vérifier
Trois questions permettent de lire une notification sans dramatiser ni minimiser : mon compte fait-il partie des comptes concernés, quelles informations sont précisément citées et quelle démarche m’est demandée ? Si le message reste ambigu, une demande d’explication auprès de l’organisme vaut mieux qu’une conclusion tirée du seul titre d’un article.
La sécurité des démarches quotidiennes se joue aussi là : dans la capacité à donner une réponse précise à chaque usager. L’incident rappelle qu’un service pratique et peu spectaculaire, comme l’enlèvement d’encombrants, mérite la même attention aux accès et aux données qu’une application beaucoup plus visible.
Photographie d’illustration : des objets encombrants sur un trottoir à Düsseldorf. Cette image ne montre pas une collecte de Grand Paris Grand Est.
