Problème des voleurs de données dans les fintechs en Europe, au Moyen-Orient et en Afrique : 231 000 appareils compromis, 728 clés d’accès au système bancaire

Par Estelle Ruellan, chercheuse en renseignement sur les menaces

Entre janvier 2025 et mai 2026, plus de 821 000 journaux de vol de données contenant des identifiants fintech sont apparus sur des forums clandestins du monde entier. Près de 250 000 d'entre eux provenaient d'appareils situés en Europe, au Moyen-Orient et en Afrique (EMEA). Cela signifie que plus d'une machine compromise sur quatre ayant accès à des services fintech dans le monde se trouve en Europe, au Moyen-Orient ou en Afrique. Cette vulnérabilité touche tous les niveaux de la chaîne financière : comptes bancaires des particuliers, plateformes de paiement, services de transfert transfrontaliers et, surtout, les systèmes bancaires centraux qui traitent les transactions pour des institutions entières. Le volume mensuel de ces vols est en constante augmentation et les identifiants circulent déjà.

Principaux enseignements tirés des journaux de voleurs de technologies financières en EMEA

• Plus d'un appareil sur quatre exposé aux technologies financières dans le monde se trouve dans la zone EMEA. Au cours des 18 derniers mois, la zone EMEA a représenté 231 672 des 821 492 enregistrements d'identifiants fintech dans le monde, soit 28.21 % de l'exposition mondiale. 
• L'exposition mensuelle augmente en 2026. En 2025, les transactions fintech dans la zone EMEA s'élevaient en moyenne à 13 410 par mois. Au cours des cinq premiers mois de 2026, ce chiffre est passé à 14 150. 
• Les cinq principaux marchés d'Europe occidentale représentent 28.6 % de l'exposition totale aux technologies financières dans la zone EMEA, soit près de trois sur dix. La France domine le classement EMEA avec environ 15 000 grumes, devançant de peu le Royaume-Uni (14 600), l'Allemagne (14 200) et l'Italie (13 100). 
• Sept appareils compromis sur dix contenaient des identifiants de plateforme fintech/spécialisée. Les plateformes spécialisées en fintech comme Wise, Stripe, Klarna et Adyen dominent l'ensemble de données avec 181 469 logs (70.9 %), dépassant largement les banques traditionnelles (18.3 %), les banques challenger (10.5 %) et l'infrastructure bancaire (0.3 %). 
• 728 journaux de transactions ont révélé l'infrastructure qui alimente les banques elles-mêmes. Bien qu'il ne s'agisse que d'une fraction de l'ensemble de données, 728 journaux contenaient des identifiants pour des plateformes bancaires centrales telles que Thought Machine, Temenos, Finastra et FIS Global, les moteurs qui traitent les transactions et gèrent les comptes de certaines des plus grandes institutions financières du monde.

L'ampleur de l'exposition de la zone EMEA

Au cours des 18 derniers mois, 821 492 journaux de vol de données contenant des identifiants d'accès à des plateformes fintech ont été partagés sur des forums clandestins du monde entier. La zone EMEA en a représenté 231 672, soit 28.21 % du total mondial. En clair, plus d'un appareil compromis sur quatre ayant accès aux technologies financières dans le monde provient de la région EMEA. 

Cette exposition régionale n'est pas nouvelle. Sur l'ensemble de la collection de Flare, 801 192 appareils infectés basés dans la zone EMEA ont fourni des identifiants fintech, et plus d'un quart (28.91 %) de ce total sont apparus au cours des 18 derniers mois seulement. 

La tendance semble s'accélérer. En 2025, plus de 160 922 logs relatifs aux fintechs de la zone EMEA sont apparus sur les forums clandestins, soit une moyenne d'environ 13 410 par mois. Au cours des cinq premiers mois de 2026, cette moyenne mensuelle a grimpé à environ 14 150, ce qui représente une augmentation de 6 %, avec 70 751 logs déjà partagés fin mai. 

Le graphique ci-dessus illustre le volume mensuel des enregistrements d'identifiants fintech de la zone EMEA de janvier 2025 à mai 2026. Les volumes ont atteint un pic en janvier 2025, dépassant les 24 000 enregistrements, avant de diminuer durant l'été pour atteindre un minimum d'environ 7 600 en août 2025, puis de se stabiliser dans une fourchette plus constante de 11 000 à 17 000 enregistrements par mois à partir de septembre 2025.

Répartition géographique au sein de la zone EMEA

Le graphique à barres horizontales ci-dessus présente les 25 principales sources de logs fintech dans la zone EMEA. La répartition géographique de ces logs révèle une exposition largement répartie sur l'ensemble de la région. La France arrive en tête avec environ 15 000 logs, suivie de près par le Royaume-Uni (environ 14 600), puis l'Allemagne (14 200) et l'Italie (13 100). L'Espagne complète le top 5 avec environ 9 300 logs. À eux cinq, ces marchés d'Europe occidentale représentent 28.6 % de l'exposition fintech dans la zone EMEA : près de trois logs fintech sur dix proviennent de ces cinq pays.

Au-delà de l'Europe occidentale, les données révèlent des volumes importants en provenance d'Afrique et du Moyen-Orient. Le Nigéria se classe au 6e rang avec 8 421 grumes, devançant tous les pays européens hors du top 5. L'Égypte et l'Algérie suivent avec respectivement 6 100 et 5 800 grumes, tandis que les Émirats arabes unis (5 235), le Kenya (5 029) et le Maroc (4 818) figurent également en bonne place. 

À partir de l'Afrique du Sud, la courbe s'aplatit et se divise en une longue traîne de pays contribuant chacun à hauteur d'environ 1 200 à 2 200 enregistrements, notamment l'Angola (2 163), le Ghana (2 058), la Hongrie (1 885), l'Arabie saoudite (1 788), la Belgique (1 749), la Tunisie (1 415), la Grèce (1 230) et la République tchèque (1 195). Cette large répartition souligne que le vol d'identifiants fintech ne se limite pas à quelques marchés phares, mais constitue un problème régional touchant des pays de toute l'Europe, du Moyen-Orient et de l'Afrique.

Services bancaires et fintech compromis

Une analyse par catégorie de service révèle que les plateformes fintech spécialisées dominent largement l'ensemble des données d'identification. Le graphique à barres horizontales ci-dessous illustre le volume de connexions par catégorie de service.

Plateformes Technologies financières et spécialisées : 181 469 enregistrements (70.9 %) 

Les plateformes comme Wise, Stripe, Klarna, GoCardless, Adyen et Zilch ne sont pas des banques. Elles ne gèrent pas de dépôts et ne proposent pas de comptes courants. Chacune est conçue autour d'une fonction financière spécifique : transferts d'argent internationaux, traitement des paiements, crédit à la consommation, prélèvement automatique ou connectivité bancaire ouverte. 

Un compte compromis sur ces plateformes pourrait permettre des transferts internationaux non autorisés, la manipulation des mandats de recouvrement de paiement, des achats frauduleux à crédit ou l'accès à l'infrastructure financière qui relie les comptes bancaires aux services tiers. 

Avec plus de 181,000 10 journaux d'activité, les identifiants de plateformes fintech spécialisées sont présents dans sept appareils infectés sur dix dans notre ensemble de données.

Banques traditionnelles et établies : 46 840 (18.3 %)

Plus de 18 % des fintechs de la zone EMEA disposaient d'un accès bancaire traditionnel. HSBC, Standard Chartered, BNP Paribas, Deutsche Bank, ING, Société Générale et Emirates NBD constituent le socle institutionnel du secteur bancaire de la zone EMEA. La plupart des gens y ont recours quotidiennement pour des opérations telles que les opérations bancaires, la paie, les prêts immobiliers et l'épargne. 

Dans ce contexte, des identifiants compromis donnent un accès direct aux comptes courants, à l'épargne, à l'historique des transactions et aux données financières personnelles. Contrairement aux plateformes spécialisées où l'exposition est généralement limitée à une seule fonction, un compte bancaire traditionnel constitue le centre névralgique des finances : les versements de salaire, les remboursements d'emprunt immobilier, les prélèvements automatiques et les transactions par carte y transitent tous, faisant de chaque identifiant compromis une porte d'entrée vers un profil financier complet. 

Banques numériques alternatives : 26 942 (10.5 %)

Revolut, Monzo, N26 et leurs concurrents sont des banques mobiles conçues pour rivaliser avec les établissements traditionnels. Avec près de 27 000 transactions enregistrées, les néobanques sont devancées par les banques traditionnelles en volume absolu, mais représentent une part significative de 10.5 % des transactions fintech de la zone EMEA. Le risque lié à la compromission d'un compte dans une néobanque est identique à celui d'une banque traditionnelle : accès complet au compte, aux soldes, à l'historique des transactions et possibilité d'effectuer des paiements ou des virements. 

Infrastructure bancaire (B2B) : 728 (0.3 %)

Bien que 728 journaux ne représentent qu'une fraction de l'ensemble des données, il s'agit sans doute de la catégorie la plus importante de tout le rapport. 

Les infrastructures bancaires telles que Thought Machine, Tenemos, Finastra ou FIS Global conçoivent les systèmes bancaires centraux, les infrastructures de paiement et les systèmes de comptabilité sur lesquels fonctionnent les banques et les fintechs. Parmi leurs clients figurent certaines des plus grandes institutions financières au monde.  

La compromission des identifiants d'accès à l'infrastructure bancaire pourrait exposer l'infrastructure qui traite les transactions, gère les comptes, calcule les intérêts et veille au respect des règles de conformité pour des millions de clients dans de multiples institutions, simultanément. Un acteur malveillant ayant accès à une plateforme bancaire centrale pourrait, selon son niveau de privilège, consulter ou manipuler la structure des comptes dans les banques clientes, interférer avec la logique de traitement des transactions ou perturber les opérations comptables à grande échelle. 

La compromission d'un seul identifiant d'infrastructure bancaire peut avoir des répercussions sur l'ensemble des institutions utilisant cette infrastructure. Cet ensemble de données en contient 728. 

Il est important de noter que les plateformes d'infrastructure bancaire ne proposent aucun compte client. Aucun « client » ne se connecte à Temenos ou à Thought Machine. Chacun de ces 728 identifiants appartient potentiellement à un ingénieur, un consultant ou un spécialiste de l'intégration travaillant sur des systèmes alimentant des banques de données. Ces journaux suggèrent que les machines compromises étaient utilisées pour des activités professionnelles, ce qui en fait des infections de machines d'entreprise plutôt que de particuliers.

Exposition des clients par rapport à celle des employés 

Sur les 231 672 journaux d'activité fintech de la zone EMEA collectés au cours des 18 derniers mois, 954 contenaient à la fois un identifiant de plateforme fintech et une adresse e-mail professionnelle appartenant à la même entreprise. La présence d'une adresse e-mail professionnelle et d'un accès à la plateforme sur le même appareil infecté suggère fortement que la machine était utilisée à des fins professionnelles, ce qui signifie que la personne compromise n'est pas un client, mais un employé. L'exposition des données d'une entreprise présente un profil de risque fondamentalement différent : un seul identifiant d'employé compromis peut permettre à un acteur malveillant de s'infiltrer dans les systèmes internes, bien au-delà de ce qu'un compte client pourrait offrir. Ces 954 journaux, combinés aux 728 identifiants d'infrastructure bancaire, révèlent une surface d'attaque en entreprise que les simples volumes de données ne permettent pas de saisir.

Nous approfondirons ces analyses en examinant deux pays : la France et le Royaume-Uni.

Analyse approfondie n° 1 : L’exposition de la France

La France a enregistré 15 043 signalements de vol de données au cours des 18 derniers mois. Le graphique ci-dessous illustre l'évolution mensuelle de cette activité sur la période. Le volume mensuel de signalements de vol de données fintech en France reflète la tendance générale observée dans la zone EMEA, bien qu'à une échelle beaucoup plus réduite. La France a enregistré en moyenne 1 258 signalements de vol de données fintech par mois en 2025 et 1 844 par mois depuis le début de 2026, soit une augmentation de 47 % du volume mensuel, nettement supérieure à la hausse de 6 % enregistrée dans la zone EMEA. Il convient toutefois de noter que le chiffre de 2026 ne couvre que cinq mois ; il ne s'agit donc pas d'une comparaison sur une année complète.

La ligne bleue, représentant le volume mensuel de la France, montre une tendance à la hausse à partir de septembre 2025, un pic marqué en janvier 2026 et une stabilisation autour de 1 800 grumes par mois jusqu'en 2026, reflétant la tendance mondiale de la zone EMEA.

Services bancaires et fintech compromis

La France se distingue par la diversité des certifications fintech et bancaires recensées dans ses registres. Alors que les données de la zone EMEA sont principalement dominées par les certifications de plateformes fintech spécialisées, les registres français se caractérisent par deux catégories : les néobanques et les plateformes fintech spécialisées.

Plateformes spécialisées en technologies financières : 11 666 enregistrements (91.6 % des appareils)

Les identifiants de plateformes spécialisées en fintech sont apparus dans environ neuf appareils français compromis sur dix (10 13,781 journaux, 91.6 %), dépassant largement l'équivalent EMEA de 70.9 %. 

Principales plateformes fintech spécialisées dans les logs français :

Banques numériques alternatives : 5 044 enregistrements (71.7 % des appareils)

C’est sur ce point que la France se distingue le plus du profil régional. Les identifiants de banques alternatives ont été retrouvés sur environ sept appareils français compromis sur dix (70 %), contre seulement 10.5 % dans la zone EMEA. La domination de N26 (10 9,474 enregistrements) suggère une adoption particulièrement importante de cette plateforme parmi les utilisateurs français dont les appareils ont été compromis par des voleurs d’informations. 

Principales banques numériques challenger en France :

Banques traditionnelles et établies : 5.2 % des appareils

Les banques traditionnelles et établies présentent un tableau différent : elles apparaissent dans un peu plus de 5 % des appareils compromis en France, contre 18.3 % dans la zone EMEA. Ces tendances pourraient indiquer une adoption plus large des néobanques en France que dans le reste de la région, ainsi qu’une présence moins marquée des banques traditionnelles.

Principales banques traditionnelles établies dans le secteur des bûches français :

Infrastructure bancaire (B2B) : 21 journaux (0.1 % des appareils)

Les identifiants d'infrastructure bancaire (B2B) étaient rares, présents sur seulement 21 appareils français, soit 0.1 % des journaux fintech français. Malgré cette faible proportion, il est à noter qu'il s'agit d'identifiants de plateformes bancaires centrales, dont 19 sur 21 liés à FIS Global.

Remarque : un seul appareil peut contenir des identifiants pour plusieurs fournisseurs, les chiffres par catégorie se chevauchent donc et ne correspondent pas au total national.

Exposition des clients par rapport à celle des employés 

Sur les 15 043 journaux d'activité fintech français collectés au cours des 18 derniers mois, 73 contenaient à la fois un identifiant de plateforme fintech et une adresse e-mail professionnelle appartenant à la même entreprise. La présence d'une adresse e-mail professionnelle et d'un accès à la plateforme sur le même appareil infecté suggère fortement que la machine était utilisée à des fins professionnelles, ce qui signifie que la personne compromise n'est pas un client mais un employé. L'exposition des données d'une entreprise présente un profil de risque fondamentalement différent : un seul identifiant d'employé compromis peut donner à un acteur malveillant un accès aux systèmes internes, bien plus étendu que celui qu'un compte client pourrait offrir. 

Les cinq principaux domaines d'exposition des employés :

BNP Paribas représente à elle seule 40 des 73 appareils, soit environ 55 % de l'exposition des employés français du secteur fintech. Cette concentration n'est pas surprenante : BNP Paribas, l'une des plus grandes banques françaises et dont le siège social est en France, emploie de loin le plus grand nombre de Français parmi les entreprises étudiées. Il est donc naturel que les appareils utilisés par les employés basés en France soient majoritairement en provenance de cette banque. Worldline, une société française de paiements, suit la même logique.

Des institutions étrangères telles que Nationwide et HSBC (Royaume-Uni), Deutsche Bank (Allemagne), ING (Pays-Bas) et Flutterwave (Afrique) apparaissent également sur les appareils d'employés situés en France présentant des cas d'exposition. Dans ce cas, la géolocalisation correspond à l'emplacement de la machine infectée, et non à celui de l'entreprise. Il pourrait donc s'agir d'employés basés en France travaillant dans des bureaux locaux de multinationales ou de télétravailleurs.

Dans l'ensemble, l'exposition des employés représente une petite partie des journaux de transactions des fintechs françaises, mais une part qualitativement différente. Alors que les données relatives aux identifiants clients présentées dans ce rapport mettent en évidence un risque de fraude à la consommation, ces 73 appareils révèlent un risque lié à la chaîne d'approvisionnement et à l'accès non autorisé : des terminaux infectés utilisés par le personnel pourraient servir de vecteur d'accès initial au sein même des institutions.

Deuxième analyse approfondie : L’ampleur de l’exposition du Royaume-Uni

Au Royaume-Uni, le problème des journaux de vol de données fintech progresse plus rapidement que dans la région, et les données volées diffèrent des normes de la zone EMEA. Au cours des 18 derniers mois, 14 567 journaux de vol contenant des identifiants fintech provenant d'appareils britanniques sont apparus sur des forums clandestins. Le volume mensuel a bondi de 48 % entre 2025 et les cinq premiers mois de 2026, soit huit fois plus que la hausse de 6 % observée dans l'ensemble de la zone EMEA (il convient de noter que le chiffre de 2026 ne couvre que cinq mois, il ne s'agit donc pas d'une comparaison sur une année complète). Plus frappant encore : les identifiants de banques traditionnelles apparaissent sur plus des trois quarts des appareils britanniques compromis, un taux quatre fois supérieur à la moyenne EMEA. Alors que l'exposition de la région se concentre principalement sur les plateformes fintech spécialisées, le profil du Royaume-Uni révèle une population dont les appareils compromis contiennent régulièrement les clés des services bancaires traditionnels. Le volume mensuel des transactions fintech au Royaume-Uni reflète globalement la tendance de la zone EMEA, mais à une échelle beaucoup plus faible et avec un profil plus plat, affichant une variation mensuelle moindre que les chiffres globaux représentés par la ligne pointillée verte.

La ligne bleue, représentant le volume mensuel du Royaume-Uni, montre une tendance à la hausse à partir d'avril 2025, un pic marqué en janvier 2026 et une stabilisation autour de 1 800 bûches par mois jusqu'en 2026. Ce calendrier distingue le Royaume-Uni du reste de la région : alors que la ligne EMEA (verte, en pointillés) diminue de janvier 2025 à août 2025 avant de remonter, la hausse du Royaume-Uni commence quatre mois plus tôt, en avril 2025.

Services bancaires et fintech compromis

Le Royaume-Uni se distingue par la diversité des catégories d'accréditation fintech et bancaires présentes dans ses registres. Le volume mensuel d'accréditations fintech au Royaume-Uni reflète globalement la tendance observée dans la zone EMEA, mais à une échelle moindre et avec un profil plus stable, présentant une variation mensuelle plus faible que la moyenne régionale (ligne pointillée verte). Alors que les données de la zone EMEA sont dominées par les accréditations des plateformes fintech spécialisées, les registres britanniques se répartissent en deux catégories : les plateformes fintech spécialisées et les banques traditionnelles.

Plateformes spécialisées en technologies financières : 11 666 enregistrements (80.1 % des appareils)

Les identifiants de plateformes fintech spécialisées étaient présents dans environ huit appareils compromis sur dix au Royaume-Uni (10 11,666 journaux, soit 80.1 %), tandis que ceux des banques traditionnelles étaient présents dans environ sept appareils sur dix (10 11,154 journaux, soit 76.6 %). La part des plateformes spécialisées est légèrement supérieure à celle observée dans la zone EMEA (70.9 %), mais le chiffre concernant les banques traditionnelles est nettement supérieur, dépassant largement les 18.3 % constatés dans l’ensemble de la zone EMEA.

Principales plateformes fintech spécialisées au Royaume-Uni :

Banques traditionnelles et établies : 11 154 enregistrements (76.6 % des appareils)

C’est là que le Royaume-Uni se distingue le plus du profil régional. Les identifiants bancaires traditionnels étaient présents sur environ sept appareils compromis sur dix au Royaume-Uni, contre seulement 18.3 % dans la zone EMEA. Cet écart de quatre fois est la caractéristique la plus marquante du Royaume-Uni dans l’ensemble de données.

Principales banques traditionnelles établies au Royaume-Uni :

Banques numériques alternatives : 5 044 enregistrements (35.2 % des appareils)

Les néobanques numériques constituent un autre point de différenciation, présentes dans 35.2 % des journaux de bord au Royaume-Uni contre 10.5 % dans la zone EMEA. Ces tendances, prises ensemble, pourraient indiquer une adoption plus large des néobanques numériques au Royaume-Uni que dans le reste de la région, ainsi qu'une présence nettement plus importante des banques traditionnelles établies que la moyenne EMEA.

Les principales banques numériques challenger au Royaume-Uni :

Infrastructure bancaire (B2B) : 53 journaux (0.4 % des appareils)

Les identifiants d'infrastructure bancaire (B2B) étaient rares : on ne les a trouvés que sur 53 appareils au Royaume-Uni, soit 0.4 % des journaux fintech britanniques. Malgré cette faible proportion, il est à noter qu'il s'agit d'identifiants de plateformes bancaires centrales, dont 48 sont liés à FIS Global.

Remarque : un seul appareil peut contenir des identifiants pour plusieurs fournisseurs, les chiffres par catégorie se chevauchent donc et ne correspondent pas au total national.

Exposition des clients par rapport à celle des employés 

Sur les 14 567 journaux d'activité de fintechs britanniques collectés au cours des 18 derniers mois, 126 contenaient à la fois un identifiant de plateforme fintech et une adresse e-mail professionnelle appartenant à la même entreprise. La présence d'une adresse e-mail professionnelle et d'un accès à la plateforme sur un même appareil infecté suggère fortement que la machine était utilisée à des fins professionnelles, ce qui signifie que la personne compromise est très probablement un employé plutôt qu'un client. Cette situation présente un profil de risque fondamentalement différent : un seul identifiant d'employé compromis peut donner à un attaquant un accès aux systèmes internes, aux outils privilégiés ou aux tableaux de bord d'administration, bien au-delà de ce qu'un simple compte client pourrait offrir.

Les cinq principaux domaines d'exposition des employés :

L'exposition est largement répartie plutôt que concentrée dans un seul établissement. Deutsche Bank arrive en tête avec 27 des 126 appareils (environ 21 %), suivie de FIS Global (20) et HSBC (19), le reste étant représenté par une multitude d'autres établissements. Le secteur bancaire traditionnel dans son ensemble constitue la principale source d'exposition, avec sept établissements, ce qui reflète la forte présence de ce secteur observée précédemment dans ce rapport.

Contexte de géolocalisation

La géolocalisation indique l'emplacement de l'appareil infecté, et non celui du siège social de l'entreprise. Des sociétés étrangères comme Deutsche Bank (Allemagne), Nubank (Brésil), N26 (Allemagne), BNP Paribas (France), Santander (Espagne), Mollie (Pays-Bas), Worldline (France) et Flutterwave (Afrique) apparaissent toutes sur des appareils situés au Royaume-Uni. Il est fort probable qu'il s'agisse d'employés basés à Londres, de télétravailleurs ou d'employés de passage dans la région. 

La concentration des infrastructures bancaires

La découverte la plus importante concerne l'infrastructure bancaire. FIS Global (20 appareils) et Temenos (deux appareils) ont compromis des identifiants. À elle seule, FIS Global représente la deuxième plus grande exposition parmi l'ensemble des données relatives à l'exposition des employés au Royaume-Uni. Compte tenu de l'impact disproportionné d'une compromission de la chaîne d'approvisionnement à ce niveau, cette concentration constitue la découverte la plus significative en matière d'exposition des employés au Royaume-Uni.

Que signifie l'exposition des employés ?

Dans l'ensemble, l'exposition des employés représente une petite partie des journaux de sécurité des fintechs britanniques, mais une part qualitativement différente, concentrée sur les grandes institutions internationales et, surtout, sur les fournisseurs d'infrastructures bancaires qui sous-tendent l'ensemble du secteur. Alors que les conclusions relatives aux identifiants clients présentées ailleurs dans ce rapport mettent en évidence un risque de fraude à la consommation, ces 126 appareils révèlent un risque lié à la chaîne d'approvisionnement et à l'accès non autorisé : des terminaux infectés utilisés par le personnel pourraient servir de vecteurs d'accès initiaux aux institutions et aux plateformes qui sont au cœur de la finance britannique.

Contexte réglementaire : Pourquoi ces données sont importantes dans le cadre des lois DORA et NIS2

Pour les institutions financières de la zone EMEA, l'exposition aux journaux de voleurs de données constitue un enjeu à la fois de sécurité et de conformité réglementaire. La loi DORA (Digital Operational Resilience Act), désormais en vigueur dans toute l'UE, impose des obligations spécifiques aux banques, aux assureurs et aux entités financières, qui correspondent directement aux conclusions de ce rapport.

• L'article 8 de la loi DORA (Identification) impose aux entités financières d'évaluer les cybermenaces et les vulnérabilités des systèmes d'information de gestion (SIG) liées à leurs activités. Les journaux de vol d'identifiants contenant les données de votre organisation constituent précisément ce type de menaces. Les solutions de surveillance des menaces externes, d'analyse d'identité et de surveillance du Dark Web de Flare répondent directement à cette exigence.
• L’article 13 de la DORA (Apprentissage et évolution) exige la collecte continue d’informations et de renseignements concernant les vulnérabilités et les cybermenaces. Le flux mensuel de journaux d’identifiants fintech (14 150 en moyenne par mois dans la zone EMEA en 2026) constitue une menace que les entités réglementées sont désormais tenues de suivre.
• L'article 17(3) de la loi DORA (Indicateurs d'alerte précoce) impose aux entités de mettre en place des indicateurs d'alerte précoce dans leurs processus de gestion des incidents. Un journal des voleurs contenant les identifiants des employés constitue un indicateur d'alerte précoce : il apparaît avant la prise de contrôle du compte, offrant ainsi aux équipes de sécurité le temps d'agir. Les fonctionnalités d'alerte et de reporting de Flare permettent cette intégration.
• L'article 3 de la loi DORA (Diligence raisonnable à l'égard des tiers) exige une évaluation des risques liés aux sous-traitants assurant des fonctions critiques. Les 728 journaux d'incidents concernant l'infrastructure bancaire (Thought Machine, Temenos, Finastra, FIS Global) illustrent concrètement cette obligation. Si votre établissement utilise une plateforme bancaire centrale dont les compétences des ingénieurs circulent clandestinement, il s'agit d'un risque lié aux TIC tiers que la loi DORA vous impose d'identifier.

Dans le cadre de la norme NIS2, la situation est similaire. L'article 22 (Sécurité de la chaîne d'approvisionnement) exige des entités qu'elles prennent en compte les risques de cybersécurité chez leurs prestataires de services, et l'article 23 (Obligations de déclaration) impose le signalement des incidents graves dans les 24 heures. L'identification des identifiants compromis avant leur exploitation transforme un incident à déclarer en une action corrective proactive.

La plateforme de veille sur les menaces axée sur l'identité de Flare permet aux institutions financières de surveiller précisément les expositions documentées dans ce rapport : identifiants compromis sur les forums clandestins, renseignements sur l'identité des employés et des tiers, et alertes automatisées qui soutiennent les obligations d'alerte précoce et de veille continue exigées par la DORA.

Comment les équipes de sécurité des fintechs peuvent réagir

Les journaux d'identifiants fintech ne constituent pas un problème marginal. Au cours des 18 derniers mois, près de 250 000 appareils de la zone EMEA contenant des identifiants fintech ont fait leur apparition sur des plateformes clandestines, avec des volumes mensuels en hausse de 6 % jusqu'en 2026 et sans aucun signe de ralentissement.  

À cette échelle, l'exposition représente une menace systémique pour les finances des consommateurs, l'infrastructure des paiements et l'intégrité opérationnelle des institutions qui sous-tendent le système financier de la région. 

L'ampleur du phénomène justifie à elle seule l'attention, mais le véritable sujet de préoccupation réside dans le contenu de ces journaux. L'ensemble de données capture en une seule opération toutes les couches de la chaîne financière : les banques où sont versés les salaires, les fintechs qui transfèrent de l'argent à l'international, les systèmes de paiement qui traitent les transactions des commerçants et l'infrastructure centrale qui assure le fonctionnement de l'ensemble. 

Tous les identifiants ne se valent pas. Les 728 journaux d'infrastructure bancaire représentent certes un faible pourcentage, mais chacun d'eux donne potentiellement à un acteur malveillant l'accès aux systèmes qui gèrent les banques. L'impact d'un seul identifiant d'infrastructure compromis est bien plus important que celui d'un journal d'activité d'un utilisateur lambda. Les institutions financières de la zone EMEA ne doivent pas confondre faible volume et faible risque.

Les institutions financières de la zone EMEA gagneraient à considérer l'exposition aux journaux de voleurs de données non pas comme une statistique de cybercriminalité, mais comme un indicateur de risque opérationnel. Ces identifiants existent déjà. La question est de savoir s'ils sont détectés en premier par les équipes de sécurité.

Méthodologie

Banques traditionnelles / établies (10) Standard Chartered, HSBC, Nationwide, Santander, NatWest, BNP Paribas, Deutsche Bank, ING, Société Générale, Emirates NBD

Banques numériques / néobanques (14) Monzo, Revolut, Atom Bank, Zopa, Zempler Bank, Kroo, Starling Bank, N26, bunq, Nubank, Chime, Wio Bank, Zand Bank, TymeBank

Plateformes Technologies financières / Spécialisées (17) Wise, GoCardless, Zilch, Stripe, Adyen, Klarna, Checkout.com, Worldline, Mollie, SumUp, Flutterwave, Paystack, Plaid, TrueLayer, Tink, Yapily, Marqeta

Infrastructure bancaire / B2B (12) Thought Machine, Temenos, Finastra, Mambu, 10x Banques, Backbase, FIS, Solaris, ClearBank, Form3, Modulr, Banques Circle