Nouvelle victime collatérale. Après les faux mails de Trezor, c’est au tour des clients de Paymium de découvrir que leur fiche d’identité a pu filer par l’arrière-boutique. La plateforme française a prévenu ses utilisateurs le 22 septembre. Son prestataire d’e-mailing Brevo avait déjà servi de rampe de lancement à la campagne de phishing contre Trezor, BitBox et CoinTracking début septembre. Aucun fonds n’a bougé. Mais un fichier de détenteurs de crypto identifiés vaut son pesant d’or en pleine vague d’enlèvements.
Points clés
Paymium a averti ses clients le 22 septembre d’un accès non autorisé chez son routeur d’e-mails
Identité, date de naissance, téléphone et pays de résidence figurent dans le lot
Ni mot de passe, ni clé API, ni accès aux fonds selon la plateforme
Chez Brevo, 138 comptes clients ont été ouverts grâce à une faille de connexion unique
Fuite de données Paymium, l’addition arrive douze jours plus tard
Le message tombe dans les boîtes de réception douze jours après les faits. Paymium y explique que Brevo, l’outil qui gère une partie de ses envois, a subi une intrusion. D’après la notification relayée par FrenchBreaches, l’intrus a pu consulter l’adresse e-mail, l’identifiant du compte, le nom, le prénom, la date de naissance, le numéro de téléphone et le pays de résidence des clients concernés. Combien sont-ils ? La plateforme ne le dit pas.
Côté rassurant, la liste de ce qui n’a pas fuité est longue. Aucun mot de passe, aucune clé API, aucune donnée de portefeuille ni information fiscale ne transitait par Brevo, assure Paymium. Aucun e-mail frauduleux ne serait non plus parti de son compte.
Brevo, une faille SSO grande comme une porte cochère
Tout part d’un sigle, le SSO (l’authentification unique qui permet de se connecter à plusieurs services avec un seul identifiant). Le rapport d’incident publié par Brevo décrit un scénario presque vexant. L’attaquant ouvre son propre compte, y branche un fournisseur d’identité qu’il contrôle, puis invite des utilisateurs légitimes. Il se connecte ensuite à leur place. Et l’accès ainsi obtenu, mal cloisonné, ne se limitait pas à une organisation mais s’étendait à toutes celles que ces utilisateurs pouvaient atteindre.
Repérée le 10 septembre à 6h30 (UTC), la brèche est colmatée deux heures plus tard. Sur 138 comptes clients visités, 43 ont vu leurs listes de contacts exportées et six ont servi à expédier du phishing. Paymium ne dit pas dans quel groupe il tombe.
C’est depuis l’un de ces six comptes que près de 347 000 abonnés de Trezor ont reçu une fausse alerte de sécurité, avec environ 2 500 clics à la clé.
Fuite chez Paymium, un fichier qui fait saliver les escrocs
Les plateformes régulées doivent vérifier l’identité de leurs clients (le fameux KYC). Elles doivent aussi leur écrire, et confient souvent cette corvée à un sous-traitant. Votre date de naissance et votre numéro de portable dorment donc chez un tiers que vous n’avez jamais choisi. Le cocktail a tout pour plaire à un escroc. Il sait que vous détenez des cryptos, dans quel pays vous vivez, comment vous appeler et quel âge vous avez, de quoi monter un faux appel du « service sécurité Paymium » crédible à s’y méprendre.
Le précédent Ledger n’a rien perdu de son actualité. En décembre 2020, les coordonnées postales de plus de 270 000 clients du fabricant avaient atterri sur un forum de pirates, suivies d’une pluie de menaces. Ici, pas d’adresse postale. Mais la France de 2026 n’a plus rien d’un terrain théorique pour le ciblage physique des détenteurs de cryptos.
Clients Paymium, les réflexes à adopter après la fuite
Paymium renvoie ses clients vers cybermalveillance.gouv.fr, le dispositif public d’assistance gratuit. Ajoutez-y quelques réflexes qui ne coûtent rien.
Ne cliquez sur aucun lien reçu par e-mail ou SMS au nom de Paymium, passez par l’application ou tapez l’adresse vous-même
Un « conseiller » qui vous appelle pour sécuriser votre compte est un imposteur, raccrochez
Ne communiquez jamais votre phrase de récupération, à personne
Activez la double authentification si ce n’est pas déjà fait
