Alerte cybersécurité : Sumsub victime d’une intrusion silencieuse via son support client

Une intrusion passée sous les radars pendant une éternité

Tout commence au milieu de l’été 2024, alors que personne ne soupçonne rien. Un pirate, visiblement malin, parvient à glisser un fichier piégé à travers une plateforme de support client utilisée par la firme. À l’époque, la sécurité ne voit rien passer. Ce n’est qu’en janvier 2026, lors d’un simple contrôle de routine, que les équipes de Sumsub tombent sur les traces de ce visiteur indésirable. Imaginez un peu : pendant environ 18 mois, une porte est restée entrouverte sans que les systèmes de surveillance ultra-sophistiqués de l’entreprise ne déclenchent la moindre alerte. Cette latence record pose une question assez gênante pour un leader de la sécurité. Comment une société qui vend de la confiance a pu passer à côté d’une telle présence dans ses propres murs numériques durant tout ce temps ?

Le périmètre des dégâts sous la loupe des experts

Une fois le choc de la découverte passé, il a fallu compter les pots cassés. Heureusement, le tableau n’est pas aussi sombre qu’on aurait pu le craindre pour un spécialiste du KYC. Selon les premiers retours de l’enquête, l’attaquant n’a pas réussi à mettre la main sur le « coffre-fort ». Les serveurs qui hébergent vos selfies, vos scans de passeports ou vos données biométriques sont restés hermétiques. Le pirate s’est retrouvé coincé dans un environnement lié au service client, loin des systèmes de production principaux. Cela veut dire que le cœur du moteur de vérification n’a pas été touché. C’est un soulagement immense, car si les documents d’identité avaient fuité, on parlerait aujourd’hui d’une catastrophe industrielle sans précédent pour le secteur de la fintech.

Ce qui a vraiment fuité et les risques pour vous

Malgré ce confinement relatif, des informations ont quand même pris la porte. On parle essentiellement de noms, parfois accompagnés d’adresses mails ou de numéros de téléphone. Alors oui, comparé à un scan de carte d’identité, cela peut paraître anodin. Mais attention à ne pas minimiser l’impact pour autant. Pour un internaute lambda, voir son nom et son contact circuler dans la nature, c’est s’exposer à une recrudescence de tentatives de phishing ultra-ciblées. En croisant ces infos avec d’autres bases de données issues de précédentes fuites, des escrocs pourraient monter des arnaques très crédibles en se faisant passer pour votre banque ou une plateforme crypto que vous utilisez vraiment. C’est là que le bât blesse : la donnée n’est peut-être pas critique, mais elle est suffisante pour devenir un levier de fraude entre de mauvaises mains.

Le talon d’Achille des prestataires externes

Ce qui est particulièrement instructif dans cette affaire, c’est la manière dont le pirate est entré. Il n’a pas attaqué Sumsub de front. Il est passé par une plateforme tierce, un outil de ticketing que la société utilisait pour gérer ses échanges avec les clients. C’est souvent le point faible des grandes entreprises tech : elles ont beau avoir des murs épais, elles dépendent d’une multitude de petits logiciels externes qui ne sont pas toujours aussi bien protégés. Ici, la pièce jointe malveillante est passée comme une lettre à la poste. Cela nous rappelle cruellement qu’une chaîne de sécurité n’est jamais plus solide que son maillon le plus faible. Même avec les meilleures certifications du monde, comme le SOC 2 ou l’ISO 27001, une simple faille chez un sous-traitant peut tout faire basculer.

La contre-attaque et les mesures de la dernière chance

Depuis que le pot aux roses a été découvert, la firme n’est pas restée les bras croisés. Elle a immédiatement sorti l’artillerie lourde en faisant appel à des cabinets d’experts indépendants pour passer chaque recoin du système au peigne fin. Le message est clair : on veut rassurer les partenaires. Les contrôles d’accès pour le personnel de support ont été verrouillés et les outils de surveillance ont été sérieusement musclés pour ne plus que cela se reproduise. Les clients directement impactés ont normalement déjà reçu un message de leur gestionnaire de compte. Si vous n’avez rien reçu, c’est a priori que vous n’étiez pas dans le lot, mais la prudence reste de mise tant que l’enquête n’est pas totalement bouclée.

Rester vigilant dans un monde numérique fragile

Alors, que faut-il retenir de cet épisode ? D’abord, que le risque zéro n’existe pas, même chez ceux dont c’est le métier de nous protéger. Pour nous, utilisateurs, c’est une piqûre de rappel sur l’importance de l’authentification à deux facteurs. Si vos données de contact ont fuité, la seule chose qui empêchera un pirate de se connecter à vos comptes, c’est cette fameuse deuxième clé de sécurité, que ce soit une application d’authentification ou une clé physique. Sumsub promet de la transparence pour la suite, mais la confiance, elle, mettra sans doute un peu de temps à se reconstruire totalement. En attendant, gardez un œil sur vos mails et vos SMS : si une demande vous semble louche, c’est sans doute qu’elle l’est.