Un pirate affirme détenir 143 518 lignes de données dérobées à l’Agence de services et de paiement (ASP). Noms, adresses postales, IBAN et montants d'aides versées aux bénéficiaires franciliens du « Coup de pouce énergie » sont inscrits dans ces fichiers, et l'agence a confirmé l’intrusion dans un courrier adressé aux victimes.
Voilà moins d’un mois qu’un intrus a accédé frauduleusement à un compte utilisateur de l’ASP, puis a extrait de ce compte des avis de paiement émis en 2023 et 2024. L’agence a repéré cette intrusion dès le lendemain, avant de notifier la CNIL et de prévenir par courrier les personnes concernées des « risques d’hameçonnage et de démarches frauduleuses », nous informe French Breaches. Pour rappel, en 2025, les victimes de fraude par manipulation ont perdu 516 millions d’euros, d’après l’Observatoire de la sécurité des moyens de paiement, car les fraudeurs exploitent de plus en plus les fuites de données pour rendre crédibles leurs appels frauduleux.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Une faille IDOR revendiquée contre l’ASP
Les failles de sécurité ne sont pas l’apanage de Windows. Selon Cyberattaque.org, qui a également relayé la fuite, le pirate a annoncé 143 518 lignes de données dans un message sobrement intitulé « [FR] asp public », publié sur un forum cybercriminel. Pour les obtenir, il affirme avoir exploité une faille IDOR, pour Insecure Direct Object Reference. Dans ce type de faille, il suffit de remplacer, dans une requête envoyée au site, le numéro d’un avis de paiement par un autre pour obtenir le document d'un autre bénéficiaire, sans aucun contrôle des droits d’accès du compte connecté. En modifiant ce numéro de proche en proche, un pirate peut ensuite télécharger des milliers de documents à la chaîne. Oui, c’est la même faille que celle de l'ANTS, par laquelle les données de près de 19 millions de Français avaient été récupérées.
Toujours est-il que de son côté, l’ASP évoque dans son courrier « un accès frauduleux à un compte utilisateur » et indique avoir identifié puis corrigé une vulnérabilité, sans préciser de quelle nature il s’agit. À l’heure où on écrit ces lignes, seul le pirate mentionne une faille IDOR.
Des IBAN de bénéficiaires de l’ASP exposés à la fraude
Entre juillet et octobre 2023, la Région Île-de-France a attribué une aide de 250 euros à 160 000 foyers modestes, grâce à une enveloppe européenne de 45 millions d’euros, et l’ASP a émis les avis de paiement de cette aide. Seuls des ménages aux revenus faibles ont reçu ce « Coup de pouce énergie », avec un plafond fixé à 14 802 euros de revenus annuels pour une personne seule. Sur chaque avis dérobé sont inscrits le nom et le prénom du bénéficiaire, son adresse postale, son numéro de bénéficiaire, ses coordonnées bancaires complètes et le montant versé.
Après le piratage de l’enseigne sportive Basic-Fit et son message, selon lequel « avec un IBAN seul, on ne peut rien faire », on vous a expliqué qu'avec un nom et une adresse en plus, un fraudeur peut tout de même créer un mandat de prélèvement SEPA au nom de la victime et débiter son compte. Il peut aussi téléphoner à un bénéficiaire en usurpant l’identité d’un agent de l’ASP, citer le montant exact de son aide et lui réclamer un code de validation bancaire. Les bénéficiaires ont tout intérêt à ignorer les appels, SMS ou e-mails au sujet du « Coup de pouce énergie » ou de leurs coordonnées bancaires. Ils peuvent aussi contester auprès de leur banque, dans un délai de treize mois, tout prélèvement effectué sans mandat valable.
La CNIL a reçu 6 167 notifications de violations de données en 2025, soit 9,5 % de plus qu’en 2024, et dans la moitié des cas, il s’agissait d'un piratage informatique. « Les violations sont de plus en plus massives », prévient la présidente de l’institution dans son rapport annuel. L'ASP avait subi une première fuite en avril, lorsqu’un intrus avait dérobé des numéros de Sécurité sociale et des IBAN de stagiaires de la formation professionnelle depuis un compte de l’agence, sans que celle-ci ait jamais rendu public le nombre de victimes.
