Violation de données de CarGurus en 2026

Les catégories de données confirmées sont les adresses e-mail, les noms, les numéros de téléphone, les adresses postales et les adresses IP. Selon les informations rapportées, les fichiers contenaient également des correspondances entre comptes, des informations de préqualification pour un financement, les résultats de demandes et des éléments contextuels relatifs aux comptes des concessionnaires et aux formules de services. Le chiffre de 12 461 887 correspond au nombre d’adresses e-mail uniques; il ne signifie pas que chaque enregistrement contenait les mêmes champs ni que le total correspond exactement au même nombre de personnes. Les types de données confirmés ne comprennent ni mots de passe ni cartes de paiement, mais peuvent servir à mener des attaques d’hameçonnage personnalisées, à passer des appels frauduleux au nom d’un service d’assistance ou à monter des escroqueries liées à un projet automobile ou à une démarche de financement. La présence d’un champ dans un fichier ne permet pas de supposer qu’il existe pour chaque adresse concernée.

L’acteur associé à l’incident a affirmé avoir obtenu l’accès le 13 février 2026, tandis que la fiche vérifiée retient le 14 février 2026 comme date de la violation. Les premiers signalements évoquaient environ 1,7 million d’enregistrements d’entreprise; un décompte ultérieur portant sur les fichiers rendus publics a recensé 12 461 887 adresses e-mail uniques. Le premier chiffre était une affirmation initiale concernant des enregistrements d’entreprise, tandis que le second est un décompte d’adresses e-mail après déduplication : ils ne doivent donc pas être utilisés indifféremment. Selon les informations rapportées, une tentative d’extorsion a précédé la diffusion publique des données. CarGurus a déclaré qu’une enquête menée avec un soutien indépendant avait conclu que l’incident avait été circonscrit et limité à une base de données interne à l’entreprise, et que les services étaient restés opérationnels. L’entreprise a également indiqué qu’aucun élément ne montrait que les flux de données des concessionnaires, les connexions d’intégration, les systèmes de gestion de la clientèle des concessionnaires, les produits principaux ou les services destinés aux consommateurs avaient été compromis. Cette évaluation ne remet pas en cause le nombre vérifié d’adresses e-mail présentes dans les fichiers diffusés.

Le risque le plus direct concerne les consommateurs qui ont recherché des véhicules sur CarGurus, créé un compte, communiqué leurs coordonnées ou utilisé la préqualification pour un financement. Les employés des concessions et les personnes liées à des comptes de concessionnaires peuvent également être ciblés à partir de leurs adresses e-mail professionnelles, de leurs numéros de téléphone ou d’informations sur les formules de services. La présence d’une adresse e-mail dans le jeu de données ne prouve pas que la personne a déposé une demande de financement ni que son adresse a été exposée; les champs présents variaient d’un fichier à l’autre. Lorsque plusieurs champs concordent, un attaquant peut prétendre connaître une préférence automobile, un lien avec une concession, l’état d’avancement d’une demande ou une région. Une fausse demande d’acompte, une fausse approbation de prêt, un lien de dépôt de pièces d’identité ou un appel de vérification de compte peuvent ainsi paraître crédibles. Le risque doit être évalué en fonction du service utilisé et des canaux de communication qui ont pu y être associés, et pas uniquement à partir du total mis en avant.

Vérifiez par un moyen indépendant tout e-mail, SMS ou appel inattendu prétendant provenir de CarGurus, d’une concession, d’un organisme de financement ou d’un vendeur de véhicules. Saisissez l’adresse connue du site web au lieu de suivre un lien et utilisez le numéro indiqué sur le site officiel plutôt que celui fourni par votre interlocuteur. N’ouvrez pas de pièces jointes inattendues, n’installez pas de logiciel d’accès à distance, ne communiquez pas de code à usage unique et ne donnez pas suite à une demande de paiement urgente avant de l’avoir confirmée par un second canal. Les mots de passe ne font pas partie des catégories de données confirmées, mais si vous avez réutilisé la même combinaison d’adresse e-mail et de mot de passe, créez un mot de passe long et unique pour chaque compte et activez l’authentification multifacteur. Si vous avez utilisé la préqualification pour un financement, surveillez les rapports de crédit, les avis d’ouverture de nouveaux comptes et les alertes de changement d’adresse, et signalez directement à l’établissement financier toute demande que vous ne reconnaissez pas.

Les coordonnées peuvent engendrer un risque durable d’ingénierie sociale, même en l’absence de mot de passe. Des alias d’adresse e-mail distincts pour les recherches de véhicules, le financement et les autres inscriptions facilitent le repérage des tentatives d’usurpation de ces services. Un gestionnaire de mots de passe peut conserver des identifiants de connexion propres à chaque compte et faciliter la vérification des méthodes de récupération. Lorsque votre opérateur mobile le permet, un blocage du transfert de votre numéro vers un autre opérateur ou un code de sécurité du compte contribue à empêcher les tentatives de transfert par une personne qui connaît votre numéro de téléphone. Considérez la connaissance d’une adresse, d’un numéro de téléphone ou d’une date de naissance comme une preuve d’identité peu fiable; utilisez des réponses aléatoires aux questions de sécurité, conservées dans un gestionnaire de mots de passe, plutôt que des réponses véridiques que l’on peut trouver en ligne. Les concessions devraient former leur personnel à reconnaître l’hameçonnage par e-mail et par téléphone, séparer les responsabilités dans les processus sensibles, vérifier les droits d’accès et mettre en place des alertes en cas d’exportations ou de sessions inhabituelles. Des durées de conservation plus courtes et un nombre réduit de champs facultatifs limitent les conséquences d’un futur incident. Les coordonnées sont difficiles à remplacer : des sollicitations convaincantes peuvent donc survenir des mois plus tard.

Utilisez l’outil de vérification des enregistrements sur cette page pour savoir si votre adresse e-mail est associée à cette violation. Une correspondance ne signifie pas que tous les types de données répertoriés figuraient dans votre enregistrement, ni ne prouve qu’une personne a accédé à votre compte; elle signifie que l’identifiant recherché correspond à une entrée du jeu de données vérifié. L’absence de correspondance n’offre pas de garantie absolue, car d’autres fichiers peuvent apparaître et des différences de format ou de déduplication peuvent empêcher certains enregistrements de correspondre. Ne communiquez pas votre adresse e-mail complète à des sites non fiables, à des forums ou à des interlocuteurs qui vous contactent sans sollicitation de votre part. Si une correspondance apparaît, dressez la liste des services sur lesquels vous avez réutilisé cette adresse e-mail, examinez les sessions actives et les options de récupération, filtrez les messages associés et signalez directement à l’organisation concernée toute prise de contact inhabituelle liée à un financement ou à une concession. Évaluez un message à partir du domaine de l’expéditeur, de la destination des liens, du caractère urgent et de l’action demandée, plutôt que du nom d’expéditeur affiché. Des vérifications régulières, des mots de passe uniques, une authentification multifacteur robuste et la confirmation indépendante des demandes sensibles contribuent ensemble à réduire les risques d’hameçonnage et de fraude.