Globalfleet.eu, une plateforme de gestion de flotte et de suivi GPS développée par Avigeoloc, a laissé fuiter la localisation des véhicules et les données personnelles de ses clients, tout en permettant à n’importe qui d’envoyer des commandes à distance : couper les moteurs ou déverrouiller les portières.

Efficacité et sécurité : voilà les deux maîtres mots de la gestion des grandes entreprises de logistique ou de transport. C’est pourquoi la quasi-totalité des sociétés modernes du secteur s’appuient sur la télémétrie et le suivi GPS en temps réel. Globalfleet.eu fait partie des plateformes qui proposent ce type de services.

Or, le 24 juin 2026, l’équipe de recherche de Cybernews a découvert une base de données Globalfleet.eu exposée, contenant 136 Go de données sensibles. Tout y figurait, des informations personnelles des conducteurs jusqu’aux mots de passe de comptes mal protégés.

« Ces données exposaient un grand nombre de véhicules à l’exécution de commandes à distance, notamment la coupure du moteur et le verrouillage des portières. Elles ont aussi révélé de mauvaises pratiques, comme le recours à des algorithmes de hachage de mots de passe faibles et, surtout, la possibilité d’exécuter des commandes via des écritures dans la base de données », a expliqué notre équipe.

Près de 3 600 véhicules étaient concernés. Autrement dit, au moins en théorie, des acteurs malveillants auraient pu immobiliser des milliers de véhicules s’ils l’avaient voulu, avec le risque de provoquer de nombreux accidents de la route partout en Europe.

Nos chercheurs n’ont pas pu contacter directement l’entreprise, ses adresses e-mail publiques semblant ne plus fonctionner. L’équipe s’est toutefois tournée vers le CERT français et, peu après, la base de données a été sécurisée.

Bonne nouvelle : notre équipe n’a trouvé aucun indice laissant penser que ces données avaient été exploitées. Mais si nos chercheurs ont réussi à les repérer, d’autres experts de données, aux intentions moins louables, ont pu en faire autant.

Cybernews a tenté d’obtenir une réaction de l’entreprise, mais aucune coordonnée valide n’a pu être trouvée, que ce soit pour Globalfleet.eu, Avigeoloc ou encore les personnes qui leur sont liées.

Quelles données ont été exposées lors de la fuite de Globalfleet.eu ?

Les données exposées se trouvaient dans une base de données MongoDB que notre équipe a identifiée comme appartenant à Globalfleet.eu. Les entreprises utilisent souvent MongoDB pour organiser et stocker de grands volumes d’informations. Pourtant, les concepteurs de Globalfleet.eu sont loin d’être les premiers à négliger l’importance d’une configuration correcte de leurs bases de données.

Selon l’équipe, la base de données de production contenait 136 Go de données, notamment :

• L’historique des positions et des états des véhicules
• Les informations personnelles identifiables (PII) des conducteurs
• Les informations personnelles identifiables (PII) des opérateurs
• Les identifiants de connexion aux comptes

Pour ne rien arranger, la base de données conservait les mots de passe des utilisateurs protégés par l’algorithme MD5-Crypt, que notre équipe a qualifié de « facilement cassable ».

En théorie du moins, avec ces informations en main, des attaquants auraient pu envoyer des commandes à distance aux véhicules. Selon l’équipe, ces commandes auraient permis de verrouiller et de déverrouiller les portes des véhicules, mais aussi de démarrer et d’arrêter leur moteur.

Au total, nos chercheurs ont recensé des informations concernant 131 conducteurs, 278 utilisateurs de la plateforme et près de 3 600 véhicules.

De plus, chaque fiche de véhicule exposait des identifiants d’appareil uniques (IMEI), des numéros de série de carte SIM (ICCID), des numéros d’identité d’abonné mobile (IMSI) et des numéros de téléphone. Dans le même temps, les journaux de localisation comprenaient des coordonnées GPS, des adresses postales françaises obtenues par géocodage inversé, la vitesse, le nombre de satellites et des horodatages.

Les informations personnelles identifiables exposées via la base de données MongoDB accessible au public comprenaient :

• Les noms complets
• Les noms d’utilisateur
• Les adresses e-mail
• Les mots de passe cryptés
• Les numéros de téléphone
• Les adresses postales
• Les adresses IP

Pourquoi cette fuite de données est-elle dangereuse

Comme toujours avec ce type de fuite, les utilisateurs dont les informations ont été exposées s'exposent à des risques accrus en matière de cybersécurité, notamment l'ingénierie sociale et les attaques de phishing ciblées. Ces méthodes servent généralement à pousser les victimes à divulguer davantage d'informations ou à déployer des logiciels malveillants.

Dans le même temps, d'autres données divulguées permettent à des attaquants déterminés de suivre les véhicules et de savoir où et quand ils se déplacent. Ce genre d'informations pourrait être revendu sur le dark web à des groupes de criminalité organisée spécialisés dans le vol de voitures.

Fait notable, notre équipe a identifié dans les données exposée plusieurs petites et moyennes entreprises de location, de logistique et de construction, ce qui accroît le risque pour les conducteurs.

« Des personnes qui ignorent peut-être tout de ces dispositifs de suivi installés sur le véhicule qu'elles conduisent pourraient être ciblés par un tiers qui viendrait manipuler le moteur ou le verrouillage des portes de la voiture. »

Chronologie de la divulgation

• Fuite découverte : 23 juin 2026
• Divulgation initiale : 3 juillet 2026
• Faille constatée comme corrigée : 13 juillet 2026