Fuite chez Ryde: 4,5 millions de comptes en Norvège, Suède, Finlande et Allemagne

La fuite de données chez Ryde a touché absolument tous les clients du service de location de trottinettes. Environ 4,5 millions de comptes en Norvège, Suède, Finlande et Allemagne ont été copiés depuis ses systèmes dans la nuit de samedi à dimanche 2 août 2026, dont près de 1,6 million rien qu'en Norvège. Ryde ne conteste pas l'ampleur: selon ses propres termes, cela concerne toute personne possédant un compte.

Ce que dit Ryde

D'après le communiqué de l'entreprise, des tiers non autorisés ont atteint ses systèmes dans la nuit du 1er au 2 août et copié des données clients avant que l'accès ne soit refermé. Ryde indique avoir depuis fermé les points d'entrée identifiés, reconstruit les systèmes concernés et remplacé les mots de passe et les clés cryptographiques. L'incident a été signalé à Datatilsynet, l'autorité norvégienne de protection des données, ainsi qu'à la police.

Le directeur général Tobias Balchen a déclaré à NRK que des personnes non autorisées avaient obtenu un accès et copié certaines informations clients, et que cela concernait tout titulaire de compte. Il a ajouté que l'entreprise n'a aucune indication sur les auteurs et n'a reçu ni demande de paiement ni menace. Ce dernier point mérite d'être retenu, car il rassure moins qu'il n'en a l'air: un jeu de données personnelles volé sans rançon a plus de chances d'être revendu ou simplement publié.

Ce qui a fuité et ce qui n'a pas fuité

Les champs volés sont les numéros de téléphone, les adresses e-mail, les dates de naissance, les six premiers et quatre derniers chiffres des cartes de paiement, l'historique des paiements couvrant trajets, achats et frais, ainsi que le lieu de création du compte. Pour une partie des clients s'y ajoutent un nom et une adresse non vérifiés.

Deux éléments n'ont pas fuité, et les deux comptent. Les numéros de carte complets sont détenus par le prestataire de paiement et non par Ryde: inutile donc de faire opposition. Et l'historique des trajets n'est pas concerné: l'entreprise écrit qu'aucun indice ne montre que les données sur vos déplacements aient été touchées. Si vous avez lu un résumé affirmant que vos itinéraires ont fuité, ce résumé était faux. Ce qui a fuité, c'est la trace de l'argent, pas la carte de vos déplacements.

Pourquoi les six premiers chiffres comptent

Les six premiers chiffres d'une carte constituent l'identifiant de l'émetteur. Ils ne sont pas secrets, mais ils désignent la banque qui a émis la carte. Combinés aux quatre derniers, c'est-à-dire exactement ce qu'une banque imprime sur un relevé, ils permettent de vous écrire en nommant votre banque et la fin visible de votre propre carte.

Ajoutez une date de naissance, un numéro de téléphone et un historique de paiements montrant ce que vous avez réellement dépensé et quand, et le message cesse de ressembler à du spam. Voilà pourquoi une fuite dans une application de trottinettes devient un problème bancaire: l'attaquant n'a pas besoin des systèmes de votre banque, seulement d'assez de détails pour sonner comme elle.

Le problème BankID et des codes bancaires

Le conseil de Ryde est le bon et mérite d'être répété intégralement: ne communiquez jamais vos mots de passe, vos codes bancaires ou vos identifiants BankID à quelqu'un qui vous contacte, aussi crédible soit-il. En Norvège et en Suède, BankID n'est pas un simple identifiant, c'est une signature juridiquement contraignante. Une personne qui vous guide dans une confirmation BankID peut déplacer de l'argent et engager des contrats en votre nom. En Finlande, ce rôle revient aux identifiants bancaires du Finnish Trust Network, et en Allemagne à la validation TAN dans l'application bancaire.

Les numéros de téléphone volés font aussi entrer dans le jeu les applications de paiement liées au mobile. Vipps en Norvège, Swish en Suède et MobilePay en Finlande fonctionnent précisément avec le numéro de mobile, c'est-à-dire le seul identifiant que cette fuite a livré pour chaque client. Une demande de paiement arrivant dans l'une de ces applications n'a pas d'en-tête d'e-mail à inspecter ni de lien à survoler, et elle atterrit là où les gens ont l'habitude de valider vite.

Le schéma à prévoir est un appel ou un message qui commence par des détails que seule votre banque devrait connaître, installe l'urgence autour d'un paiement suspect, et se termine par une demande de confirmation. Aucune banque, aucune police et aucune entreprise n'a jamais besoin que vous dictiez un code ou approuviez une confirmation d'identité que vous n'avez pas déclenchée. Si un appel prend cette tournure, la bonne réaction est de raccrocher et d'appeler le numéro imprimé sur votre propre carte.

Que faire en Norvège, Suède, Finlande et Allemagne

• Ne faites pas opposition: les numéros complets n'ont pas fuité. L'opposition crée des tracas sans réduire le risque réel, qui est l'ingénierie sociale.
• Traitez tout contact au sujet de cette fuite comme hostile jusqu'à preuve du contraire: les attaquants lisent les mêmes actualités que vous, et la première vague d'hameçonnage après une fuite publique porte généralement le nom de l'entreprise touchée.
• Surveillez les petits montants, pas les gros: les débits de test sont volontairement insignifiants, et l'historique de paiement issu de cette fuite indique à un attaquant ce qui constitue un montant normal chez vous.
• Changez le mot de passe s'il était réutilisé: Ryde dit avoir remplacé les mots de passe de son côté, mais si le même ouvre votre messagerie, c'est ce compte-là qu'il faut réparer aujourd'hui.
• Sachez où vous plaindre: Ryde est norvégienne, donc Datatilsynet est l'autorité chef de file pour l'ensemble du dossier. Les résidents suédois peuvent saisir l'IMY, les résidents finlandais le bureau du médiateur à la protection des données, et les résidents allemands l'autorité de leur Land; en vertu du guichet unique, chacune transmet à l'autorité chef de file.
• Surveillez le téléphone, pas seulement la boîte mail: les numéros ont fuité avec le reste, ce qui met en jeu les SMS, les appels et les demandes de paiement dans Vipps, Swish ou MobilePay, dont aucun ne passe par un filtre e-mail.

Pourquoi cela dépasse les utilisateurs de trottinettes

Une application de trottinettes est une broutille à laquelle on s'inscrit en passant, et elle a fini par détenir une date de naissance, un numéro de téléphone, un identifiant bancaire et un relevé de dépenses. C'est le coût réel de la couche pratique du "connectez-vous avec votre numéro" sur laquelle reposent la plupart des services de mobilité urbaine, et c'est la même arithmétique que derrière les identifiants retrouvés dans la base ouverte contenant 24 milliards de mots de passe et derrière la fuite d'une base juridique de la police britannique. Sur les limites honnêtes: un VPN n'aurait rien empêché ici, puisque les données ont été prises sur les serveurs de l'entreprise et non dans votre connexion. Ce sur quoi les outils de confidentialité réseau aident, c'est l'étape suivante, car le filtrage DNS et les listes de blocage empêchent une bonne part des pages d'hameçonnage de se charger, et donner moins de vraies informations à un service réduit ce qu'une fuite future pourra emporter.

Conclusion