Figure : près d'un million de comptes fintech piratés

Ce qui s'est passé

Figure Technology Solutions, fintech cotée au Nasdaq spécialisée dans les prêts hypothécaires adossés à la blockchain, a confirmé avoir subi une violation de données après qu'un employé a été victime d'une attaque par ingénierie sociale, selon SecurityWeek et BleepingComputer. Les attaquants ont pu accéder à un nombre limité de fichiers contenant des informations personnelles de clients.

Le groupe de cybercriminels ShinyHunters a revendiqué l'attaque et publié sur son site .onion une archive de plus de 2,4 Go de données volées. Le service Have I Been Pwned a analysé le jeu de données et identifié environ 967 000 comptes utilisateurs compromis. Les informations exposées comprennent noms, dates de naissance, adresses email, adresses postales et numéros de téléphone.

Selon les déclarations de ShinyHunters, Figure fait partie d'une série de victimes d'une campagne ciblant les systèmes d'authentification unique (SSO) via Okta, utilisant le voice phishing pour compromettre les comptes d'administrateurs. Ce vecteur d'attaque rappelle les techniques employées lors de la compromission d'Affinity plus tôt cette année.

Pourquoi c'est important

Cette attaque illustre deux tendances majeures de 2026. D'abord, la montée en puissance du voice phishing (vishing) comme vecteur d'intrusion initial : les campagnes ciblant les solutions SSO comme Okta permettent aux attaquants de pivoter vers de multiples systèmes internes à partir d'un seul compte compromis. Ensuite, le rôle croissant de ShinyHunters dans l'écosystème cybercriminel — le groupe est également impliqué dans la publication de données volées lors d'autres incidents récents.

Pour les entreprises du secteur fintech, la compromission d'un prestataire d'identité constitue un risque systémique. Près d'un million de clients sont désormais exposés à des tentatives de phishing ciblé, d'usurpation d'identité ou de fraude financière. L'incident pose aussi la question de la sécurité des architectures blockchain censées offrir des garanties supplémentaires de protection des données.

Ce qu'il faut retenir

• Le voice phishing ciblant les comptes SSO (Okta, Azure AD) est devenu un vecteur d'attaque majeur en 2026 : sensibilisez vos équipes IT à ce risque spécifique.
• Près d'un million de comptes compromis : les utilisateurs de Figure doivent surveiller toute activité suspecte et modifier leurs identifiants.
• Vérifiez votre exposition sur Have I Been Pwned et activez l'authentification multifacteur résistante au phishing (FIDO2/WebAuthn) sur tous vos comptes critiques.