Par Rene Philippe Raymond Dubout · · Mis à jour le Combien de banques, de fintechs et de plateformes crypto ont été piratées en 2026, et combien d’argent est réellement sorti du coffre ? Après le vol de plus de 100 millions d’euros au Crédit Mutuel Arkéa pendant le week-end de la Toussaint, je voulais une réponse simple à cette question. Je n’ai trouvé aucune page qui la donnait, alors j’ai dressé la liste moi-même : chaque incident avec pertes financières dans une banque, un courtier ou une fintech que j’ai pu vérifier, les fuites de données dans les établissements financiers, les piratages crypto documentés de 5 millions de dollars ou plus, et les fuites massives de données qui alimentent la fraude financière.
Vous cherchez une licence CASP sous MiCA ou une société crypto agréée dans l’UE ? Voir notre service licences crypto et MiCA.
Résultat : environ 150 incidents en dix mois, classés ci-dessous par type de cible : banques, fintechs, assureurs, plateformes d’échange crypto, blockchains, portefeuilles, administrations, prestataires du secteur financier, et entreprises ordinaires dont les fichiers sont un cadeau pour les fraudeurs. Pour chacun, le tableau indique les personnes touchées, s’il y a eu perte d’argent, ce qui a été perdu quand ce n’était pas de l’argent, et comment les attaquants sont entrés.
Le tableau n’est pas joli. Les cryptos ont perdu à elles seules près de 9 milliards de dollars, un record, dont presque les trois quarts en un seul après-midi chez Binance. Les banques ont perdu beaucoup moins d’argent, mais énormément de données. Et quand on met tout sur une seule table, quelque chose de plus intéressant que les totaux apparaît : presque tous ces cas se ressemblent. C’est de cela que je veux parler d’abord. Les tableaux suivent, pour ceux qui veulent vérifier, ou voir si leur propre banque est sur la liste.
Piratages bancaires 2026 : les chiffres
- 8,73 milliards de dollars volés dans les cryptos en 322 piratages au 30 octobre (DefiLlama), une année record ; d’autres outils de suivi montent jusqu’à 9,3 milliards.
- Environ 73 % en un seul après-midi : Binance, le 29 octobre, 6,36 milliards de dollars. Binance a perdu à lui seul davantage que le reste du secteur crypto en dix mois.
- Environ 85 % de la valeur des piratages crypto de 2026 liés à la Corée du Nord (TRM Labs, fin octobre).
- 8 incidents avec pertes financières dans des banques, courtiers et fintechs, de l’Ukraine au Brésil, en passant par l’Inde, Hong Kong et la France. Il ne s’agit pas toujours d’argent pris à l’établissement lui-même : chez Futu, les criminels ont vidé des comptes de clients ; chez Upbound, des données volées ont servi à signer de faux contrats.
- Environ 150 incidents documentés au total : 70 confirmés par la cible ou une autorité, 22 partiellement confirmés, 13 revendications non confirmées, et 46 vols crypto visibles sur la blockchain.
- 6,29 millions de dollars : le coût moyen d’une fuite de données dans les services financiers (IBM, 2026), contre 4,99 millions tous secteurs confondus.
Quels sont les points communs entre tous ces cas ?
Je suis juriste, pas ingénieur en sécurité, je ne vais donc pas prétendre expliquer comment fonctionne une clé de validateur. Mais pas besoin d’être ingénieur pour lire une liste de 150 incidents et remarquer que la même histoire revient sans cesse. Voici ce que je vois.
1. Personne n’a forcé le coffre : on a donné la clé
Regardez comment les attaquants sont entrés : un identifiant volé, une clé privée copiée sur un ordinateur infecté, un employé appelé par un faux service d’assistance, une fausse demande qui semblait venir de la police. Chez Binance, tout est parti de l’ordinateur portable d’un développeur. Revolut a remis des dossiers clients après de fausses réquisitions envoyées depuis une adresse e-mail gouvernementale piratée. Les contributeurs de Drift ont été convaincus de pré-signer des transactions. Jack Henry, qui fait tourner le système bancaire central de plus de 7 200 banques, a été touché par un simple coup de téléphone. À la banque coopérative de Bhavnagar, en Inde, les attaquants se sont tout simplement connectés au système central avec des identifiants d’administrateur. Autrement dit, la porte du coffre a tenu ; le problème, c’était la personne qui tenait la clé.
C’est aussi pour cela que je dis que tout cela est un problème informatique avant d’être un problème bancaire ou un problème crypto. L’argent était dans une banque, une fintech ou une blockchain, mais la porte d’entrée était toujours un ordinateur et un être humain devant.
2. Le maillon faible, c’est l’entreprise des autres
Arkéa a été attaqué via un prestataire. La MGP a perdu les IBAN de ses adhérents via un prestataire technique. Citizens Financial et Frost Bank ont été touchés par le même fournisseur. Une douzaine de caisses de pension suisses, dont Publica, ont été exposées à travers un seul éditeur de logiciels. Les clients de Ledger et de Trezor ont été exposés via un partenaire de vente en ligne et un transporteur, et un revendeur a vendu des appareils Ledger trafiqués qui ont vidé les portefeuilles de leurs propriétaires. Selon Verizon, un tiers est impliqué dans 34 % des violations dans la finance, et Black Kite a constaté que 54 % des 140 prestataires les plus utilisés par le secteur financier présentent une faille connue et exploitée. Une banque peut dépenser des fortunes pour sa propre sécurité ; elle n’est jamais plus sûre que le prestataire le moins cher qu’elle branche sur ses systèmes.
3. La voiture de fuite, c’est la crypto
Même quand la victime est une banque traditionnelle, l’argent repart par la crypto. Selon les enquêteurs qui suivent la blockchain, l’argent d’Arkéa est passé par des comptes ouverts sous de fausses identités sur des plateformes d’échange, puis a été blanchi en stablecoins, en ether et en Monero. À Bhavnagar, il a transité par quelque 135 comptes de mules avant de finir en crypto. Les stablecoins circulent en quelques minutes, jour et nuit, d’un pays à l’autre : exactement ce que veut un voleur. Je ne suis pas anti-crypto ; je conseille des entreprises crypto. Je dis simplement qu’une banque qu’on peut vider un dimanche et un stablecoin qui se règle un dimanche forment un couple dangereux.
4. Les pirates ne prennent pas de week-end
Plusieurs vols bancaires ont commencé un week-end : Arkéa le dimanche de la Toussaint, BTG Pactual un dimanche, A-Bank un dimanche soir. Pas tous, bien sûr : Binance, le plus gros de l’année, c’était un jeudi après-midi. Mais les banques ferment le week-end, pas les pirates. Moins de monde surveille, les décisions prennent plus de temps, et le lundi matin l’argent a déjà traversé trois blockchains. La question que je poserais à n’importe quel dirigeant de banque est simple : qui peut bloquer un virement frauduleux un dimanche soir ?
5. Lents à voir, rapides à perdre
Shinhan Bank a mis 15 heures à détecter l’attaque. KB Kookmin l’a d’abord enregistrée comme du trafic normal. Le portail des assurés d’Aflac est resté ouvert aux intrus pendant dix jours, les données de Standard Bank sont sorties pendant trois semaines, et une erreur de programmation chez PayPal a exposé des numéros de sécurité sociale pendant plus de cinq mois en 2025 avant que quiconque ne s’en aperçoive. L’attaquant a besoin de minutes ; la victime, de jours.
6. Le paradoxe du KYC : la loi construit le coffre au trésor
En tant que juriste, c’est celui que je trouve le plus ironique. La réglementation oblige chaque banque, fintech et plateforme d’échange à collecter des copies de passeports, des numéros d’identité, des adresses et des coordonnées bancaires : c’est le « connaître son client », le KYC. Ces dossiers sont conservés par l’établissement ou, de plus en plus souvent, par un prestataire de vérification d’identité. En 2026, les attaquants sont allés droit sur ces coffres au trésor : IDScan.net, société de vérification d’identité (153 millions de permis de conduire), le fichier national des comptes bancaires FICOBA, le registre danois de la population, et le dépositaire central de titres thaïlandais, où les numéros d’identité, de compte-titres et de compte bancaire de quelque 200 000 investisseurs ont été exposés. Des chercheurs ont aussi signalé une base de plus de 3 milliards de fiches d’identité liée à la société de vérification IDMerit, ce que l’entreprise conteste. Chez Revolut, ce que voulaient les attaquants, c’étaient les dossiers d’identité des clients détenant beaucoup de cryptos. Autrement dit, les règles écrites pour lutter contre la criminalité financière ont produit la plus belle liste de courses dont un fraudeur puisse rêver.
7. La fuite d’aujourd’hui est la fraude de demain
La plupart des cibles de cette liste ont perdu des données, pas de l’argent. Ne soyez pas rassuré pour autant. Un IBAN qui fuit, c’est un faux prélèvement en puissance ; un numéro d’identité, c’est un crédit à votre nom ; un numéro de téléphone et une date de naissance, c’est un détournement de carte SIM ou un appel de « votre conseiller bancaire ». Upbound Group a montré la chaîne en action : une fuite de données a alimenté une vague de faux contrats de location pour quelque 13 millions de dollars. Les clients de Betterment ont reçu de fausses offres crypto envoyées depuis les propres outils marketing piratés de la société.
Et il y a pire que la fraude. Une adresse personnelle liée à quelqu’un dont on sait qu’il détient des cryptos est une invitation à l’extorsion. En France, la presse a fait état de dizaines d’enlèvements liés aux cryptos cette année, et les enquêteurs citent les fichiers clients qui ont fuité comme l’un des moyens par lesquels les criminels choisissent leurs cibles. C’est pourquoi les fuites chez Revolut, Ledger et Trezor comptent, même si aucun argent n’est sorti de ces sociétés.
8. L’IA rend les vieilles ficelles plus rapides, pas nouvelles
L’intelligence artificielle n’a pas inventé de nouvelle façon d’entrer dans une banque. Elle a donné à un seul cambrioleur la productivité de tout un gang. Acronis a découvert un pirate faisant travailler douze agents d’IA contre des entreprises de onze pays (l’affaire « BOSSAI »). Dans la vague coréenne qui a touché 16 établissements financiers, le régulateur cherche à savoir si l’IA a été utilisée. Et dans une petite banque américaine, la fuite est venue de l’intérieur : un employé a collé des données clients dans une application d’IA que la banque n’avait pas autorisée.
9. Qui paie dépend de l’endroit où était votre argent
Quand une banque est volée, c’est en général elle qui encaisse la perte : A-Bank a remboursé ses clients, Arkéa affirme que les avoirs de ses clients ne sont pas touchés, Polymarket a remboursé ses utilisateurs. Une grande plateforme d’échange peut faire de même : Binance dit avoir reconstitué environ 98 % de ce qui a été volé. Plus bas dans la chaîne, à part la part qui est gelée, la perte reste chez celui qui détenait les cryptos : les propriétaires de Coldcard et d’appareils Ledger trafiqués, ou le détenteur qui a fait confiance à un faux support Trezor et a perdu quelque 283 millions de dollars d’un coup. Un compte bancaire est une créance sur un établissement qui a un bilan et un régulateur derrière lui ; une clé privée, c’est du cash dans votre poche.
Ce que chaque type de cible a perdu
- Les banques ont perdu de l’argent dans une poignée de cas spectaculaires, et des données dans beaucoup d’autres.
- Les fintechs, prêteurs et courtiers ont surtout perdu des données, plus de l’argent via des comptes clients piratés (Futu, Kontigo).
- Les assureurs ont perdu des données, par millions de fiches, souvent avec les coordonnées bancaires.
- Les plateformes crypto, protocoles et portefeuilles ont perdu de l’argent, des milliards, parce que là, l’argent lui-même est une clé.
- Les États et administrations n’ont pas perdu d’argent, mais ont laissé fuir ce qui est le plus difficile à remplacer : numéros d’identité, numéros fiscaux et fichiers de comptes bancaires.
- Les prestataires ont servi de porte de service pour entrer chez tous les autres.
- Les entreprises ordinaires (télécoms, commerces, aéroports, hôpitaux) ont laissé fuir les IBAN et numéros de passeport que les fraudeurs utilisent ensuite contre les banques.
Une dernière observation. La France occupe une place de choix dans les incidents documentés ici : ANTS, FICOBA, DGFiP, CAF, Éducation nationale, Almerys, MGP, ManoMano et Arkéa, le tout en dix mois. La Suisse n’est pas irréprochable non plus : Sunrise, les caisses de pension touchées via PK Softech, Swiss Bitcoin Pay. Et l’Asie n’est pas épargnée : le dépositaire central thaïlandais, MoneySmart à Singapour et Hong Kong, et un gestionnaire de prestations santé au service des clients de HSBC Life et Singlife à Singapour. Personne n’est à l’abri ; certains sont simplement moins négligents.
La liste complète des piratages et fuites de données 2026, par type de cible
Comment lire les tableaux : les montants sont bruts (avant gel ou remboursement), sauf mention contraire. « Confirmé » signifie confirmé par la cible ou une autorité ; « Partiellement confirmé », que l’incident est confirmé mais que le chiffre vient de l’attaquant ou de la presse ; « Non confirmé », qu’il s’agit seulement d’une revendication ou d’une estimation ; « On-chain », que le vol est visible sur la blockchain et que le montant vient d’outils de suivi comme DefiLlama, CertiK et PeckShield. « Non précisé » signifie que les sources ne disent pas comment les attaquants sont entrés. Les chiffres varient selon les sources ; des fourchettes sont données quand c’est le cas.
1. Banques
Banques commerciales, coopératives et privées.
| Date (2026) | Cible | Personnes touchées | Argent perdu | Ce qui a été perdu | Méthode | Statut |
|---|---|---|---|---|---|---|
| 15–16 févr. (dim.–lun.) | A-Bank (Ukraine) | Non communiqué | Non communiqué ; intégralement remboursé par la banque | Argent | Débits non autorisés sur des comptes clients (« nouveau type d’attaque ») | Confirmé |
| 22 mars (dimanche) | BTG Pactual (Brésil) | Non communiqué | ≈ 100 M R$ détournés ; 20–40 M R$ toujours manquants | Argent | Détournement du système de paiement instantané Pix ; Pix suspendu jusqu’au lundi | Partiellement confirmé |
| Signalé le 19 avr. | Bhavnagar District Co-op Bank (Inde) | Non communiqué | 7,34 crore ₹ (≈ 2 crore ₹ gelés) | Argent | Intrusion dans le système bancaire central (core banking) avec des identifiants administrateur ; numéros de téléphone modifiés ; fonds envoyés vers ≈ 135 comptes de mules, puis convertis en cryptoactifs | Confirmé |
| 15–17 oct. | Central Bank of India (Inde) | Non communiqué | 13,96 crore ₹ | Argent | Système bancaire central, puis serveur partagé de messagerie interbancaire SFMS ; 187 virements frauduleux | Partiellement confirmé |
| 1er–2 nov. (dim.–lun., Toussaint) | Crédit Mutuel Arkéa (France) | Fonds propres de la banque ; avoirs des clients non touchés, certains virements retardés | Non communiqué par la banque ; ≈ 118 M€ / 133 M$ selon la presse | Argent | Entrée via un prestataire tiers ; virements vers des comptes de plateformes d’échange ouverts sous de fausses identités ; blanchiment via stablecoins, ETH et Monero | Partiellement confirmé |
| févr.–avr. | Standard Bank & Liberty (Afrique du Sud) | Non communiqué | Aucune signalée ; rançon de 1 BTC exigée | Données clients, quelques numéros de carte (1,2 To revendiqués) | Données volées pendant 3 semaines, puis rançon et fuites quotidiennes | Partiellement confirmé |
| mars | Lloyds Banking Group (Royaume-Uni) | Jusqu’à 446 915 clients (chiffre révisé, contre 447 936) | Aucune | Transactions et numéros de National Insurance affichés à d’autres clients | Bug informatique, pas une attaque | Confirmé |
| 3 avr. | Awa Bank (Japon) | 27 745 enregistrements | Aucune signalée | Données de clients et d’actionnaires | Accès illégal | Confirmé |
| 20–22 avr. | Citizens Financial & Frost Bank (États-Unis) | Frost : 200 271 confirmés ; Citizens : 3,4 millions revendiqués | Aucune signalée | Numéros de sécurité sociale et numéros fiscaux | Prestataire commun (Sefas) piraté ; gang Everest | Partiellement confirmé |
| 7 mai | Community Bank (PA/OH/WV, États-Unis) | Non communiqué | Aucune signalée | Noms, dates de naissance, numéros de sécurité sociale | Un employé a utilisé une application d’IA non autorisée | Confirmé |
| 16–19 juin | River Bank & Trust (États-Unis) | Non déterminé | Non communiqué | Données (étendue non déterminée) | Rançongiciel (ransomware) et exfiltration de données | Confirmé |
| 27 sept.–oct. | KB Kookmin Bank (Corée du Sud) | 2 210 personnes | Aucune signalée | Données personnelles | Attaque d’abord enregistrée comme du trafic ordinaire | Confirmé |
| 28 sept. | Shinhan Bank (Corée du Sud) | 25 727 enregistrements | Aucune signalée | Données de demandes de prêt | Intrusion dans les systèmes de demandes de prêt ; 15 heures avant la détection | Confirmé |
| Jusqu’au 14 oct. | 16 sociétés financières coréennes (BNK, Hana, caisses d’épargne, Hyundai Capital…) | ≈ 100 000 enregistrements | Aucune signalée | Dossiers clients | Vague coordonnée via les outils mobiles et commerciaux du personnel ; le régulateur examine si l’IA a été utilisée ; scans depuis des plages d’adresses IP nord-coréennes | Confirmé |
2. Fintechs, établissements de paiement, prêteurs et courtiers
Néobanques, sociétés de paiement, prêteurs en ligne, courtiers et leurs plateformes.
| Date (2026) | Cible | Personnes touchées | Argent perdu | Ce qui a été perdu | Méthode | Statut |
|---|---|---|---|---|---|---|
| 29 oct. (révélé le 3 nov.) | MoneySmart, plateforme de comparaison (Singapour / Hong Kong) | Non communiqué | Aucune signalée | Numéros d’identité, tranches de revenus, produits financiers détenus | Un intrus a copié des données clients | Confirmé |
| 5 janv. | Kontigo, néobanque en stablecoins (États-Unis / Amérique latine) | Plus de 1 000 utilisateurs | 340 905 $ (remboursements promis) | Argent (soldes en stablecoins) | Accès non autorisé ayant vidé les soldes des utilisateurs | Confirmé |
| fin juin–juil. | Clients de Futu Securities (Hong Kong) | Plus de 20 clients | Plus de 4 M HK$ | Argent des clients (positions vendues) | SMS d’hameçonnage (phishing) (« retenue à la source américaine ») ; comptes clients piratés, positions vendues pour acheter des penny stocks | Partiellement confirmé |
| T2 | Upbound Group : Acima, Rent-A-Center (États-Unis) | Non communiqué | ≈ 13 M$ (perte de la société) | Données clients, puis argent | Données clients volées utilisées pour conclure des contrats de location frauduleux | Confirmé |
| janv.–févr. | Figure Technology, prêteur (États-Unis) | ≈ 967 000 comptes | Aucune signalée | Données des demandeurs de prêt | Employé victime d’hameçonnage ; ShinyHunters a publié les données | Confirmé |
| 7 mai | Heights Finance, prêteur à la consommation (États-Unis) | 1,22 million de personnes | Aucune signalée | Données personnelles | Accès non autorisé au réseau | Confirmé |
| 4–5 sept. | DriveWealth, infrastructure de courtage (États-Unis) | 2,5 à 3,6 millions | Aucune signalée | Noms, numéros de sécurité sociale, données de comptes et de cartes | Intrusion ; données dérobées | Confirmé |
| 12 sept. | Revolut (UE / Royaume-Uni ; victimes surtout en Suisse et en France) | ≈ 680 clients (gros détenteurs de cryptoactifs) | Aucun fonds volé ; rançon de 3 M$ exigée | Dossiers d’identité (KYC) | Fausses réquisitions des forces de l’ordre envoyées depuis un domaine de messagerie gouvernemental piraté | Partiellement confirmé |
| 16–20 oct. | IwaiCosmo Securities (Japon) | 4 975 personnes | Faux ordres sur 7 comptes | Données personnelles | Sous-traitant piraté | Confirmé |
| 17–28 oct. | Daishin Securities, Mirae Asset (Corée du Sud) | Daishin : 38 490 ; autres non communiqués | Aucune signalée | Données d’ouverture de compte | Accès au serveur d’ouverture de compte en ligne et au logiciel collaboratif (groupware) | Confirmé |
| janv. | Betterment (États-Unis) | 1,4 million de comptes | Aucune signalée | Coordonnées ; faux messages crypto envoyés aux clients | Outils marketing détournés ; ingénierie sociale | Confirmé |
| 6–7 févr. | BridgePay Network Solutions, passerelle de paiement (États-Unis) | Commerçants dans tout le pays | Non chiffré (commerçants réduits aux paiements en espèces) | Service de paiement | Rançongiciel (ransomware) | Confirmé |
| 11 mars | Verifone, terminaux de paiement (Israël / États-Unis) | Non communiqué | Aucune signalée | Perturbation revendiquée ; Verifone dément | Revendication du groupe Handala, lié à l’Iran | Non confirmé |
3. Assureurs
Assureurs vie, santé et dommages, et leurs plateformes.
| Date (2026) | Cible | Personnes touchées | Argent perdu | Ce qui a été perdu | Méthode | Statut |
|---|---|---|---|---|---|---|
| Révélé le 24 oct. | Alliance Medinet, gestionnaire de prestations santé pour HSBC Life, Singlife, Income Insurance (Singapour) | ≈ 110 000 membres | Aucune signalée | Données personnelles des membres | Non précisé | Confirmé |
| 3 janv. | Prosura (Australie) | Non communiqué | Aucune signalée | Données internes ; clients ensuite visés par hameçonnage | Intrusion dans les systèmes internes | Confirmé |
| 16–17 mars | AssuranceAmerica (États-Unis) | 1,1 à 7,0 millions de personnes | Aucune signalée | Dossiers personnels | Identifiants d’un employé compromis ; fichiers copiés | Confirmé |
| ≈ 17 avr. | Canada Life (Canada) | 70 000 confirmés ; 5,5 millions revendiqués | Aucune signalée | Dossiers clients | Compte d’un employé ; export massif depuis Salesforce (ShinyHunters) | Partiellement confirmé |
| ≈ 17 avr. | Kemper Corporation (États-Unis) | Plus de 13 millions d’enregistrements revendiqués | Aucune signalée | Dossiers clients (29 Go revendiqués) | Revendication de ShinyHunters | Non confirmé |
| 15–25 juin | Aflac Life Insurance Japan | 4,38 millions de clients et d’agents | Aucune signalée | Données des assurés, y compris coordonnées bancaires | 10 jours d’accès au portail des assurés | Confirmé |
| début août | Mutuelle Générale de Prévoyance, MGP (France) | 198 127 personnes | Aucune signalée | Noms ; 133 018 IBAN | Prestataire technique piraté ; données publiées | Confirmé |
| 23–25 mai | Almerys, plateforme d’assurance santé pour Alan, MGEN, AG2R… (France) | Plus de 15 millions de personnes | Aucune signalée | État civil, dates de naissance, numéros de sécurité sociale | Non précisé | Partiellement confirmé |
4. Plateformes d’échange crypto et sociétés de paiement crypto
Plateformes d’échange centralisées, processeurs de paiement crypto et passerelles.
| Date (2026) | Cible | Personnes touchées | Argent perdu | Ce qui a été perdu | Méthode | Statut |
|---|---|---|---|---|---|---|
| 29 oct. | Binance | Non communiqué | 6,3–6,36 Md$ ; ≈ 98 % reconstitués par Binance (4 nov.) | Cryptoactifs | Ordinateur portable DevOps → conteneur de service → retraits ; Corée du Nord (FBI) | On-chain |
| 24 sept. | Bitget | Non communiqué | 387,5 M$ (≈ 0,3 M$ gelés) | Cryptoactifs | Identifiants obtenus via une faille d’un produit de sécurité tiers ; Corée du Nord soupçonnée | On-chain |
| 2 nov. | Mercado Bitcoin (Brésil) | Non communiqué | 40–46 M$ (plus de 6,2 M$ gelés) | Cryptoactifs | Hot wallet (portefeuille connecté) vidé sur ≈ 10 blockchains | On-chain |
| avr. | Grinex | Non communiqué | 19,4 M$ | Cryptoactifs | Hot wallets et portefeuilles de dépôt sur TRON | On-chain |
| ≈ 20 oct. | CoinDCX (Inde) | Non communiqué | 16 M$ (un montant à six chiffres récupéré) | Cryptoactifs | Infrastructure de portefeuilles désaffectée | On-chain |
| 24 juil. | Triple-A, processeur de paiement | Non communiqué | 11,8 M$ | Cryptoactifs | Compromission d’un hot wallet | On-chain |
| 9 août | Coinsbuy, passerelle de paiement | Non communiqué | 7,9 M$ (un montant à six chiffres récupéré) | Cryptoactifs | Hot wallet / clé d’administration | On-chain |
| sept. | Duelbits, casino crypto | Non communiqué | 5,9 M$ | Cryptoactifs | Non communiqué | On-chain |
| 28 mars | Utilisateurs de Binance | ≈ 1,5 million (revendiqué) | Aucune signalée | Noms, e-mails, téléphones, statut KYC | Scraping / credential stuffing (réutilisation d’identifiants volés) ; données mises en vente | Non confirmé |
| avr. | Kraken | ≈ 2 000 comptes | Aucune signalée ; tentative d’extorsion | Données du support consultées | Deux complices internes | Confirmé |
| 16 août | Bits of Gold (Israël) | 200 000–250 000 (revendiqué) | Aucune signalée | Numéros d’identité, comptes bancaires, adresses de portefeuilles | Prestataire tiers | Non confirmé |
| 14 sept. | Swiss Bitcoin Pay (Suisse) | Non communiqué | Aucune signalée | Possiblement IBAN, e-mails, historique des transactions | Accès aux systèmes internes | Confirmé |
| 17–28 oct. | Bithumb (Corée du Sud) | Non communiqué | Aucune signalée | Données personnelles ; étendue incertaine | Accès au logiciel collaboratif interne (groupware) | Confirmé |
5. Blockchains, protocoles DeFi et bridges
Réseaux, protocoles de finance décentralisée (DeFi), bridges (ponts) inter-chaînes et émetteurs de stablecoins.
| Date (2026) | Cible | Personnes touchées | Argent perdu | Ce qui a été perdu | Méthode | Statut |
|---|---|---|---|---|---|---|
| 6 sept. | Liquid Network | Non communiqué | 319–320 M$ (3 400 BTC restitués ; ≈ 48 M$ sortis) | Cryptoactifs | Bug de validation dans le logiciel des nœuds | On-chain |
| 18 avr. | KelpDAO (LayerZero) | Non communiqué | 292–293 M$ (≈ 71 M$ gelés) | Cryptoactifs | Exploit de la messagerie inter-chaînes ; Corée du Nord (TRM) | On-chain |
| 1er avr. | Drift (Solana) | Non communiqué | 285–295 M$ | Cryptoactifs | Ingénierie sociale visant des contributeurs ; multisig pré-signé ; Corée du Nord | On-chain |
| 30 août | Tectonic (Cronos) | Non communiqué | 120,4 M$ empruntés ; ≈ 111,2 M$ annulés ; 9,19 M$ perdus | Cryptoactifs | Manipulation de prix ; retour en arrière de la blockchain (rollback) | On-chain |
| 9 juin | Humanity Protocol | Non communiqué | 31–36 M$ | Cryptoactifs | Clé volée sur l’appareil d’un développeur infecté par un logiciel malveillant | On-chain |
| 31 janv. | Step Finance | Non communiqué | 29–40 M$ (≈ 4,7 M$ récupérés) | Cryptoactifs | Clés de trésorerie et de déploiement compromises | On-chain |
| 8 janv. | Truebit | Non communiqué | 26,4 M$ | Cryptoactifs | Bug de création de jetons (minting) dans un contrat vieux de 5 ans | On-chain |
| 22 mars | Resolv Labs (stablecoin USR) | Non communiqué | ≈ 25 M$ | Cryptoactifs | Clés du service cloud de gestion des clés compromises ; USR émis sans contrepartie | On-chain |
| 22 juil. | AFX Trade bridge | Non communiqué | 24,15 M$ | Cryptoactifs | 5 des 7 clés de validateurs compromises | On-chain |
| 15 juil. | Ostium | Non communiqué | 24 M$ | Cryptoactifs | Identifiants du signataire de l’oracle compromis | On-chain |
| 7 juil. | BonkDAO | Non communiqué | 21 M$ | Cryptoactifs | Exploit du contrôle d’accès | On-chain |
| 18 mai / 23 juil. | Bridge Verus–Ethereum (deux fois) | Non communiqué | 19,2 M$ | Cryptoactifs | Bug dans le contrat du bridge | On-chain |
| avr. | Rhea Lend | Non communiqué | 18,4 M$ | Cryptoactifs | Non communiqué | On-chain |
| 18 août | Maya Protocol | Non communiqué | 17 M$ | Cryptoactifs | Six bugs de contrat enchaînés | On-chain |
| 26 janv. | SwapNet | Non communiqué | 13,3 M$ | Cryptoactifs | Piratage (non précisé) | On-chain |
| oct. | 79thVault | Non communiqué | ≈ 12,5 M$ (estimation) | Cryptoactifs | Exploit | Non confirmé |
| 21 févr. | YieldBlox (Stellar) | Non communiqué | 10,2 M$ (≈ 7,2 M$ récupérés) | Cryptoactifs | Manipulation d’oracle | On-chain |
| 21 juil. | Wanchain | Non communiqué | 10 M$ | Cryptoactifs | Bug de contrat | On-chain |
| juin | Syscoin bridge | Non communiqué | 10 M$ | Cryptoactifs | Faille de validation ; jetons émis sans contrepartie | On-chain |
| 21 févr. | IoTeX ioTube bridge | Non communiqué | 8,8 M$ | Cryptoactifs | Clés du bridge compromises | On-chain |
| 27 août | Moonwell | Non communiqué | 8,75 M$ | Cryptoactifs | Manipulation de prix | On-chain |
| 23 août | Term Finance | Non communiqué | 8,5 M$ | Cryptoactifs | Prise de contrôle de la gouvernance | On-chain |
| 22 août | TAC | Non communiqué | 7,5 M$ (blockchain arrêtée) | Cryptoactifs | Vulnérabilité de contrat | On-chain |
| 21 janv. | Saga | Non communiqué | 7 M$ | Cryptoactifs | Exploit | On-chain |
| 26 juil. | WEMIX | Non communiqué | 6,25 M$ | Cryptoactifs | Fuite d’une clé privée | On-chain |
| 6 juil. | Summer Finance | Non communiqué | 6 M$ | Cryptoactifs | Flash loan (prêt éclair) | On-chain |
| 30 avr. | Wasabi Perps | Non communiqué | 4,5–5,5 M$ | Cryptoactifs | Clé de déploiement compromise | On-chain |
| 7 mai | TrustedVolumes | Non communiqué | 5,87 M$ | Cryptoactifs | Exploit | On-chain |
| 11 juil. | Bonzo Lend | Non communiqué | 5,25 M$ | Cryptoactifs | Manipulation d’oracle | On-chain |
| 23–24 mai | StablR (stablecoins USDR, EURR) | Non communiqué | 2,8 M$ sortis (≈ 12,85 M$ de jetons émis sans contrepartie) | Cryptoactifs | Une clé d’un multisig 1-sur-3 | On-chain |
| 29 juin / 29 oct. | Polymarket (deux fois), marché prédictif | Utilisateurs du site | ≈ 3 M$ + 2,65–3,9 M$ (remboursés) | Cryptoactifs | Code d’un prestataire tiers injecté dans le site | On-chain |
6. Portefeuilles et détenteurs privés
Portefeuilles matériels et logiciels, robots de trading et investisseurs privés.
| Date (2026) | Cible | Personnes touchées | Argent perdu | Ce qui a été perdu | Méthode | Statut |
|---|---|---|---|---|---|---|
| ≈ 10 janv. | Détenteur non identifié | 1 personne | 282–285 M$ | Cryptoactifs | L’attaquant s’est fait passer pour le support de Trezor | On-chain |
| 30–31 juil. | Coldcard, portefeuille matériel | ≈ 7 300 portefeuilles | 100–130 M$ | Cryptoactifs | Faille du firmware rendant les phrases de récupération (seed phrases) prévisibles | On-chain |
| 9–10 oct. | Appareils Ledger vendus par le revendeur CryptoBilis | Acheteurs d’appareils trafiqués | 86–93 M$ (≈ 10 M$ récupérés) | Cryptoactifs | Chaîne d’approvisionnement : appareils trafiqués munis d’un implant matériel | On-chain |
| 13 août | Particulier | 1 personne | 25,6 M$ | Cryptoactifs | Hameçonnage (phishing) | On-chain |
| 5 mars | « Sillytuna », détenteur Aave | 1 personne | 24 M$ | Cryptoactifs | Vol, apparemment avec violence | On-chain |
| sept. | Safe Wallet | Non communiqué | 7,8 M$ | Cryptoactifs | Non communiqué | On-chain |
| juin | Robot de trading jaredfromsubway.eth | 1 opérateur de robot | 7,5 M$ | Cryptoactifs | Robot exploité | On-chain |
| sept. | Portefeuille D’CENT | Non communiqué | 6 M$ | Cryptoactifs | Non communiqué | On-chain |
| 5 janv. | Clients de Ledger (via Global-e) | Non communiqué | Aucune signalée | Noms, adresses, e-mails, téléphones, commandes | Partenaire e-commerce piraté | Confirmé |
| 10 août–4 sept. | Clients de Trezor (via ShipMonk) | ≈ 81 000 | Aucune signalée | Noms, téléphones, adresses de domicile | Prestataire logistique piraté | Confirmé |
| août | Clients de SafePal | ≈ 40 000 | Aucune signalée | Noms, coordonnées, adresses de livraison | Non indiqué | Partiellement confirmé |
7. États et administrations publiques
Administrations fiscales, registres nationaux, agences d’identité, organismes publics et leurs sous-traitants.
| Date (2026) | Cible | Personnes touchées | Argent perdu | Ce qui a été perdu | Méthode | Statut |
|---|---|---|---|---|---|---|
| 31 janv. | Agencia Tributaria, administration fiscale (Espagne) | 47,3 millions revendiqués | Aucune signalée | Numéro d’identité national (DNI), adresse, IBAN, données fiscales | Revendication de pirates | Non confirmé |
| 20 avr. | ANTS / France Titres : cartes d’identité, passeports, permis de conduire (France), détecté le 15 avr. | ≈ 11,7 millions de comptes (19 millions annoncés) | Aucune signalée | Identifiants de connexion, noms, dates de naissance, e-mails ; certaines adresses, lieux de naissance, téléphones (aucun numéro de titre mentionné) | Non précisé ; données mises en vente par des pirates | Confirmé |
| oct. | Registre danois de la population, CPR (Danemark) | 8,8 millions de personnes | Aucune signalée | Noms, adresses, numéros CPR | Non précisé | Confirmé |
| 18 sept. | Personnel du ministère de la Défense (États-Unis) | 3,05 millions | Aucune signalée | Numéros de sécurité sociale non chiffrés | Non précisé | Confirmé |
| 18 juin | Texas Parks & Wildlife, via un prestataire (États-Unis) | Plus de 3 millions | Aucune signalée | Permis de conduire, passeport | Prestataire piraté | Confirmé |
| 24 mars | NYC Health + Hospitals (États-Unis) | 1,8 million | Aucune signalée | Numéros de sécurité sociale, informations sur des comptes financiers, empreintes digitales | Non précisé | Confirmé |
| fin juil. | Éducation nationale (France) | ≈ 1,22 million | Aucune signalée | Données d’élèves et de personnels | Non précisé | Confirmé |
| 18 févr. | FICOBA, fichier national des comptes bancaires (France) | ≈ 1,2 million de comptes | Aucune signalée | IBAN, numéro fiscal, adresse, date et lieu de naissance | Non précisé | Confirmé |
| 12 oct. | CAF / Vacaf, prestations familiales (France) | 1,19 million de dossiers revendiqués | Aucune signalée | Noms, dates de naissance, tranche de revenus, prestations | Revendication de pirates | Partiellement confirmé |
| 12–13 août | DGFiP, portail fiscal impots.gouv.fr (France) | ≈ 680 000 | Aucune signalée | Numéro fiscal, état civil, messages du portail | Non précisé | Confirmé |
| fin sept. | Publica + ≈ 12 caisses de pension suisses (Suisse) | Plus de 100 000 | Aucune signalée | Possiblement numéros AVS, salaires assurés, IBAN | Données d’assurés transmises à l’éditeur de logiciels PK Softech avant un changement de système, puis volées | Partiellement confirmé |
| 20 janv. | Événements Energy Schweiz (Suisse) | 85 000 | Aucune signalée | Dates de naissance | Non précisé | Confirmé |
| 20 févr. | Boutique numismatique de la Banque nationale d’Ukraine, via un sous-traitant (Ukraine) | Non communiqué | Aucune signalée | Coordonnées et adresses des clients | Sous-traitant piraté | Partiellement confirmé |
8. Infrastructures de marché et prestataires
Dépositaires de titres, sociétés de vérification d’identité, éditeurs de core banking et de logiciels, réseaux de cartes.
| Date (2026) | Cible | Personnes touchées | Argent perdu | Ce qui a été perdu | Méthode | Statut |
|---|---|---|---|---|---|---|
| 4 sept. | IDScan.net, vérification d’identité (États-Unis) | 153 millions d’enregistrements de permis de conduire | Aucune signalée | Numéros de permis et d’identité, images de pièces d’identité | Non précisé | Partiellement confirmé |
| 26 juil. | Thailand Securities Depository, portail investisseurs (Thaïlande) | ≈ 200 000 investisseurs | Aucune ; avoirs non touchés | Numéros d’identité nationaux, adresses, numéros de comptes de courtage et bancaires | Accès non autorisé au portail investisseurs | Confirmé |
| 31 août | Jack Henry & Associates, core banking de plus de 7 200 banques (États-Unis) | Moins de 10 établissements clients | Aucune ; extorsion refusée | Données d’établissements clients | Appel téléphonique au personnel (vishing) | Confirmé |
| 28 mars–12 avr. | Services fiscaux d’EY (États-Unis) | 10 895 personnes | Aucune signalée | Données de clients fiscaux | Via une plateforme de services informatiques | Confirmé |
| 24 août | TeamSystem, logiciel de comptabilité (Italie) | Non communiqué | Aucune signalée | IBAN, historique des transactions | Non précisé | Confirmé |
| 14 janv. | Réseau de skimming Magecart (monde entier) | Acheteurs en ligne | Fraude à la carte (non chiffrée) | Numéros de carte (Amex, Mastercard, UnionPay, JCB…) | Faux formulaires de paiement sur les pages de commande des boutiques | Confirmé |
| 4 nov. (rapport) | « BOSSAI » : un pirate, 12 agents d’IA (Taïwan / 11 pays) | Non communiqué | Non chiffré | Données de sociétés de prêt ; contrôle de sécurité des cartes d’un prestataire de paiement contourné | Attaque menée par des agents d’IA | Confirmé |
9. Autres entreprises dont les fuites alimentent la fraude financière
Télécoms, commerce de détail, santé, voyage, énergie, éducation et jeux : pas des sociétés financières, mais leurs fichiers contiennent des IBAN, des numéros d’identité et des passeports.
| Date (2026) | Cible | Personnes touchées | Argent perdu | Ce qui a été perdu | Méthode | Statut |
|---|---|---|---|---|---|---|
| 29 avr. | Instructure / Canvas (États-Unis / monde) | 275 millions de notifications revendiquées | Aucune signalée | Noms, e-mails, identifiants étudiants | Revendication de pirates | Partiellement confirmé |
| 22 juin | Bet365 (Royaume-Uni / monde) | Plus de 120 millions revendiqués | Aucune signalée | Pièce d’identité, IBAN, numéro fiscal | Revendication de pirates | Non confirmé |
| 15 juil. | Suno (États-Unis) | 55,3 millions de comptes | Aucune signalée | Comptes, 4 derniers chiffres de la carte | Non précisé | Confirmé |
| 27 févr. | ManoMano (France / UE) | 37,8 millions de comptes revendiqués | Aucune signalée | Noms, e-mails, téléphones | Revendication de pirates | Partiellement confirmé |
| juin | Source inconnue (Thaïlande) | Plus de 36 millions d’enregistrements | Aucune signalée | Données personnelles | Source inconnue | Non confirmé |
| 16 sept. | Gyazo (Japon) | 23,6 millions | Aucune signalée | E-mails, empreintes (hashes) de mots de passe | Non précisé | Confirmé |
| oct. | Sourcenext (Japon) | Jusqu’à 22,5 millions | Aucune signalée | Noms, adresses, mots de passe | Non précisé | Partiellement confirmé |
| janv. | Endesa (Espagne) | 20 millions revendiqués | Aucune signalée | DNI, contrat, certains IBAN | Revendication de pirates | Partiellement confirmé |
| oct. | Pathao (Bangladesh) | ≈ 19 millions | Aucune signalée | Non précisé | Non précisé | Non confirmé |
| 17 juil. | DentaQuest (États-Unis) | 15–23,4 millions | Aucune signalée | Numéros de sécurité sociale et de Medicaid, dates de naissance | Non précisé | Confirmé |
| oct. | Skyticket (Japon) | 14,64 millions d’éléments | Aucune signalée | Dates de naissance, adresses, certaines coordonnées bancaires | Non précisé | Confirmé |
| 23 juin | KDDI (Japon) | Jusqu’à 14,22 millions | Aucune signalée | E-mails, mots de passe | Non précisé | Confirmé |
| 14 avr. | McGraw Hill (États-Unis) | 13,5 millions de comptes | Aucune signalée | Données de comptes | Non précisé | Confirmé |
| 19 oct. | Capcom (Japon) | 11,77 millions | Aucune signalée | E-mails, identifiants de connexion | Non précisé | Confirmé |
| oct. | Burger King Japan | 11,18 millions | Aucune signalée | Nom, e-mail, téléphone, date de naissance | Non précisé | Confirmé |
| oct. | Monogatari / Yakiniku King (Japon) | 10,79 millions | Aucune signalée | E-mails, téléphones | Non précisé | Confirmé |
| 29 janv. | Match Group : Hinge, OkCupid (États-Unis) | Plus de 10 millions revendiqués | Aucune signalée | Identifiants, données de transactions | Revendication de pirates | Partiellement confirmé |
| 13–19 avr. | Medtronic (États-Unis) | 3,83 millions notifiés (9 millions revendiqués par les attaquants) | Aucune signalée | Données personnelles | Intrusion confirmée dans un document déposé auprès de la SEC ; revendication de ShinyHunters | Confirmé |
| 28 août | Manchester Airports Group (Royaume-Uni) | 8,7 millions | Aucune signalée | E-mails, téléphones, immatriculations de véhicules | Non précisé | Confirmé |
| sept. | CenterPoint Energy (États-Unis) | 7,49 millions | Aucune signalée | Coordonnées, 4 derniers chiffres du numéro de sécurité sociale | Non précisé | Partiellement confirmé |
| sept. | Times Car / Park24 (Japon) | 1,6–6,6 millions | Aucune signalée | Dates de naissance, permis de conduire, pièces d’identité | Non précisé | Confirmé |
| 12 févr. | Odido (Pays-Bas) | 6,2–6,4 millions | Aucune signalée | IBAN, numéros de passeport / permis, dates de naissance, numéro de mobile | Non précisé | Confirmé |
| 11 mars | Sunrise (Suisse) | Plus de 6 millions revendiqués | Aucune signalée | Noms, adresses, informations d’abonnement et de paiement | Revendication de pirates | Non confirmé |
| 27 mai | Carnival (États-Unis / monde) | 5 995 277 | Aucune signalée | Passeport, numéro de sécurité sociale, permis de conduire | Non précisé | Confirmé |
| 22–24 mai | Atol, Auchan Optique, Optic 2000, Jimmy Fairly (France) | ≈ 6 millions ou plus revendiqués | Aucune signalée | Noms, adresses, factures | Revendication de pirates | Non confirmé |
| 24 avr. | ADT (États-Unis) | 5,5 millions | Aucune signalée | Dates de naissance, numéros d’identité partiels | Non précisé | Confirmé |
| 1er août | Resamania, logiciel pour salles de sport (Royaume-Uni, Allemagne, France, Espagne) | 5,2 millions revendiqués | Aucune signalée | Non précisé | Revendication de pirates | Non confirmé |
| 2 févr. | Panera Bread (États-Unis) | 5,1 millions | Aucune signalée | Noms, coordonnées | Non précisé | Confirmé |
| 26 mai | Charter / Spectrum (États-Unis) | 4,9 millions | Aucune signalée | Données de comptes | Non précisé | Confirmé |
| 20 juil. | Brinks Home (États-Unis) | 4,9 millions revendiqués | Aucune signalée | Données clients | Revendication de pirates | Partiellement confirmé |
| 30 janv. | Ttareungyi, vélos en libre-service de Séoul (Corée du Sud) | 4,5 millions | Aucune signalée | Identifiants, numéros de mobile | Non précisé | Partiellement confirmé |
| févr. | QualDerm Partners (États-Unis) | 3,12 millions | Aucune signalée | Données médicales et d’assurance | Non précisé | Confirmé |
| mars | Nacogdoches Memorial Hospital (États-Unis) | 2,51 millions | Aucune signalée | Numéros de sécurité sociale et d’assurance maladie | Non précisé | Confirmé |
| mars | Navia Benefit Solutions (États-Unis) | 2,15 millions | Aucune signalée | Numéros de sécurité sociale, dates de naissance | Non précisé | Confirmé |
| 13 avr. | Basic-Fit (FR, BE, DE, ES, LU, NL) | ≈ 1 million | Aucune signalée | Coordonnées, dates de naissance, données bancaires | Non précisé | Confirmé |
| 16 juil. | Abbott (États-Unis) | 1 million revendiqué | Aucune signalée | Numéros de sécurité sociale | Revendication de pirates | Non confirmé |
| 3 juil. | Shun Hing Group (Hong Kong) | ≈ 921 000 | Aucune signalée | Coordonnées des clients ; numéros d’identité et comptes bancaires du personnel | Non précisé | Confirmé |
| 18 févr. | youX (Australie) | 444 538 emprunteurs | Aucune signalée | Permis de conduire, adresses | Non précisé | Confirmé |
| 10 janv. | Eurail / Interrail, y compris DiscoverEU (UE) | ≈ 308 000 | Aucune signalée | Numéros de passeport, copies de pièces d’identité, références bancaires | Non précisé | Confirmé |
| 3 août | Intermarché Drive (France) | 287 605 | Aucune signalée | Noms, adresses, dates de naissance | Non précisé | Confirmé |
| 30 oct. | Engie (France) | Non communiqué | Aucune signalée | Noms, coordonnées, numéros de compteur | Outil de vente d’un partenaire piraté | Confirmé |
Totaux crypto 2026 : DefiLlama 8,73 milliards de dollars en 322 piratages (au 30 octobre), dont 6,36 milliards pour Binance ; CertiK environ 9,2 milliards (au 31 octobre) ; PeckShield environ 9,3 milliards. Sans Binance, l’année représente environ 2,4 à 2,9 milliards. Les tableaux crypto recensent les incidents documentés de 5 millions de dollars ou plus, plus quelques cas plus petits mais notables ; ce n’est pas un recensement exhaustif. Le Crédit Mutuel Arkéa n’apparaît qu’une fois, dans les banques, même si l’argent a ensuite été converti en cryptos.
Ce qui n’est pas dans cette liste
Les incidents survenus avant 2026 mais révélés en 2026 sont exclus des tableaux ci-dessus. Les principaux sont listés ici pour que personne ne pense que je les ai oubliés ; parmi les autres figurent Marquis Software, Chain IQ/UBS/Pictet, Habib Bank AG Zurich, Lotte Card et BigONE.
| Incident antérieur | Quand | Ce qui s’est passé |
|---|---|---|
| PayPal Working Capital (États-Unis) | 1er juil. – 13 déc. 2025 ; révélé en févr. 2026 | Une erreur de code a exposé les numéros de sécurité sociale d’environ 100 clients ; quelques fraudes |
| TriZetto Provider Solutions (États-Unis) | nov. 2024 – oct. 2025 ; notifié en 2026 | Environ 3,4 millions de personnes ; numéros de sécurité sociale, dates de naissance, données d’assureurs |
| IDMerit, prestataire de vérification d’identité | Base de données signalée en nov. 2025 ; publiée en févr. 2026 | Des chercheurs ont signalé une base de données exposée de plus de 3 milliards d’enregistrements (53 millions d’entrées françaises) liée à la société ; IDMerit dément toute intrusion dans ses propres systèmes |
| Jackpotting de distributeurs automatiques (alerte du FBI, févr. 2026) | Chiffres 2025 | Environ 700 incidents et plus de 20 M$ de pertes aux États-Unis en 2025 |
Également exclus : la panne informatique qui a interrompu une partie des activités de trading d’UBS le 17 mars (aucune cyberattaque n’a été confirmée), et toute attaque contre SWIFT ou un système de compensation, aucune n’ayant été confirmée en 2026. La couverture de Hong Kong, Singapour et la Thaïlande reste plus mince que pour l’Europe et les États-Unis : moins de cas y sont rendus publics.
Vue d’ensemble : ce que disent les statistiques
- IBM, Cost of a Data Breach 2026 : une fuite de données coûte en moyenne 6,29 millions de dollars dans les services financiers, contre 4,99 millions tous secteurs confondus.
- Verizon DBIR 2026 (données 2025) : finance, 3 809 incidents et 1 300 violations confirmées. Un tiers (prestataire) est impliqué dans 34 % des violations, un humain dans 65 %. Principales portes d’entrée : failles logicielles 22 %, hameçonnage 20 %, identifiants volés 15 %.
- ENISA Threat Landscape 2026 (données 2025) : la finance et la banque représentent 5,6 % des événements, mais la plus grande part des fuites de données (15,4 %). Principaux groupes de rançongiciel : Akira, Lynx, Qilin, INC.
- FBI IC3 (rapport 2025, publié en avril 2026) : pertes déclarées record de 20,9 milliards de dollars (+26 %), dont 11,3 milliards liés aux cryptos ; plus de 30 millions perdus dans des fraudes au président assistées par IA.
- Black Kite 2026 : rançongiciels contre la finance en hausse d’environ 30 % en 2025 et de 76 % au premier trimestre 2026 ; 54 % des 140 prestataires les plus utilisés par la finance présentent une faille connue et exploitée.
- TRM Labs (cryptos) : environ 85 % de la valeur des piratages crypto de 2026 est liée à la Corée du Nord (fin octobre), essentiellement à cause du vol chez Binance.
Ce que cela signifie si vous dirigez, achetez ou créez une société financière
Je ne dis pas que diriger une banque, un établissement de paiement ou une société crypto est devenu impossible, ni qu’il faut garder ses économies sous le matelas. Ce que je dis, c’est que le point faible est rarement la technologie que vous avez achetée. Ce sont les personnes, les prestataires et les habitudes autour, et la plupart de ces choix se font au tout début : quand on choisit la juridiction, la licence, la banque partenaire et les prestataires externes.
Avant de signer avec un prestataire, ou d’acheter une société sous licence, je ferais passer ce que j’appelle le test du dimanche : si quelqu’un vide nos comptes à trois heures du matin un dimanche, qui s’en aperçoit, qui peut l’arrêter, et en combien de temps ? Puis cinq questions :
- Qui détient les clés ? Combien de personnes ont un accès administrateur, des clés privées ou un pouvoir de signature, sur combien d’appareils, et qui les contrôle ?
- Quels prestataires peuvent toucher à nos systèmes ou aux données de nos clients, et qu’avons-nous réellement vérifié avant de signer avec eux ?
- Qui répond à 3 heures du matin un dimanche, et a-t-il le pouvoir de bloquer les paiements sortants sans réveiller le conseil d’administration ?
- Combien de données d’identité conservons-nous, où, et combien de temps ? Gardez ce que la loi exige, pas une copie de passeport de plus.
- Si « la police » ou « le régulateur » nous demande par e-mail des dossiers clients, comment vérifions-nous que c’est authentique avant que quelqu’un n’appuie sur Envoyer ?
Pour les particuliers, la leçon est plus simple. Partez du principe que votre IBAN, votre numéro d’identité et votre numéro de téléphone circulent déjà. Surveillez vos prélèvements, ne donnez jamais suite à un appel de « votre conseiller bancaire » sans raccrocher et rappeler vous-même la banque, et achetez vos portefeuilles physiques chez le fabricant, jamais chez un revendeur.
Choisir la juridiction, la licence et les prestataires en connaissance de cause
Vous créez ou rachetez un établissement de paiement (payment institution), un établissement de monnaie électronique (EMI), une société crypto ou une banque ? La plupart des risques de cette liste se décident bien avant l’arrivée du premier pirate : dans le choix de la juridiction, de la licence, des banques partenaires et des prestataires externes. C’est le travail de FintechLex, entre la Suisse, le Royaume-Uni, Hong Kong et le reste de l’Asie. Depuis trente ans, j’aide des investisseurs étrangers à éviter les pièges dont personne ne leur parle, et j’ai aidé des clients à créer des banques. Si vous voulez un second regard avant de signer, ou une société sous licence qui a déjà passé les contrôles, consultez nos sociétés à vendre ou écrivez-moi.
Écrivez-moi à insight@fintechlex.com ou sur WhatsApp +41 787 983 770.
Sources : Cryptsy / DefiLlama: cryptsy.com/crypto-hacks; CertiK 2026 figures (via PrimeXBT news); PeckShield monthly reports (via The Block, Cointelegraph); TRM Labs and Chainalysis on North Korea (via The Block, crypto.news); AlphaWire: Crypto’s 10 biggest hacks of 2026; Sherlock Web3 Security Report Q1 2026; Nominis monthly reports; Global Ledger; StealthEX and Khaleej Times/Reuters on Binance; The Record on Bitget; crypto.news on Liquid Network; Insurance Journal, France 24, CU Today, IT-Connect, MoneyVox on Crédit Mutuel Arkéa; TechCrunch, Financial Times (via Global Banking & Finance), OCCRP, Which? on Revolut; IstoÉ Dinheiro, The Paypers (BTG Pactual); Liga.net (A-Bank); Gujarat Samachar (Bhavnagar); NewsBytes (Central Bank of India); Korea Times, Korea Herald, Korea JoongAng Daily, The Star (Korean financial-sector wave); Security Affairs, SecurityWeek (Aflac Japan); Daily Maverick (Standard Bank); American Banker, SC World (Citizens/Frost, Figure); Journal du Geek (MGP, ANTS, Almerys, Engie); Le Monde Informatique (Almerys); Futura (FICOBA, IDMerit, opticians); ITPro (FICOBA); Maire-info (DGFiP, Éducation nationale); MacG (CAF); IT-Connect (Basic-Fit); The Register (ManoMano, Eurail); CSO Online, Help Net Security (Danish CPR); bluewin (Swiss pension funds); Netzwoche (Sunrise, Energy Schweiz); Punto Informatico (TeamSystem); Euro Weekly (Hacienda); The Spanish Eye, Escudo Digital (Endesa); BornCity (Bet365); brightdefense, grcsolutions, guard.io (aggregators); Malwarebytes, Cybersecurity News (Magecart, BridgePay); Banking Exchange, Jack Henry IR; Acronis TRU, eSecurity Planet (BOSSAI); IBM, Verizon (via American Banker), ENISA Threat Landscape 2026, FBI IC3 (via Help Net Security), Black Kite, Europol IOCTA 2026; BleepingComputer (Upbound, PayPal); HIPAA Journal (TriZetto, Medtronic); Biometric Update (IDMerit); STV News (Lloyds); The Block (Tectonic); Crowdfund Insider (Wasabi); The Nation (Thailand Securities Depository); The Star (MoneySmart, Korean FSC, UBS); Little Big Red Dot (Alliance Medinet); finews.com (Zurich pension fund); Acteurs Publics, Siècle Digital (ANTS); Le Monde Informatique, Selectra (Arkéa); CoinAlertNews quoting DefiLlama (crypto totals, 30 October); Tech Insider, TRM Labs (North Korea); Sahara Reporters (Binance replenishment).
Rene-Philippe
