MoneyGram : TheGentlemen ransomware exfiltre 42 000 comptes

Les faits

Le groupe de ransomware TheGentlemen a ajouté MoneyGram à son site de fuite sur le darknet le 12 octobre 2026, revendiquant une intrusion dans les systèmes du géant mondial des transferts de fonds. MoneyGram opère dans plus de 200 pays et territoires, desservant environ 60 millions de clients actifs, et traite des milliards de dollars de transactions chaque année. La revendication s'accompagne d'un ultimatum : si MoneyGram n'entre pas en négociation dans les dix jours suivant la publication, les données seront diffusées publiquement.

Les données de monitoring infostealer compilées par les chercheurs de DeXpose et DailyDarkWeb dressent un tableau préoccupant : 42 454 comptes compromis, 198 771 mots de passe exposés, 48 107 cookies de session exfiltrés, 5 employés directs compromis et 8 données de prestataires tiers. Ces chiffres sont issus d'une analyse des infostealer actifs — des malwares spécialisés dans l'exfiltration de credentials qui avaient préalablement infecté des postes d'employés ou de clients. Ils ne représentent pas nécessairement le périmètre total de la brèche, mais constituent un plancher minimal de ce qui est documenté.

MoneyGram n'a émis aucune déclaration confirmant ou infirmant l'incident au moment de la publication de cet article. Cette absence de communication est cohérente avec la pratique habituelle des entreprises victimes qui cherchent à évaluer l'étendue de la compromission avant de communiquer publiquement. Security Magazine relève que TheGentlemen n'est pas connu pour fabriquer ses revendications — le groupe a un historique de publications vérifiables, ce qui confère une crédibilité significative à cette revendication.

TheGentlemen est un groupe de ransomware relativement récent mais particulièrement actif en 2026. Dans le même batch de revendications du 12 octobre, le groupe a également listé Deloitte, KFC et plusieurs autres organisations multinationales — une stratégie de publication groupée visant à maximiser la pression médiatique et à accélérer les négociations avec chaque victime. Selon le tracker Ransomware.live, TheGentlemen a revendiqué plus de 85 victimes depuis janvier 2026, avec un taux de confirmation supérieur à 70% sur les cas vérifiables.

Le vecteur d'entrée de l'attaque n'a pas été divulgué. Compte tenu de la présence de données infostealer dans la compromission, deux scénarios sont plausibles. Premier scénario : un ou plusieurs employés MoneyGram ont été victimes d'un malware infostealer qui a exfiltré leurs credentials d'accès aux systèmes internes, offrant à TheGentlemen un point d'entrée initial via des accès VPN ou des portails RH. Deuxième scénario : l'attaque a commencé par une exploitation de vulnérabilité sur un système exposé, et les données infostealer ont été collectées dans un second temps lors de la phase de reconnaissance interne.

L'impact potentiel pour les clients de MoneyGram est considérable. La plateforme collecte des données financières sensibles : identité des expéditeurs et bénéficiaires, montants transférés, numéros de compte bancaire ou de carte dans certains cas, numéros de téléphone et adresses postales. Pour des populations de migrants utilisant MoneyGram pour envoyer de l'argent à leurs familles dans des pays à risque, une fuite de ces données peut avoir des conséquences qui dépassent le cadre financier.

La CISA et le CERT-FR n'ont pas encore publié d'avis sur cet incident. Le régulateur financier américain FinCEN a indiqué qu'il surveille la situation et attend de MoneyGram une notification formelle dans les délais réglementaires prévus par le Bank Secrecy Act. En Europe, les régulateurs des pays où MoneyGram opère sous licence de prestataire de services de paiement pourraient exiger une notification sous 72 heures si la compromission est confirmée, conformément aux exigences NIS2 et DORA applicables depuis le 17 janvier 2025.

Du point de vue de la réponse à incident, l'absence de confirmation officielle place les clients et partenaires commerciaux dans une incertitude difficile à gérer. Les organisations qui utilisent MoneyGram pour des paiements B2B transfrontaliers devraient traiter cette situation selon le principe de précaution : considérer les données partagées avec MoneyGram comme potentiellement exposées et prendre les mesures de protection appropriées. L'ultimatum de 10 jours expire autour du 22 octobre 2026 — une date clé pour surveiller l'évolution de la situation.

Impact et exposition

Les 60 millions de clients actifs de MoneyGram dans plus de 200 pays sont potentiellement exposés, en particulier ceux ayant effectué des transactions dans la période précédant le 12 octobre 2026. Les employés et prestataires de MoneyGram ayant accès aux systèmes internes sont directement touchés selon les données infostealer. Les organisations partenaires qui utilisent l'API MoneyGram pour intégrer des capacités de transfert dans leurs propres applications doivent vérifier si leurs clés d'API ou credentials d'intégration figurent parmi les données compromises.

Recommandations

• Immédiat : changer le mot de passe de votre compte MoneyGram et activer l'authentification à deux facteurs si disponible.
• Surveiller vos relevés bancaires pour toute transaction non autorisée liée à des transferts MoneyGram.
• Si vous êtes une organisation utilisant les services MoneyGram pour des paiements, contacter votre interlocuteur commercial pour obtenir une confirmation officielle de l'absence de compromission de vos données.
• Les équipes conformité et DPO doivent évaluer si cet incident déclenche une obligation de notification RGPD/NIS2 pour votre organisation.
• Surveiller l'évolution au 22 octobre 2026 : date d'expiration de l'ultimatum — si les données sont publiées, une analyse du périmètre exposé s'imposera rapidement.