Hertz : fuite de données via le prestataire Cleo

Le loueur de véhicules Hertz a confirmé en avril 2025 une fuite de données personnelles de clients consécutive à une attaque visant l’un de ses prestataires, Cleo, éditeur d’une plateforme de transfert de fichiers. Selon les communications de l’entreprise et plusieurs médias spécialisés, des acteurs malveillants ont exploité des vulnérabilités zero-day de la solution Cleo (identifiées comme CVE-2024-50623 et CVE-2024-55956) en octobre et décembre 2024. Hertz indique avoir eu connaissance de l’incident le 10 février 2025 et achevé son analyse le 2 avril 2025, avant de publier des avis de notification à compter du 11 avril 2025.

Le groupe de rançongiciel Cl0p a revendiqué cette campagne, qui a visé de nombreuses organisations utilisatrices de Cleo, et Hertz a été référencé sur son site de fuite. Hertz précise que son propre réseau informatique n’aurait, à ce stade, pas été directement compromis. Les données concernées varient selon les pays mais incluent, d’après les avis publiés, le nom, les coordonnées, la date de naissance, les informations de permis de conduire et les données de carte de paiement, avec, dans des cas plus limités, des informations de passeport, et pour certains clients américains des numéros de sécurité sociale ou des données liées à des demandes d’indemnisation.

L’incident concerne des personnes situées dans l’Union européenne : Hertz a publié des avis localisés visant explicitement les clients de l’UE, ainsi que ceux du Royaume-Uni, du Canada, de l’Australie et de la Nouvelle-Zélande, et déclare être en cours d’engagement auprès des régulateurs nationaux compétents. Le nombre exact de personnes touchées n’a pas été communiqué par Hertz. Seule la déclaration auprès du procureur général du Maine, faisant état d’au moins 3 409 résidents de cet État, est documentée officiellement ; des estimations de presse évoquent plus d’un million de personnes au niveau mondial, mais ce chiffre n’est pas confirmé par l’entreprise.

Hertz a proposé aux personnes concernées deux années de service gratuit de surveillance d’identité via le prestataire Kroll. Aucune source consultée ne fait état, à ce stade, d’un usage frauduleux avéré des données. La part précise des personnes résidant en France n’est pas isolée dans les communications publiques disponibles, mais l’existence d’un avis dédié à l’UE confirme l’exposition de données de personnes situées en Europe.