Fuite de données, paralysie du secteur financier : ce qu’il faut savoir sur la cyberattaque contre Harvest

Le 27 février, un vent de panique soufflait sur le monde français de l’épargne: Harvest, l’un des leaders des logiciels financiers, subissait une cyberattaque d’une ampleur inédite. Le lendemain, une partie du système financier tricolore – conseillers en gestion de patrimoine, gestionnaires de fortune, assureurs, banques privées – se trouvait paralysée. Plus inquiétant encore, des données personnelles de clients d’institutions majeures comme la MAIF et BPCE ont ainsi été compromises, exposant les victimes à des risques accrus d’hameçonnage ciblé et d’usurpation d’identité. Voici ce qu’il faut savoir.

1. Une cyberattaque, des perturbations en cascade

Le 28 février, les partenaires de Harvest recevaient un mail d’alerte : leur fournisseur venait d’être ciblé par un «ransomware», un logiciel malveillant qui bloque les données en échange d’une rançon. «Cette attaque trouve son origine dans un serveur» hébergé «chez un de nos prestataires», expliquait l’entreprise française, qui a immédiatement informé les autorités compétentes (Cnil, Acpr...).

Lorsqu’il s’agit de données aussi sensibles que des informations bancaires, toutes les précautions sont de mise. Dans la foulée, Harvest bloque l’accès à l’ensemble de ses logiciels pour prévenir tout risque pendant l’enquête. Le problème : ses outils phares – O2S, Big ou encore Fidnet – sont utilisés quotidiennement par environ 80 % des conseillers en gestion de patrimoine, family offices et banques privées en France. «On est dans le noir depuis dix jours, confiait alors au Figaro  le patron d’un cabinet parisien. On n’a plus accès aux portefeuilles de nos clients, on ne peut plus passer d’ordres en ligne.» L’onde de choc gagne d’autres acteurs. Quelques jours après l’attaque, l’assureur Cardif, filiale de BNP Paribas, annonce à ses partenaires qu’il bloque l’accès à son extranet. MMA, de son côté, informe ses distributeurs qu’ils doivent lui envoyer leurs demandes uniquement «par voie postale».

Dans un mail envoyé à un client le 4 mars, que Le Figaro a pu consulter, Harvest indiquait n’avoir identifié aucune fuite de données, tout en poursuivant ses investigations.

2. Le spectre d’une fuite massive de données sensibles

Mais alors que Harvest relançait progressivement ses infrastructures, une nouvelle crainte gagne l’ensemble des partenaires de Harvest : celle d’une potentielle compromission massive de données personnelles sensibles. Courant mars, Maif Solutions Financières, filiale de l’assureur mutualiste français et l’un des principaux clients de Harvest, avertit ses clients d’un «accès non autorisé» à certaines de leurs informations sensibles, notamment leur situation patrimoniale, leurs revenus et leurs coordonnées. «Aucun mot de passe ni pièce d’identité ni RIB» n’a toutefois été exposé, rassure l’entreprise.

La semaine dernière, un autre grand client de Harvest tire la sonnette d’alarme : BPCE (Banque Populaire-Caisse d’Épargne). Contactée par L’Agefi, la banque indique que les cybercriminels ont pu consulter des données relatives à l’identité, aux encours et aux numéros de compte-titres de ses clients. Les 14 Banques Populaires et 15 Caisses d’Épargne seraient concernées. Contrairement à ceux de Maif Solutions Financières, les espaces clients de BPCE restent néanmoins accessibles.

3. Risques pour les clients : hameçonnage et usurpation d’identité

Une telle fuite de données n’est pas sans conséquence pour ceux dont les informations ont été dérobées. L’un des principaux risques reste l’hameçonnage ciblé : les pirates, en possession de données personnelles telles que le nom, l’état civil ou la situation professionnelle, peuvent tenter de piéger leurs victimes en les incitant à fournir des informations sensibles ou à effectuer des paiements frauduleux.

«S’ils ont leur numéro de téléphone, les escrocs peuvent même directement appeler les victimes, comme dans l’arnaque au faux conseiller bancaire, explique Jérôme Notin, directeur général de Cybermalveillance.gouv.fr, au Parisien . Ils vont se faire passer pour leur banquier ou leur assureur, leur dire qu’il y a des mouvements frauduleux sur leur compte, qu’il faut changer les mots de passe, faire des virements vers des comptes sécurisés…»

Autre menace d’ampleur : l’usurpation d’identité. Les informations compromises, notamment l’identité et les numéros de comptes-titres (dans le cas de BPCE), peuvent être exploitées par les hackers pour ouvrir des comptes frauduleux ou contracter des crédits au nom des victimes. Face à ces risques, les personnes concernées doivent redoubler de vigilance. Il est essentiel de surveiller ses comptes bancaires et de se méfier des communications suspectes, par téléphone et par mail notamment.

4. Enjeux de cybersécurité : une fragilité révélée

Cette affaire illustre la fragilité croissante du secteur financier face aux cyberattaques. La position quasi-monopolistique d’Harvest, renforcée par le rachat de son principal concurrent Many More en 2022, ne faisant qu’accentuer l’effet boule de neige dans le secteur.

Le 12 mars dernier, le Sénat a adopté un projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité. L’objectif : «changer d’échelle» face aux menaces croissantes de cyberattaques. Parmi les mesures phares figurent une gestion des risques renforcée, l’adoption de protocoles adaptés en cas d’attaque, la déclaration obligatoire des incidents de sécurité et un partage accru d’informations avec l’Agence nationale de la sécurité des systèmes d’information (Anssi).