La Compagnie des transports strasbourgeois (CTS) a annoncé le 28 octobre 2026 une fuite de données personnelles. Elle touche environ 230 000 comptes clients, soit près de 40 % des quelque 586 000 comptes de l’entreprise. Voici ce que l’on sait, et ce qu’il faut faire.

Que s’est-il passé à la CTS ?

La CTS évoque une « utilisation illicite » de son site internet, qui a permis d’extraire des données. Selon des informations complémentaires relayées par des médias, les pirates auraient exploité une interface de programmation (API) du site, sans pénétrer ni modifier les serveurs internes de la compagnie.

L’extraction se serait produite dans la nuit du dimanche 18 au lundi 19 octobre 2026. Dès l’incident identifié, la compagnie affirme avoir stoppé l’exfiltration et renforcé la sécurité de son site, en accélérant des mesures complémentaires déjà engagées.

Quelles données ont été volées ?

Seuls les abonnés au service Badgéo sont concernés. Les informations dérobées sont :

• le nom et le prénom ;
• la date de naissance ;
• l’adresse postale ;
• l’identifiant du compte client ou abonné.

Selon la CTS, les coordonnées bancaires et les mots de passe ne sont pas concernés.

Combien d’usagers de l’Eurométropole sont touchés ?

Environ 230 000 comptes clients sont visés, sur près de 586 000. Les usagers concernés ont été informés par courriel. Si vous utilisez Badgéo à Strasbourg ou dans le Bas-Rhin, vérifiez votre boîte de réception, y compris vos spams.

Phishing : le vrai danger pour les clients CTS

Le principal risque identifié est le phishing. Avec votre nom, votre adresse et votre date de naissance, un escroc peut rédiger un message bien plus crédible, en se faisant passer pour la CTS ou un autre organisme.

La CTS rappelle qu’elle ne demande jamais d’effectuer une transaction financière par e-mail, ni de communiquer ses coordonnées bancaires par ce canal.

Quelles démarches la CTS a-t-elle engagées ?

La fuite a été déclarée à la CNIL. Une plainte devait être déposée auprès du tribunal de Strasbourg. À ce stade, la CTS n’a pas indiqué si les données ont été revendues ou diffusées.

Que faire si vous êtes client de la CTS ?

• Consultez le message d’information de la CTS dans votre messagerie, spams compris.
• Méfiez-vous de tout e-mail, SMS ou appel se réclamant de la CTS, surtout s’il réclame une action urgente, un paiement ou des informations bancaires.
• Ne cliquez pas sur les liens d’un message douteux. Ne communiquez jamais un code bancaire, un code reçu par SMS ou vos identifiants.
• En cas de doute, contactez directement la CTS par ses canaux officiels plutôt que de répondre au message suspect.
• Pour toute question sur vos données personnelles, la CTS indique un contact DPO : dpo@cts-strasbourg.fr.

Il s’agit d’une exfiltration de données personnelles, et non d’une intrusion confirmée dans le système interne de la CTS. Les éléments les plus sensibles, cartes bancaires et mots de passe, sont épargnés. Mais la combinaison nom, adresse, date de naissance et identifiant suffit à nourrir des arnaques ciblées : la vigilance s’impose pour les centaines de milliers d’usagers de l’agglomération strasbourgeoise.