Les IBAN de 800 comptes du courtier en ligne Bourse Direct ont été exposés, confirme l'entreprise

Dans la nuit du mardi 27 au mercredi 28 octobre, un intrus a eu accès à des données de clients de Bourse Direct, le courtier en ligne parisien fondé en 1996 qui gère comptes-titres et plans d'épargne en actions (PEA). Les clients concernés ont ensuite reçu un e-mail évoquant « un acte de cyber-malveillance ayant affecté leurs informations personnelles », selon le site Cyberattaque.org, qui a pu le consulter.

Interrogé par ce site, Bourse Direct a confirmé que 800 comptes sont concernés. Les données exposées sont le nom et le prénom, le numéro de compte client chez Bourse Direct et l'IBAN du compte bancaire associé. Le courtier comptait près de 435 000 comptes clients à fin septembre : la fuite en toucherait donc environ 0,2 %. Un nombre de comptes n'est pas forcément un nombre de personnes.

Ce qui n'aurait pas fuité

Selon Bourse Direct, ces données ne permettent pas, à elles seules, d’accéder aux comptes des clients. Il n'est fait mention d'aucune fuite de mots de passe, de codes d'authentification, de soldes ou d'historiques de placements, ni d'aucun vol de titres ou de fonds. Le courtier affirme que l'incident est maîtrisé et que ses mesures de sécurité ont été renforcées. Les autorités compétentes sont en cours d'information, d'après Cyberattaque.org.

Comment l'intrus est-il entré ?

C'est la grande inconnue. Bourse Direct n'a pas dit comment l'accès a été obtenu, combien de temps les données sont restées accessibles, ni si elles ont été copiées. Aucun groupe de pirates n'a revendiqué l'attaque à ce stade. Les acteurs des marchés financiers attirent pourtant les attaquants : à Bucarest, le dépositaire central, qui assure le règlement des transactions de la Bourse, a récemment reconnu que des pirates avaient pu consulter les IBAN et numéros de pièce d'identité d'investisseurs.

Les bons réflexes si vous êtes client

Un IBAN seul ne permet pas de vider un compte. Associé au nom et au numéro de client, il permet en revanche à un escroc de se faire passer de façon crédible pour votre courtier ou votre banque.

• Surveillez vos relevés bancaires, en particulier les prélèvements inconnus. Si vous en trouvez un, contestez-le tout de suite auprès de votre banque et, au besoin, bloquez les prélèvements de ce créancier.
• Méfiez-vous des appels, SMS ou e-mails inattendus qui citent votre numéro de compte pour vous demander un code, un virement ou une « vérification ».
• En cas de doute, contactez le courtier par la messagerie sécurisée de votre espace client ou par son numéro habituel, jamais par celui donné dans le message reçu.
• Pour être aidé gratuitement, consultez cybermalveillance.gouv.fr.

Reste à savoir si Bourse Direct publiera un communiqué sur l'origine de l'intrusion, et si le chiffre de 800 comptes tiendra une fois l'enquête terminée.