Figure : près d'un million de comptes fintech piratés

Ce qui s'est passé

Figure Technology Solutions, fintech cotée au Nasdaq et spécialisée dans les prêts hypothécaires adossés à la blockchain, a confirmé avoir subi une violation de données affectant près d'un million de comptes clients. Selon les informations rapportées par SecurityWeek et BleepingComputer, l'incident trouve son origine dans une attaque par ingénierie sociale visant un salarié de l'entreprise : en détournant ses accès légitimes, les attaquants ont pu consulter un nombre limité de fichiers internes contenant des informations personnelles. Noms, coordonnées et données liées aux dossiers de prêt figureraient parmi les éléments exposés, sans que l'ampleur exacte du préjudice ait été détaillée à ce stade. Ce cas de fuite données fintech rappelle que le facteur humain demeure le maillon faible des établissements financiers, y compris chez ceux qui s'appuient sur des infrastructures blockchain réputées inviolables.

Le groupe de cybercriminels ShinyHunters a revendiqué l'attaque et publié sur son site .onion une archive de plus de 2,4 Go de données volées. Le service Have I Been Pwned a analysé le jeu de données et identifié environ 967 000 comptes utilisateurs compromis. Les informations exposées comprennent noms, dates de naissance, adresses email, adresses postales et numéros de téléphone.

Selon les déclarations de ShinyHunters, Figure fait partie d'une série de victimes d'une campagne ciblant les systèmes d'authentification unique (SSO) via Okta, utilisant le voice phishing pour compromettre les comptes d'administrateurs. Ce vecteur d'attaque rappelle les techniques employées lors de la compromission d'Affinity plus tôt cette année.

Pourquoi c'est important

Cette attaque illustre deux tendances majeures de 2026. D'abord, la montée en puissance du voice phishing (vishing) comme vecteur d'intrusion initial : les campagnes ciblant les solutions SSO comme Okta permettent aux attaquants de pivoter vers de multiples systèmes internes à partir d'un seul compte compromis. Ensuite, le rôle croissant de ShinyHunters dans l'écosystème cybercriminel — le groupe est également impliqué dans la publication de données volées lors d'autres incidents récents.

Pour les entreprises du secteur fintech, la compromission d'un prestataire d'identité constitue un risque systémique. Près d'un million de clients sont désormais exposés à des tentatives de phishing ciblé, d'usurpation d'identité ou de fraude financière. L'incident pose aussi la question de la sécurité des architectures blockchain censées offrir des garanties supplémentaires de protection des données.

Ce qu'il faut retenir

• Le voice phishing ciblant les comptes SSO (Okta, Azure AD) est devenu un vecteur d'attaque majeur en 2026 : sensibilisez vos équipes IT à ce risque spécifique.
• Près d'un million de comptes compromis : les utilisateurs de Figure doivent surveiller toute activité suspecte et modifier leurs identifiants.
• Vérifiez votre exposition sur Have I Been Pwned et activez l'authentification multifacteur résistante au phishing (FIDO2/WebAuthn) sur tous vos comptes critiques.

Un mode opératoire déjà documenté chez Okta

La campagne revendiquée par ShinyHunters n'est pas un cas isolé. Elle rappelle directement l'incident de 2023 où des attaquants avaient exploité le support client d'Okta pour accéder aux tokens de session de plusieurs clients, ainsi que la vague d'extorsion massive de 2024 liée aux instances Snowflake mal sécurisées, qui avait touché des dizaines d'entreprises via des identifiants volés et l'absence de MFA obligatoire. Dans les deux cas, le point commun reste le même : les attaquants ne cherchent pas à exploiter une faille technique dans le logiciel SSO lui-même, mais à contourner l'authentification humaine — support technique, helpdesk ou employés disposant de droits d'administration élevés. Le vishing, en particulier, s'appuie sur l'usurpation d'identité téléphonique (spoofing de numéro interne, faux ticket IT) pour convaincre la victime de réinitialiser un mot de passe ou d'approuver une notification MFA frauduleuse.

ShinyHunters, un acteur central de l'écosystème d'extorsion

Le groupe ShinyHunters, actif depuis 2020, s'est progressivement imposé comme l'un des courtiers de données les plus prolifiques du dark web. Après avoir initialement revendu des bases de données volées via des forums spécialisés, le collectif a évolué vers un modèle hybride combinant intrusion, extorsion directe des victimes et publication publique en cas de non-paiement — une tactique de pression désormais qualifiée de « double extorsion sans chiffrement », puisqu'aucun ransomware n'est déployé. Des chercheurs en threat intelligence associent régulièrement ShinyHunters à la mouvance plus large surnommée Scattered Lapsus$ Hunters, un agrégat informel de plusieurs groupes anglophones partageant techniques, infrastructures et parfois membres, déjà lié à des compromissions visant des géants du retail, de la santé et de la finance en 2025-2026.

Un risque de fraude en cascade pour les 967 000 comptes exposés

Si aucune donnée bancaire ou numéro de sécurité sociale n'a été confirmé dans le lot publié, la combinaison nom + date de naissance + adresse + téléphone constitue un kit quasi complet pour des attaques de SIM swapping et de phishing ciblé (spear phishing). Les clients de Figure, utilisateurs de produits de crédit adossés à des actifs blockchain, représentent une cible à forte valeur : leur profil socio-économique et leur familiarité avec les actifs numériques en font des candidats privilégiés pour des tentatives d'ingénierie sociale secondaires imitant la fintech elle-même.

Une obligation de transparence renforcée pour les sociétés cotées

En tant qu'émetteur coté au Nasdaq, Figure Technology Solutions est soumise aux règles de la SEC sur la divulgation des incidents matériels de cybersécurité, entrées en vigueur fin 2023, qui imposent un signalement sous quatre jours ouvrés lorsque l'incident est jugé significatif pour les investisseurs. Cette obligation s'ajoute aux exigences classiques de notification aux autorités de protection des données pour les résidents européens potentiellement concernés, renforçant la pression réglementaire sur les fintechs qui, par nature, concentrent des volumes élevés de données financières et d'identité sensibles.