Fuite de données collectivité : Grand Paris Grand Est touché via un prestataire

Nouvelle fuite de données en collectivité en Île-de-France : l’établissement public territorial Grand Paris Grand Est prévient des usagers que leurs coordonnées ont été consultées par un tiers. La brèche ne vient pas de ses propres serveurs, mais de la plateforme de rendez-vous de son prestataire de collecte des encombrants.

L’information a été rendue publique le 5 novembre 2026 par Cyberattaque.org, puis par Fuites Infos. Selon ces deux médias, qui s’appuient sur le courriel adressé aux usagers par la déléguée à la protection des données de la collectivité, la faille concerne Wastreet, l’outil de réservation utilisé par la société SEPUR, chargée de l’enlèvement des encombrants pour le territoire. Elle a été détectée le 28 septembre 2026. Grand Paris Grand Est regroupe 14 communes de Seine-Saint-Denis autour de Noisy-le-Grand.

Ce que l’on sait de la fuite chez Grand Paris Grand Est

Des données de contact, pas d’état civil

D’après le message transmis aux usagers, un tiers non autorisé a pu accéder à certaines données. Les deux sources concordent sur leur nature :

• adresses e-mail des comptes créés pour prendre rendez-vous ;
• numéros de téléphone associés ;
• pas d’adresse postale, ni de nom ou prénom, selon la collectivité.

Les mots de passe des comptes concernés ont été réinitialisés. La collectivité ne précise pas s’ils ont été consultés, ni sous quelle forme ils étaient stockés. Fuites Infos les range parmi les données concernées ; Cyberattaque.org souligne que le courriel ne parle pas explicitement de compromission.

Une faille corrigée, la CNIL notifiée

La faille est présentée comme corrigée, et des mesures complémentaires sont annoncées avec le prestataire. La collectivité indique avoir notifié la CNIL. Aucun nombre de personnes touchées n’est communiqué, et aucune revendication par un groupe criminel n’a été signalée. Les autres services de SEPUR et de Wastreet ne seraient pas concernés.

La sous-traitance, angle mort de la cybersécurité des collectivités

Le cas est typique. Les systèmes de la collectivité ne semblent pas avoir été attaqués. C’est un service délégué, ouvert au public sur internet, qui a cédé. Pour l’usager, la nuance compte peu : c’est le nom de son territoire qui figure sur le courriel d’alerte.

Collecte des déchets, cantine, stationnement, inscriptions périscolaires : les communes et intercommunalités multiplient les portails confiés à des éditeurs ou à des délégataires. Chacun collecte des données d’habitants. Au regard du RGPD, la collectivité reste responsable de traitement et doit encadrer ses sous-traitants par contrat. La cybersécurité des collectivités ne s’arrête donc pas au périmètre du système d’information municipal.

Le délai entre la détection, fin septembre, et la médiatisation, début novembre, illustre aussi la difficulté à piloter un incident quand l’information remonte d’un tiers. Ce dossier s’ajoute à d’autres incidents récents touchant le secteur public local, comme ceux évoqués dans notre article sur la cyberattaque visant Cholet et les Portes du Berry.

Le vrai risque : l’hameçonnage ciblé

Un e-mail et un numéro de téléphone suffisent pour monter des campagnes crédibles. L’escroc sait que la victime a pris un rendez-vous auprès d’un service public local. Il peut se faire passer pour la collectivité ou le prestataire, par courriel, SMS ou appel.

• Phishing par faux courriel de confirmation ou de « réactivation » de compte ;
• smishing (hameçonnage par SMS) avec lien vers un faux paiement ;
• vishing, l’arnaque par appel téléphonique, pour obtenir un code reçu par SMS.

La collectivité rappelle que ni elle ni SEPUR ne demandent jamais de mot de passe. Les usagers sont invités à changer le leur, y compris sur les autres services où il serait identique.

Fuite de données en collectivité : les réflexes à adopter

Pour les communes et intercommunalités

• Cartographiez vos prestataires qui traitent des données d’habitants et les portails qu’ils exposent sur internet.
• Intégrez des clauses de sécurité et de notification d’incident dans vos marchés et vérifiez-les régulièrement.
• Préparez un modèle de communication aux usagers et une procédure de notification à la CNIL.
• Formez les agents à reconnaître les tentatives d’hameçonnage qui suivent souvent une fuite.

Pour les entreprises

Le schéma vaut aussi pour les TPE et PME qui confient leur site de réservation, leur CRM ou leur facturation à un éditeur. Vérifiez les engagements de vos fournisseurs, activez la double authentification et segmentez vos accès. Un audit de sécurité informatique permet de repérer les maillons faibles, y compris côté réseaux d’entreprise. Les principes publiés par l’ANSSI sur les agents IA, détaillés dans notre article IA agentique et recommandations de l’ANSSI, rappellent la même logique : garder la maîtrise de ce que l’on délègue.

Conclusion

L’incident de Grand Paris Grand Est reste limité en apparence : des coordonnées, pas d’identité complète. Mais il rappelle qu’une fuite de données en collectivité peut naître chez un prestataire, loin du système d’information principal. Pour réduire ce risque, vous devez traiter vos sous-traitants comme une partie de votre surface d’attaque, et préparer vos équipes et vos usagers aux arnaques qui suivent. Nos équipes interviennent sur l’ensemble de nos zones d’intervention pour vous accompagner.

Source : Cyberattaque.org – Grand Paris Grand Est : une cyberattaque expose les données personnelles des habitants (5 novembre 2026)
Voir aussi : Fuites Infos – Grand Paris Grand Est : fuite de données sur la collecte des encombrants (5 novembre 2026)