Tisséo : ce que la fuite de données révèle des coulisses numériques du réseau

Tisséo Voyageurs a confirmé une fuite de données touchant deux applications internes contenant des données liées à ses agents. L’incident, détecté le 3 septembre, n’a eu selon l’opérateur aucun impact sur le fonctionnement du métro, des bus, du tramway ou de Téléo, et aucune donnée voyageur n’est concernée.

C’est précisément ce contraste qui rend l’incident intéressant. Un réseau de transport ne repose pas seulement sur des rames, des bus, des voies et des systèmes de conduite. Derrière le service visible, Tisséo doit aussi gérer ses équipes, ses annuaires, ses achats, ses fournisseurs et les applications nécessaires à cette organisation.

Cyberattaque.org dit avoir obtenu et analysé les fichiers diffusés par le pirate ChimeraZ. Un premier ensemble contient environ 2 600 entrées dans un annuaire professionnel : noms, matricules, adresses électroniques Tisséo, directions, services, postes, sites d’affectation et parfois numéros de téléphone. Un autre fichier rassemble environ 10 000 enregistrements liés à des commandes, des agents et des fournisseurs. La présence de métiers du métro, du tram ou des bus dans ces fichiers ne signifie pas que les systèmes qui exploitent physiquement le réseau ont été compromis.

Le chiffre de 2 877 personnes largement repris depuis jeudi vient, lui, du décompte du pirate et n’a pas été confirmé par Tisséo. L’origine de l’accès reste également inconnue : les éléments publiés ne permettent pas de déterminer si les données ont été obtenues directement dans le système d’information de Tisséo, via une application particulière ou chez un prestataire.

Pour les agents, l’intérêt de telles données pour un fraudeur tient surtout à leur précision. Connaître le poste, le service, le site ou l’adresse professionnelle d’une personne permet de fabriquer des courriels d’hameçonnage ou des demandes frauduleuses beaucoup plus crédibles. Tisséo affirme cependant qu’aucune donnée bancaire ni coordonnée personnelle de ses agents n’a été compromise.

L’affaire ne touche pas un opérateur dépourvu de moyens cyber. Un document de Tisséo Voyageurs décrit depuis 2023 un service cybersécurité chargé notamment de centraliser les journaux d’activité, détecter les événements anormaux et conduire les analyses après incident, avec EDR et traçabilité parmi les mesures techniques. En 2024, Tisséo Voyageurs a aussi attribué deux accords-cadres d’assistance cyber, l’un consacré à la gouvernance et aux risques, l’autre à la cybersécurité opérationnelle, d’un montant de 1,435 million d’euros pour le premier et de 2,8 millions pour le second.

Ces dispositifs ne peuvent pas être présentés comme ayant « échoué » : on ignore quelles applications étaient concernées, comment elles étaient protégées et par quel chemin les données sont sorties. Ils montrent en revanche l’ampleur du problème. Même lorsqu’un opérateur protège ses infrastructures critiques, il lui faut également surveiller de nombreux outils métiers moins visibles, mais riches en informations sur les personnes et le fonctionnement de l’entreprise.

Tisséo indique avoir isolé les systèmes concernés, lancé l’analyse de la fuite, informé les autorités compétentes et déposé plainte. Le réseau toulousain, lui, a continué à transporter ses voyageurs. L’enquête doit désormais établir comment ces deux applications internes ont laissé sortir une partie de l’organisation qui fait tourner Tisséo au quotidien.