Les autorités françaises ouvrent une enquête après une fuite de données massives chez Waltio

La sécurité des données crypto vacille une fois de plus. La plateforme française Waltio, spécialisée dans les déclarations fiscales, a été victime d’une fuite massive d’informations sensibles. En réponse, une enquête a été ouverte par les autorités françaises, mobilisant la Gendarmerie nationale. Cet incident relance les inquiétudes sur la vulnérabilité des services liés aux cryptos, y compris ceux hors blockchain. Alors que l’usage des outils fiscaux se généralise, la confiance des utilisateurs est mise à rude épreuve.

Une attaque ciblée sur les données fiscales des utilisateurs

Dans un communiqué publié le 23 janvier, la société Waltio a reconnu avoir été victime d’un accès non autorisé à certaines données utilisateurs, alors que les attaques physiques contre des acteurs de l’univers crypto sont de plus en plus courantes en France.

L’incident, survenu à la suite d’un piratage, a permis à un acteur malveillant d’exfiltrer des données issues de rapports fiscaux générés en 2023, concernant l’année fiscale 2022. Waltio précise que « les éléments exposés sont uniquement les adresses e-mail et les données agrégées des rapports fiscaux (soldes, plus-values, moins-values, etc.) ». L’entreprise affirme que les mots de passe, clés API, transactions détaillées, données bancaires et adresses de wallets « n’ont pas été compromis ».

Voici les principales informations confirmées à ce stade :

• Le type d’attaque : il s’agit d’un accès illégal à des fichiers générés par la plateforme, sans intrusion dans le système central ni compromission des serveurs ;
• Les données exposées : adresses email, soldes de portefeuilles, plus-values et moins-values agrégées ;
• Les données non compromises : mots de passe, clés API, informations bancaires, adresses de portefeuilles crypto, transactions détaillées ;
• La réaction officielle : l’ouverture d’une enquête préliminaire par le parquet de Paris, confiée à l’Unité nationale cyber de la Gendarmerie ;
• L’auteur potentiel : plusieurs éléments techniques laissent penser à une action du groupe de hackers ShinyHunters, sans confirmation officielle pour l’instant.

Le site gouvernemental Cybermalveillance.gouv.fr a rapidement relayé l’alerte, rappelant que « des données personnelles sensibles liées aux cryptos pourraient avoir été exfiltrées ». Les autorités insistent sur l’importance de la prudence pour les utilisateurs concernés, notamment vis-à-vis de contacts non sollicités, même émis sous couvert d’autorités officielles.

Des risques d’usurpation et d’arnaques ciblées en cascade

Au-delà de la fuite des elle-même, les autorités françaises alertent désormais sur les risques secondaires découlant de cette compromission.

Cybermalveillance.gouv.fr indique que les informations dérobées pourraient servir à « usurper l’identité des victimes dans le but de leur soutirer de l’argent, des données ou un accès à leurs portefeuilles numériques ». Le site souligne également l’existence de tentatives de contact frauduleux, émanant de personnes se présentant comme des agents publics ou des représentants de services de sécurité, afin de piéger les utilisateurs des produits crypto, en particulier du bitcoin.

Les recommandations publiées par les autorités insistent sur l’importance de ne jamais divulguer de phrases de récupération, mots de passe ou codes de sécurité, même en cas de demande urgente. Les utilisateurs sont également invités à renforcer la sécurité de leur messagerie électronique, principal vecteur de contact utilisé dans ce type d’attaque. La CNIL a été informée de l’incident et pourrait être amenée à se prononcer sur les éventuelles responsabilités en matière de protection des données.

Cette fuite souligne la fragilité des acteurs intermédiaires de l’écosystème crypto, à l’heure où les exigences de transparence s’intensifient avec MiCA. Alors que la régulation progresse, la sécurisation des données devient un enjeu majeur pour préserver la confiance des utilisateurs et éviter que ces incidents ne se multiplient.