Tisséo : 2 877 agents du réseau de transports toulousain exposés après l'exfiltration de deux applications internes

Le 3 septembre 2026, Tisséo Voyageurs, exploitant du métro, des bus, du tramway et du téléphérique de Toulouse, a identifié une exfiltration de données portant sur deux applications internes relatives à ses agents. Le même jour, un acteur utilisant le pseudonyme « ChimeraZ » a revendiqué l’attaque et diffusé un corpus de 1,22 Go sur une dizaine de services d’hébergement de fichiers. L’exploitant a confirmé l’incident par communiqué, isolé les systèmes concernés, déposé plainte et notifié la CNIL et l’ANSSI.

Le cas illustre proprement l’écart entre lignes et personnes, avec cette particularité rare que le dédoublonnage a été fait avant que le chiffre ne circule. Les 13 446 enregistrements diffusés proviennent de deux fichiers : un annuaire professionnel interne d’environ 2 600 entrées, comportant identité, matricule, adresse électronique professionnelle, direction, service, site d’affectation et poste, et un outil de gestion des commandes et achats d’environ 10 000 lignes portant sur des fournisseurs, des références de marchés et des codes internes. Une fois les doublons retirés entre les deux, 2 877 agents distincts sont concernés, et c’est ce chiffre que la presse régionale a repris plutôt que le total brut.

Le périmètre exclut les voyageurs, et Tisséo l’affirme explicitement, de même qu’il exclut les données bancaires et les données sensibles relatives aux agents. C’est ce qui conduit à retenir une sévérité modérée : les informations concernées sont professionnelles, dépourvues de mot de passe, et pour partie déductibles d’un organigramme. Le risque principal porte sur l’hameçonnage interne, un attaquant disposant du matricule, du service et du nom du responsable étant en mesure de rédiger une sollicitation crédible à destination d’un agent.

L’incident s’inscrit dans une série toulousaine, les services d’incendie et de secours puis le rectorat ayant été visés au cours des mêmes semaines. Le même acteur apparaît d’ailleurs dans la vague ayant touché cinq services départementaux d’incendie et de secours fin août, ce qui suggère une campagne visant des employeurs publics et parapublics plutôt que des cibles choisies pour la valeur marchande de leurs données.