[ Péage ] Free Flow

[tanaka59]

Bonsoir,

Sans ceder à la paranoïa , voici ce que révèle le site d'actualité sur la sécurité informatique Zataz.com :

https://www.zataz.com/piratage-de-peages-une-fuite-massive-made-in-marseille/

Piratage de péages : une fuite massive made in Marseille !

Le gestionnaire des tunnels d’accès de Marseille face à une fuite de données massive. Un pirate diffuse plus de 10 ans d’informations appartenant aux clients automobilistes.
Un pirate informatique inconnu a mis en ligne, il y a quelques jours, une base de donnes appartenant au gestionnaire des tunnels routiers de Marseille : la Société Marseillaise du Tunnel Prado Carénage. Le Service veille ZATAZ a pu constater cette transaction malveillante qui concerne plusieurs millions d’informations allant des entreprises commercialisant les accès aux péages, aux consommateurs automobilistes.

Commerçants et clients

Plus de 216 000 boutiques basées dans toute la France sont présentes dans cette base de données volée. On y croise les noms, les adresses, les numéros de téléphones et la géolocalisation des enseignes. Une première partie de fuite somme toute banale. Il suffit de prendre Google pour trouver les mêmes coordonnées.

La seconde partie de la fuite est plus inquiétante pour la société et pour ses usagers.

Des millions de lignes regroupent les passages aux péages (heures et jours), les numéros de badges, le sens et la voie de circulation ou encore le montant payé par les usagers.

Plus problématique, les données bancaires (IBAN) exploitées par les prélèvements automatiques, des informations sur l’application téléphonique employée (avec l’identité du téléphone, son OS, sa marque), des identités (titulaire du contrat, mot de passe, date de création, type de client : médecin, taxi, Maire de Marseille), plusieurs milliers d’adresses électroniques aussi.

Le pirate n’explique pas la méthode, ni la date de sa collecte malveillante.

Selon nos premières constatations, des informations sauvegardées sur plusieurs années (2014, 2015 … 2020).

Un vol possible soit via une faille de type injection SQL ; soit une base de données trouvée par le pirate lors d’une sauvegarde mal contrôlée ; soit une malveillance interne, pas un ancien employé prestataire.

Contactée par ZATAZ, l’entreprise est en cours d’actions : CNIL, Plainte, etc. Les données proviendraient, semble-t-il, de l’ancien site web de la SMTPC. Les clients vont recevoir un courriel d’alerte dans quelques heures.

Une BDD (base de données) de 216 000 usagers pros et particuliers !

Quand j'exprimais des craintes sur le free flow et l'utilisation frauduleuse de numéros de plaque d'immat à l'insu des propriétaires de voitures !

Il y a un vivier de victimes potentielles énorme ! Qui plus est avec les adresses, il est possible de faire du repérage de véhicules ... Dure de prouver sa bonne fois quand un véhicule de même modéle et / ou marque et / ou couleur usurpe l'identité de votre véhicule ^^ .

En 2 ans (de 2020 date l'exfiltration frauduleuse), il a pu s'en passer des choses et du trafic de datas !

[Chris]

Bonsoir

Oui c'est vrai, mais le risque existe avec des milliers d'autres bases de données informatiques.

[benjisop]

Bon, à priori, y'a rien de directement "inquiétant" pour les véhicules.

En Free-Flow, au lieu d'avoir les numéros de badges, on aurait les numéros de plaque. Mais ces mêmes numéros sont très facilement trouvables puisqu'il te suffit de requêter des sites comme LaCentrale pour chopper toutes les infos sur les numéros de plaque. Par définition une plaque d'immatriculation n'est pas privée et donc ce n'est pas ça qui va faciliter les doublettes.
Le plus gros problème des doublettes vient de l'absence de contrôle quant à l'émission de plaques supplémentaires. Si le service était centralisé, il faudrait alors présenter la carte grise et un justificatif d'identité pour fabriquer ces plaques.

De plus avec les véhicules connectés il y a beaucoup de choses qui vont possiblement se retrouver dans la nature vu toutes les infos qui sont présentes et/ou qui vont transiter. La question de la plaque ne sera donc pas l'élément central.


Quant aux données personnelles, certes elles existent, mais le problème est présent sur tout site où on les laisse… de la banque au site de e-commerce en passant par les opérateurs d'énergie ou de téléphone.

[tanaka59]

Bonjour,

Bon, à priori, y'a rien de directement "inquiétant" pour les véhicules.

En Free-Flow, au lieu d'avoir les numéros de badges, on aurait les numéros de plaque. Mais ces mêmes numéros sont très facilement trouvables puisqu'il te suffit de requêter des sites comme LaCentrale pour chopper toutes les infos sur les numéros de plaque. Par définition une plaque d'immatriculation n'est pas privée et donc ce n'est pas ça qui va faciliter les doublettes.
Le plus gros problème des doublettes vient de l'absence de contrôle quant à l'émission de plaques supplémentaires. Si le service était centralisé, il faudrait alors présenter la carte grise et un justificatif d'identité pour fabriquer ces plaques.

De plus avec les véhicules connectés il y a beaucoup de choses qui vont possiblement se retrouver dans la nature vu toutes les infos qui sont présentes et/ou qui vont transiter. La question de la plaque ne sera donc pas l'élément central.

Quant aux données personnelles, certes elles existent, mais le problème est présent sur tout site où on les laisse… de la banque au site de e-commerce en passant par les opérateurs d'énergie ou de téléphone.

Dans le cas présent , c'est plutôt dans la conception "dématérialisé" du système que cela me pause problème en terme de fraude et usurpation d'identité.

1) Actuellement faire réaliser une plaque d'immat en France, on passe par une garagiste ou cordonnier . Si celui ci est véreux / peu scrupuleux, il n'y aura aucun mal à faire des plaques d'immat de manière frauduleuse . L'accès aussi à ce système par certains si web rend la chose encore plus facile ...

La production d'une plaque d'immat devrait à mon sens être du ressort d'une administration (maire, interco, CG , région , préfecture ... ) . Pour limiter le risque d’émission de plaque "à loisir" par un professionnel / commerçant peu scrupuleux.

La déjà on éliminerait une bonne partie de la fraude . Pas tout , je dis une bonne partie.

2) Créer une compte utilisateur en y associant :

RIB / IBAN
ou bien
CB
ou bien
compte PAYPAL

3) La "simple" lecture optique de plaque , sans lecture d'un "bip" type télépéage".

C'est la combinaison de ces 3 facteurs, qui peut donner des cas de fraudes . Utilisation de plaques fictives , comme de plaques réelles usurpées.

A surveiller de prés , tant que le système de bip type télépéage ne sera pas "la norme".

[gavatx76]

Pardon, je comprend que l'on peut faire une copie de plaques d'immatriculation sans présenter papiers du véhicule, fiche technique et pièce d'identité?

[tanaka59]

Bonjour,

Pardon, je comprends que l'on peut faire une copie de plaques d'immatriculation sans présenter papiers du véhicule, fiche technique et pièce d'identité ?

Tout à fait

> un professionnel malhonnête / peu scrupuleux / véreux
ou bien
> au marché noir

Comment expliques tu qu'il y a déjà des cas de doublettes avec les radars fixes ?

Les dites plaques ne se sont pas faites toutes seules ...

[gavatx76]

Donc légalement, non.
Ce qui est plutôt rassurant.

[basco - landais]

Quand on consulte les sites de fabrication de plaques en ligne, aucun justificatif technique, hormis une adresse de facturation et une adresse courriel, n'est demandé.

Comme quoi, très facile

[benjisop]

Oui, nous sommes d'accord, la production de plaque devrait être un service réservé à l'état, avec l'ANTS par exemple. Pour pouvoir justifier de l'identité et de la possession du véhicule.

Actuellement, tu vas dans n'importe quelle boutique orientée véhicule et tu commandes tes plaques en 2 min. La seule traçabilité peut être si tu payes en CB, idem sur les sites Web où aucun justificatif ne t'es demandé.

Si tu élimines la facilité de faire des doublettes alors tu règles quasiment le problème. Autre solution : mettre en place la puce d'identification unique au sein des véhicules. Celle-ci serait non duplicable (puisque pas d'accès au système émetteur, comme pour les cartes d'identité / passeport) et privée : impossible de la lire de l'extérieur et d'avoir accès aux informations qu'elle contient sur Internet

Pour le reste, les bases de données des exploitants d'autoroute sont un problème comme un autre, qui reste difficile à empêcher mais dont l'impact peut se limiter voire se contrer indirectement.

[Boomshaka]

Bonjour !

Mon père a appris aujourd'hui l'existence du free flow sur l'A79, à ses dépens.

Il y est passé le 7 novembre (quelques jours après l'activation du dispositif, donc), n'a pas eu connaissance de ce nouveau fonctionnement et n'a rien reçu concernant le montant à payer (0.90€).

Jusqu'à aujourd'hui.

Il a reçu par courrier un avis de paiement pour infraction de non paiement du montant original auquel s'ajoutent les fameux 10 € de frais de dossier si payé avant le 21 décembre, 90 € ensuite.

Je me demande s'il y a moyen de contester? Il n'a pas volontairement fraudé (pour même pas un euro ce serait ridicule) et n'avait même pas connaissance de sa dette avant de recevoir la prune...

Il doit faire partie des tous premiers à recevoir cette amende, je n'ai trouvé aucun témoignage ailleurs sur internet, c'est pourquoi je me suis permis de poster ici.

Quoi qu'il en soit je trouve ces pratiques vraiment douteuses dans leur mise en place.

Il y a clairement un défaut de communication/pédagogie pour les personnes de passage (sans parler des vieux qui ne sont pas familiers d'internet).

[jml13]

Je comprends bien le côté surprise et désappointement, et même suis certain de sa bonne foi.
Cependant, il a du passer devant pas loin d'une dizaine de panneaux le prévenant du péage sur son parcours et n'y a donc pas prêté attention, cela laisse un peu douter de son attention à la signalisation...

[Chris]

Bonjour

+1

La signalisation est définie par décret (pages 4 à 7) :
Arrêté du 22 juillet 2022 relatif à l’expérimentation d’une signalisation routière relative au péage sans barrière dit « flux libre » sur l’autoroute A79 entre la barrière de péage en pleine voie de la commune de Deux-Chaises (Allier) et l’échangeur de Digoin (Saône-et-Loire)

Et elle est appliquée correctement sur l'A79, par exemple j'ai pu constater :
- Rappel 100m avant chaque portique des moyens de paiement du péage à flux libre (télépéage, aliae.com, bornes)
- Panneau jaune "péage flux libre - sans barrière" au pied du portique
- Rappel du délai de 72h pour payer après chaque portique (aliae.com, bornes)
- Sur les panneaux d'indication des aires, affichage du symbole indiquant la présence de bornes.

A mon avis difficile de contester

Après, je peux comprendre que tout le monde n'interprète pas bien cette signalisation ou s'attend à recevoir un courrier sans majoration pour commencer.
Il y a un an d'expérimentation, peut être que cela fera partie des chose à améliorer.

A noter qu'il n'est pas obligatoire de payer par internet. On peut le faire sur toutes les aires de repos.

Payez les 10€ et tentez une négociation amiable afin d'avoir un geste commercial.

[Jolly Jumper]

C'est typiquement ce que je craignais : en dehors de ce cercle très fermé, personne ne sait ce qu'est un péage "free-flow", et ne pas envoyer un premier avis par tout moyen est juste inconcevable.

C'est certes signalé en amont mais est-ce réellement compréhensible? C'est plein de pictogramme nouveaux ; au mot "péage" chacun s'attend à devoir s’arrêter à une barrière de pleine voie, pas juste un portique et débrouillez-vous pour payer sinon amende. Et le coup de "arrêtez-vous à la prochaine aire et démerdez-vous" ce n'est dans notre culture et difficile à justifier

Et pour un dispositif "expérimental" ou le gestionnaire envoie les non-payeurs (pas forcément mauvais payeurs) directement à l'ANTAI sans tenter un recouvrement amiable me fait doucement rigoler.

Moi je contesterai pour le principe et montrer quelque chose ne va pas dans le système, même si malheureusement je me doute qu'ils ne minoreront pas l'amende.
Je suis presque étonné qu'un point ne soit pas enlevé dans l'opération....

Il faudra qu'ils se décident enfin à distribuer très largement les boîtiers de télépéages sans surfacturer les trajets comme ils le font actuellement ("frais de gestion") pour un système que leur font gagner collectivement des millions d'euros pour éviter ces inepties.

[benjisop]

Dès fois, c'est à se demander comment les pays d'Europe qui ont déjà ce système ont fait pour le mettre en place (à une époque avec moins d'Internet) quand tu vois qu'en France le moindre changement déclenche tout de suite un "oui mais les cas particuliers…"

Je peux comprendre les difficultés de compréhension, mais à un moment donné on ne va pas se priver de lancer certaines choses sous prétexte qu'une minorité aura des problèmes à l'appréhender et à la maîtriser.

Cela dit ça m'étonne qu'il n'y ait pas le courrier de relance car côté SANEF/SAPN c'est le cas.

[Jolly Jumper]

C'est peut-être actif ailleurs et ca marche sans doute très bien, mais chez nous c'est nouveau.
Je ne pense pas qu'un automobiliste prenant une autoroute 10 fois pas an en France pour faire 300km soit une exception.

Et oui, je pense que la mise en place de ce système manque de progressivité et d'accompagnement des nouveaux usagers. On en a eu un ici, je doute qu'il soit l'exception.

[benjisop]

Non, ce que je veux dire, c'est qu'eux aussi ça a été nouveau à un moment. Donc ma question (réelle) c'est comment ont-ils fait ? Parce qu'en France soit ça râle et ça accepte après, soit ça râle après et ça se plaint d'être pénalisé quand ça ne respecte pas les règles (non comprises volontairement ou involontairement)

[jml13]

À l'étranger, ils ont beaucoup moins de... Français, ça simplifie !

[gavatx76]

Dans tous les pays latins et/ou méditerranéens, cela se passe pareil. Les gens ne sont jamais au courant de rien... quand cela les arrange.

[Chris]

Le problème c'est que par rapport à la population nationale, l'emprunt de A79 reste confidentiel donc le péage à flux libre peu connu.
Lorsque cela commencera à s'étendre à d'autres autoroutes, en particulier celle de Normandie, je pense que payer autrement que via une barrière posera de moins en moins de problème à Monsieur Tout le Monde.

Donc en phase expérimentale, un peu de pédagogie avec un 1er courrier non assorti d'amende serait pertinent.

[Samib]

en dehors de ce cercle très fermé, personne ne sait ce qu'est un péage "free-flow", et ne pas envoyer un premier avis par tout moyen est juste inconcevable.

Un envoi d'un 1er avis serait intéressant certes, mais le seul moyen à partir de là carte grise c'est un envoi postal, pour certains trajets ça coûterait plus cher que le prix du péage, alors c'est pas très réaliste.

Et puis quand à dire que personne ne sait ce que c'est je trouve ça presque de mauvaise foi, tous les médias en ont parlé, presse écrite, radio, télévision. En plus il y a des panneaux. Il n'y a pas que des pictogrammes nouveaux puisqu'il y a des panneaux en toutes lettres, et des jaunes supplémentaires pour la nouveauté.

Non moi je suis de l'avis de benjisop, il faut bien un début à tout, et les choses sont plutôt bien faites apparemment pour que les gens comprennent. (Je précise que c'est juste d'après les explications ici , je n'ai pas encore testé et ne le ferait peut être jamais)