RATP : 62 208 données d’employés revendues sur le darkweb, ce que ça dit de votre sécurité

Le week-end du 14 juin 2026, un pirate qui se fait appeler “Misere” a posté sur un forum du darkweb une archive contenant, selon ses dires, 62 208 fiches d’employés de la RATP. La régie des transports franciliens a confirmé la détection de cette revendication et annoncé qu’elle allait porter plainte. Bonne nouvelle : aucune donnée usager n’est concernée. Mauvaise nouvelle : ce que nous trouvons dans ces fiches suffit largement à monter une attaque ciblée contre les agents.

Nous décryptons ce qui a fuité, ce qui reste protégé, et ce que doivent faire les 62 000 agents RATP (et tous ceux qui travaillent dans une grande organisation publique, parce que ce type d’incident devient récurrent).

Que s’est-il passé, exactement ?

Dimanche 14 juin 2026, les dispositifs de veille de la RATP ont détecté un message posté sur un forum cybercriminel. Le pseudo utilisé : “Misere”. Le message revendique la possession d’un fichier CSV nommé “ratp employers” contenant 62 208 lignes, présenté comme un export de l’annuaire interne du groupe.

Dans la foulée, plusieurs échantillons ont été publiés pour prouver la matérialité de la fuite. Nous y trouvons des données cohérentes avec un annuaire d’entreprise centralisé : civilité, nom, prénom, adresses e-mail (professionnelles et alternatives), numéros de téléphone (fixe et mobile), matricule, UID, identifiants internes, fonction, service, département, hiérarchie, ville, code postal, dates de création, de mise à jour et de dernière connexion. La RATP parle d’une période couverte de 2020 à 2026.

La régie a confirmé l’incident au Parisien lundi 15 juin, annoncé son intention de porter plainte, et signalé l’incident à la CNIL. Sa cellule cyber travaille en coordination avec les services de l’État pour comprendre l’origine de la compromission.

Pourquoi c’est plus grave qu’une simple fuite de coordonnées

Nous pourrions nous dire : “Bof, ce sont juste des coordonnées pro, pas de mot de passe ni de numéro de carte, c’est pas si grave”. Faux. Le problème avec ce type de données, c’est qu’elles ouvrent la porte à des attaques bien plus dangereuses que la fuite brute elle-même.

Prenons un cas concret. Vous êtes chef de maintenance à la RATP, votre nom et votre fonction sont dans la base. Un pirate vous envoie un e-mail qui ressemble à une convocation à une réunion interne, avec un lien vers un “document” hébergé sur ce qui ressemble à l’intranet. Vous cliquez, vous rentrez vos identifiants pro. Le pirate vient de récupérer votre accès au SI de la RATP. C’est ce que nous appelons du spear-phishing, et c’est nettement plus efficace quand le message est taillé sur mesure pour vous.

Le terme technique pour ce type d’archive, c’est une “énumération d’annuaire” ou un “employee directory dump”. Nous en voyons beaucoup, et c’est le matériau de base de la plupart des attaques ciblées contre les grandes organisations. Le pirate “Misere” l’a d’ailleurs revendiqué en évoquant “la stupidité humaine” qui a permis la collecte. C’est une manière de pointer vers une faille humaine (phishing, credentials faibles, MFA désactivé) ou un défaut d’hygiène numérique.

Le contexte : la vague de fuites d’annuaires pro de 2026

La fuite RATP n’arrive pas toute seule. Elle s’inscrit dans une tendance lourde, documentée par la CNIL et l’ANSSI : les fuites d’annuaires internes d’entreprises et d’administrations. En 2025, la CNIL a reçu 6 167 notifications de violations de données, un record (+9,5% vs 2024). Pour le seul premier trimestre 2026, nous en sommes déjà à 2 730 notifications, contre 2 500 sur la même période en 2025.

Plusieurs cas récents ont visé des organisations françaises de premier plan : la DGSE (déjà évoquée dans la presse), des opérateurs de transport, des ministères, des hôpitaux, des opérateurs télécoms. À chaque fois, le schéma est le même : un pirate met en vente un annuaire professionnel, parfois quelques semaines avant une attaque par ransomware qui exploite les données pour s’introduire dans le SI.

Le hic, c’est que la fuite d’annuaire est rarement la première étape d’une seule attaque. C’est plutôt un produit commercialisable sur des forums cybercriminels, que d’autres acteurs achètent pour préparer leurs propres opérations. En clair : les 62 000 fiches RATP vont probablement servir à d’autres attaques que celle qui les a produites.

Ce que les pirates vont probablement faire avec ces données

Le plus probable, c’est du spear-phishing de masse. Un e-mail qui ressemble à une communication interne RATP, avec un lien vers un document à télécharger ou un portail à valider. Le piège classique. L’efficacité de ces attaques augmente mécaniquement avec la qualité des données dont dispose le pirate : plus il connaît votre fonction, votre service, votre supérieur, plus le message est crédible.

Ensuite, du credential stuffing : le pirate va croiser les e-mails pro RATP avec les fuites massives de 2024-2026 (Searcher, Dumpsec, LinkedIn, etc.) pour voir si certains agents ont réutilisé leur mot de passe pro sur des sites persos. Si oui, il peut tester cette combinaison sur le portail RATP.

Enfin, de l’ingénierie sociale par téléphone (vishing) : un pirate appelle un agent RATP, se fait passer pour le support IT, et lui demande de valider un code MFA. C’est un schéma de plus en plus courant, surtout quand le pirate connaît l’organigramme de la cible.

Comment vérifier si vous êtes concerné, et que faire

Si vous êtes agent RATP, voici la marche à suivre dans les jours qui viennent.

1. Surveillez votre boîte mail pro : la RATP va probablement envoyer une communication officielle aux agents concernés. Vérifiez que l’expéditeur est bien ratp.fr et pas un domaine approchant.
2. Activez ou vérifiez le MFA : si vous n’avez pas activé l’authentification multifacteur sur votre compte pro, faites-le maintenant. Si vous l’avez déjà, vérifiez qu’elle fonctionne (code SMS, appli type Microsoft Authenticator, Yubikey).
3. Ne réutilisez jamais votre mot de passe RATP ailleurs : si vous l’avez utilisé sur un site perso, changez-le partout. Vite.
4. Signalez les e-mails suspects : tout message inattendu qui vous demande de cliquer, valider, ou transmettre un code, c’est suspect. Signalez-le à la cellule cyber RATP via l’adresse dédiée (généralement cyber@ratp.fr ou similaire).
5. Surveillez votre identité numérique : ne publiez pas d’informations personnelles (date de naissance, adresse, numéro de téléphone) sur vos réseaux sociaux en lien avec votre fonction RATP.
6. En cas de doute sur un message, contactez directement votre service IT ou le support RATP par téléphone, jamais en répondant au mail suspect.

Si vous n’êtes pas agent RATP, ce type d’incident est quand même un signal d’alarme. Les annuaires d’entreprise fuient de plus en plus, dans tous les secteurs. Si vous travaillez dans une grande organisation (publique ou privée), considérez que votre nom, votre e-mail et votre fonction sont peut-être déjà dans une base du darkweb. Adoptez les bons réflexes par défaut.

Si vous travaillez dans une grande organisation publique ou privée, ce type d'incident va probablement se multiplier dans les mois qui viennent. L'essentiel, c'est de ne pas attendre la fuite pour activer le MFA, vérifier ses réflexes et former ses équipes. Nous vous tenons au courant dès qu'il y a du nouveau sur l'enquête RATP.