Bourse de Bucarest : des pirates ont récupéré les IBAN et le numéro de pièce d'identité des investisseurs

Nom, prénom, adresse, numéro personnel d'identification, série et numéro de la carte d'identité, adresse e-mail, téléphone et IBAN. Voilà ce que des pirates ont pu consulter dans une application du Depozitarul Central, l'organisme qui tient le registre des actions cotées à la Bourse de Bucarest.

Le dépositaire, qui appartient au groupe Bourse de Bucarest (BVB), a rendu l'incident public le 16 octobre. La cible : « Servicii Online pentru Investitori », le portail où les investisseurs particuliers roumains créent un compte pour accéder en ligne à leurs informations. D'après son communiqué, repris par la presse roumaine, l'application est temporairement indisponible et l'attaque a permis un accès non autorisé aux données fournies à l'inscription. L'organisme n'a pas dit combien de personnes sont concernées.

Les actions des investisseurs sont-elles en danger ?

Non, selon le dépositaire. Il affirme que les fonctions critiques, le règlement des transactions et la tenue du registre, fonctionnent normalement et que les titres détenus n'ont pas été modifiés. La BVB assure de son côté que ses systèmes de négociation n'ont pas été touchés.

L'organisme choisit ses mots : les données auraient été « consultées », sans être modifiées ni altérées. Le titre de Ziarul Financiar parle pourtant de données « extraites ». À ce stade, rien de public ne dit quel volume a pu être copié. Aucune revendication n'a été signalée.

Le dépositaire dit avoir repéré l'intrusion le jour même. Selon le site roumain Goldring, elle remonterait au 8 octobre, huit jours avant l'annonce. Nous n'avons pas retrouvé cette date dans les extraits du communiqué. D'après LeMagIT, l'autorité nationale de cybersécurité roumaine (DNSC) a été prévenue. Selon le dépositaire, les mots de passe du portail n'ont pas été compromis.

Pourquoi ces données intéressent les escrocs

Un IBAN seul ne permet pas de vider un compte. Mais ici, il s'accompagne d'une identité complète, du numéro national attribué à chaque Roumain, d'un numéro de téléphone et d'une certitude : la personne détient des titres. De quoi monter une arnaque crédible, par exemple un faux conseiller de banque ou de courtier qui appelle en citant des informations exactes. Ce type de fraude ne demande aucun autre piratage.

Pour les entreprises, la leçon dépasse la Roumanie. Le portail visé n'était qu'un service annexe, à côté du cœur des activités. Il conservait pourtant un dossier d'identité complet pour chaque inscrit.

Les bons réflexes si vous êtes concerné

La presse roumaine relaie plusieurs conseils, valables pour toute fuite de ce type :

• utiliser un mot de passe différent pour chaque service financier et activer la double authentification ;
• vérifier tout message censé venir d'une banque ou d'un courtier en passant par ses canaux officiels ;
• ne jamais communiquer un code de validation, même à quelqu'un qui connaît votre IBAN et votre adresse ;
• si un appelant parle d'un crédit ou demande de déplacer de l'argent, raccrocher et rappeler la banque à son numéro habituel ;
• surveiller ses comptes et signaler les tentatives de fraude à la DNSC (numéro 1911 en Roumanie).

Deux questions restent ouvertes : combien d'investisseurs étaient inscrits sur le portail, et pourquoi l'annonce publique a-t-elle mis plus d'une semaine à venir si l'intrusion date bien du 8 octobre ?