Cyberattaque ASP : des IBAN exposés, le risque de fraude se prolonge

Un interlocuteur connaît votre nom, votre banque et le montant d’une aide que vous avez reçue. Il vous demande de régulariser un dossier ou de protéger votre compte. Ces détails peuvent sembler rassurants. Ils peuvent pourtant provenir de documents volés.

Ce scénario constitue un risque après la fuite touchant l’Agence de services et de paiement. Il ne décrit pas une fraude déjà constatée dans ce dossier. Il explique pourquoi la correction d’une faille informatique ne suffit pas à supprimer les risques liés aux informations sorties du système.

Des documents anciens, une intrusion détectée fin août

La notification de l’ASP reproduite par Cyberattaque.org situe l’incident au 27 août 2026. L’agence indique avoir détecté, le 28 août, un accès frauduleux à un compte utilisateur. Celui-ci a permis d’exfiltrer des avis de paiement de 2023 et 2024.

Les documents comprennent notamment les noms, prénoms, adresses postales, numéros de bénéficiaire, IBAN, BIC et montants versés. Selon cette notification, l’ASP a bloqué le compte compromis, corrigé la vulnérabilité et mené des analyses techniques. L’agence et la Région Île-de-France ont également notifié l’incident à la CNIL. 01net rapporte ces mesures dans son article du 25 septembre.

Le dispositif concerné doit être clairement identifié. La Région Île-de-France présente le Coup de pouce énergie comme une aide de 250 euros destinée aux foyers vulnérables, proposée en 2023 avec l’Union européenne. Les éléments consultés ne permettent pas d’étendre cette fuite aux aides agricoles, à l’apprentissage ou aux autres dispositifs gérés par l’ASP.

Cyberattaque ASP : 143 518 lignes ne signifient pas autant de victimes

Le chiffre circule largement, mais son statut reste essentiel. Cyberattaque.org l’attribue à l’attaquant. La notification reproduite ne donne pas de nombre total de personnes ou de documents concernés. Sans décompte vérifié, impossible d’assimiler chaque ligne à une personne distincte.

De même, l’hypothèse d’une faille de type IDOR vient de la revendication du pirate. La communication consultée de l’ASP mentionne une vulnérabilité corrigée sans en préciser la nature.

Cette distinction entre intrusion documentée et ampleur revendiquée rejoint un point développé dans notre analyse des fuites de données en France : un chiffre publié par un attaquant ne vaut pas bilan officiel.

Un IBAN n’est pas un mot de passe, mais son exposition compte

Connaître un IBAN ne donne pas, à lui seul, accès à l’espace bancaire de son titulaire. En revanche, la CNIL explique que des coordonnées bancaires dérobées peuvent servir à des prélèvements illégitimes ou à une usurpation lors de la création d’un mandat.

L’association avec une identité et un historique de paiement facilite aussi les tentatives de manipulation. Un escroc peut citer des informations exactes pour donner du crédit à son discours. La victime risque alors de communiquer un code ou de valider elle-même une opération.

Cybermalveillance.gouv.fr décrit ce mécanisme du faux conseiller bancaire. Le bon réflexe consiste à interrompre l’échange et à joindre sa banque par un numéro habituel, recherché indépendamment du message reçu. L’urgence invoquée par l’appelant ne doit pas décider à votre place.

Repères issus des recommandations de la CNIL et de Cybermalveillance.gouv.fr.

Pour les entreprises, une leçon sur la confiance accordée aux documents

Le dossier porte sur une aide aux ménages. Il ne prouve pas une exposition des comptes professionnels. Son intérêt pour les dirigeants tient au mécanisme : un document authentique peut donner de la crédibilité à une demande frauduleuse.

Dans un service comptable ou RH, connaître le nom d’un salarié ou une référence de paiement ne devrait donc pas suffire à faire modifier des coordonnées bancaires. La CNIL consacre une fiche à la fraude au virement de salaire, qui illustre ce risque pour les employeurs.

Une organisation peut prévoir une vérification distincte pour toute demande inhabituelle : contacter la personne par un canal déjà connu et faire contrôler le changement avant paiement. L’objectif est de ne pas laisser un courriel convaincant devenir, à lui seul, une autorisation.

Le sujet concerne aussi les portails où l’entreprise conserve ses propres documents. La CNIL recommande de limiter les habilitations aux besoins réels. Un dirigeant peut demander à son prestataire quels documents chaque profil peut consulter et comment les accès sont revus. Il s’agit d’une démarche de prévention générale, pas d’un diagnostic technique de l’incident ASP.

Ces arbitrages prolongent nos articles sur le rôle des dirigeants en cybersécurité et la préparation des PME aux incidents.

Après la cyberattaque ASP, une vigilance qui doit durer

Les personnes concernées peuvent surveiller leurs opérations et les créanciers autorisés sur leur compte. En cas d’anomalie, il faut contacter la banque sans attendre, en conservant les messages et justificatifs utiles. Une suspicion d’usurpation ou d’escroquerie peut aussi justifier un dépôt de plainte.

La prudence concerne enfin les prétendus services de secours. La CNIL a publié une alerte sur les offres d’accompagnement après une violation de données, notamment celles qui proposent de supprimer des informations en ligne. Une fuite ne doit pas devenir le prétexte à transmettre de nouveaux justificatifs à un inconnu.

Le bilan précis de la cyberattaque ASP reste à établir. En attendant, la connaissance d’un dossier personnel ne suffit plus à authentifier celui qui appelle. C’est cette règle simple qui mérite de circuler, aussi bien auprès des bénéficiaires que dans les équipes chargées des paiements.