Bourse Direct : incident confirmé par le courtier, nom, numéro de compte et IBAN exposés, 800 comptes concernés selon Cyberattaque.org

Dans la nuit du mardi 27 au mercredi 28 octobre 2026, un acte de cyber-malveillance a affecté des données personnelles de clients de Bourse Direct, courtier en ligne parisien créé en 1996 et proposant comptes-titres, PEA et produits d’épargne. L’incident est connu par le courriel que le courtier a adressé aux personnes concernées : Cyberattaque.org en a obtenu une copie et l’a publiée le 30 octobre 2026, le jour où Fuites Infos en a diffusé des captures, et Bonjour la fuite en reproduit deux captures (objet « Information importante concernant la sécurité de vos données personnelles », expéditeur noreply@boursedirect.fr), de sorte que le courriel constitue ici la source primaire. Ces captures confirment la nuit du 27 au 28 octobre 2026 et les trois catégories de données, mais ne portent pas de date d’envoi et s’arrêtent avant la fin du message. Aucun communiqué public de l’entreprise n’a été relevé dans les sources consultées, et un communiqué réglementé à l’attention de l’AMF n’a pas été retrouvé. La date de révélation retenue est celle du 30 octobre 2026, première publication datée du courriel ; l’entrée de Bonjour la fuite du 27 octobre correspond à la date de l’incident, antérieure à l’envoi.

Sur l’ampleur, Cyberattaque.org indique que Bourse Direct lui a confirmé, après contact, que 800 comptes sont concernés, soit environ 0,18 % des près de 435 000 comptes clients annoncés par le courtier dans son communiqué financier du 14 octobre 2026. Ce chiffre n’a été recueilli que par ce média, Menow le reprenant en citant explicitement Cyberattaque.org, et Fuites Infos ne communique aucun nombre. Il porte sur des comptes, et rien n’établit qu’ils correspondent à 800 personnes distinctes, ni que tous aient subi la même exposition. Le courtier n’a pas précisé combien de temps les données sont restées accessibles ni si elles ont été copiées, et aucun groupe n’a revendiqué l’attaque dans les sources consultées.

Les données exposées sont le nom et le prénom, le numéro de compte client Bourse Direct et l’IBAN de chaque personne concernée. Selon le courtier, ces éléments ne permettent pas à eux seuls d’accéder aux comptes ni d’y effectuer des opérations, et les extraits du courriel consultés ne font état d’aucune compromission de mots de passe, de codes d’authentification, de soldes ou de l’historique des investissements, ce que les sources consultées n’ont pas pu vérifier de façon indépendante. Un IBAN associé à un nom permet néanmoins de tenter de mettre en place un prélèvement SEPA frauduleux, que la personne peut contester auprès de sa banque, et l’association d’un nom, d’un numéro de compte chez un courtier et d’un IBAN peut servir à imiter un conseiller de Bourse Direct pour obtenir un mot de passe, un code de validation ou un virement vers un prétendu compte sécurisé. Cyberattaque.org présente ces scénarios comme des risques possibles, aucune campagne d’escroquerie liée à l’incident n’ayant été relevée à ce jour.

Du côté de la réaction, Bourse Direct affirme avoir contenu l’incident, renforcé ses mesures de sécurité et engagé la notification aux autorités compétentes, que son courrier décrit comme en cours, sans que l’achèvement de cette démarche soit confirmé. Les clients peuvent obtenir des renseignements auprès du service client au 01 56 88 90 90 (choix 1) ou par la messagerie sécurisée de leur espace personnel. La gravité est retenue à « modérée » : le volume annoncé est faible (environ 0,18 % des comptes) et aucune donnée d’accès n’est mentionnée, bien que les coordonnées bancaires soient associées à une identité et à une relation avec un courtier.

Les personnes concernées ont intérêt à surveiller les prélèvements sur le compte bancaire dont l’IBAN a été communiqué, à contester sans délai auprès de leur banque toute opération inconnue et, au besoin, à faire bloquer les prélèvements du créancier en cause. Toute sollicitation évoquant un problème de sécurité, une vérification réglementaire ou une opération urgente doit être vérifiée en rappelant soi-même le courtier par les canaux de son espace personnel, sans jamais communiquer de mot de passe ou de code reçu par SMS. Les courriels suspects peuvent être signalés à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée.