Bourse Direct, l’un des principaux courtiers en ligne français, confirme un incident de cybersécurité survenu dans la nuit du 27 au 28 octobre 2026. Des données personnelles et bancaires de certains clients ont été exposées, notamment leurs noms, prénoms, numéros de compte client et IBAN bancaires.
Dans un e-mail dont Cyberattaque.org s’est procuré une copie, Bourse Direct informe les personnes concernées d’un acte de cyber-malveillance ayant affecté leurs informations personnelles. Le courtier indique avoir contenu l’incident, renforcé ses mesures de sécurité et engagé les démarches de notification auprès des autorités compétentes.
Créé en 1996 et installé à Paris, Bourse Direct est un acteur majeur du courtage en ligne en France. L’entreprise permet aux particuliers d’investir sur les marchés financiers à travers des comptes-titres, des plans d’épargne en actions (PEA) et différents produits d’épargne. Selon ses derniers résultats publiés en octobre, elle comptait près de 435 000 comptes clients à fin septembre 2026.
Une intrusion survenue dans la nuit du 27 au 28 octobre
La chronologie de l’incident est précisée dans le message adressé aux clients. Bourse Direct indique qu’un acte malveillant a affecté certaines données personnelles dans la nuit du mardi 27 au mercredi 28 octobre 2026.
L’entreprise ne détaille pas la méthode employée par les attaquants. Une compromission de compte disposant de privilèges élevés, une vulnérabilité applicative ou un accès non autorisé à une base de données pourraient expliquer l’exposition de ces informations, mais aucun de ces scénarios n’est confirmé.
Le courtier affirme avoir rapidement contenu l’incident et renforcé la protection de ses systèmes. Il ne précise toutefois pas combien de temps les informations ont été accessibles ni si elles ont été copiées par les cybercriminels.
Les noms, numéros de compte et IBAN bancaires concernés
Le courrier transmis à Cyberattaque.org identifie précisément trois catégories de données personnelles exposées :
- Les noms et prénoms des clients concernés ;
- Les numéros de compte client Bourse Direct ;
- Les IBAN bancaires associés à ces clients.
Cette combinaison d’informations est particulièrement sensible dans le secteur financier. Elle permet d’associer l’identité d’une personne à sa relation commerciale avec un courtier en ligne et à ses coordonnées bancaires.
Le numéro de compte client constitue notamment une référence interne utilisée pour identifier un compte auprès de Bourse Direct. Il ne correspond pas nécessairement à un numéro de compte bancaire permettant d’effectuer des opérations financières.
Le courtier précise que les informations exposées ne permettent pas, à elles seules, d’accéder aux comptes des clients ni d’effectuer des opérations depuis ceux-ci.
Le message ne fait pas état d’une compromission des mots de passe, des codes d’authentification, des soldes des portefeuilles ou de l’historique des investissements. Aucun vol de titres ou de fonds n’est annoncé.
Un IBAN exposé peut-il permettre de voler de l’argent ?
Contrairement à un mot de passe ou à un code d’accès bancaire, un IBAN ne suffit normalement pas à se connecter à un compte ou à réaliser directement un virement sortant.
Sa divulgation n’est cependant pas sans conséquence. Des coordonnées bancaires dérobées peuvent notamment être utilisées dans certaines tentatives de fraude aux prélèvements SEPA.
Un fraudeur pourrait essayer d’utiliser l’IBAN d’une victime pour mettre en place un mandat de prélèvement frauduleux auprès d’un organisme ou pour souscrire un service en utilisant ses coordonnées bancaires.
Les mécanismes de contrôle bancaires et les possibilités de contestation limitent ces risques, mais les personnes concernées doivent surveiller les opérations enregistrées sur leurs comptes bancaires.
En cas de prélèvement inconnu, il est recommandé de contacter immédiatement son établissement bancaire afin de contester l’opération et, si nécessaire, de bloquer les prélèvements du créancier concerné.
Des tentatives d’escroquerie particulièrement crédibles contre les investisseurs
Au-delà des risques liés aux prélèvements bancaires, cette fuite pourrait surtout faciliter des campagnes de phishing et d’usurpation d’identité ciblant les clients de Bourse Direct.
Un cybercriminel connaissant le nom d’un investisseur, son numéro de compte client et son IBAN pourrait se faire passer pour un conseiller du courtier.
Il pourrait par exemple contacter la victime en évoquant un problème de sécurité, une vérification réglementaire ou une opération inhabituelle nécessitant une intervention urgente.
La connaissance du numéro de compte et de l’IBAN pourrait donner une apparence de légitimité à ces sollicitations. Le fraudeur pourrait ensuite chercher à obtenir le mot de passe, un code de validation ou convaincre la personne de transférer ses fonds vers un prétendu compte sécurisé.
Ce type d’escroquerie est particulièrement préoccupant dans le domaine de l’investissement, où les victimes peuvent détenir des sommes importantes sur leurs comptes-titres ou leurs comptes bancaires associés.
Bourse Direct invite les clients concernés à redoubler de vigilance face aux messages, appels et courriels inattendus utilisant leurs données personnelles.
Près de 435 000 comptes chez Bourse Direct, mais combien de victimes ?
La question de l’ampleur de cette fuite reste ouverte. Dans son dernier communiqué financier, publié le 14 octobre 2026, Bourse Direct faisait état de près de 435 000 comptes clients à fin septembre 2026, contre un peu plus de 406 000 à la fin de l’année précédente.
Cette croissance témoigne du poids du courtier sur le marché français de l’investissement en ligne. En neuf mois, ses clients avaient notamment exécuté environ 4,5 millions d’ordres de Bourse.
Ce chiffre de 435 000 comptes ne doit cependant pas être confondu avec le nombre de victimes. Le courrier consulté par Cyberattaque.org confirme que certaines données ont été exposées, sans préciser combien de clients sont concernés par l’incident.
Il n’est pas non plus possible de déterminer si tous les destinataires de la notification ont subi exactement la même exposition ou si plusieurs catégories de comptes ont été touchées.
Bourse Direct annonce avoir contenu l’incident
Dans sa communication, le courtier indique que l’incident a été contenu et que ses mesures de sécurité ont été renforcées.
Bourse Direct affirme également poursuivre les actions nécessaires pour améliorer la protection des données personnelles de ses clients.
L’entreprise précise que l’incident est en cours de notification auprès des autorités compétentes. Son courrier ne confirme donc pas encore l’achèvement de ces démarches.
Les personnes souhaitant obtenir des renseignements peuvent contacter le service client au 01 56 88 90 90, choix 1, ou utiliser la messagerie sécurisée de leur espace personnel.
À ce stade, Bourse Direct n’a pas communiqué publiquement de bilan technique détaillé précisant l’origine de l’intrusion, le nombre de personnes concernées ou une éventuelle revendication par un groupe cybercriminel.
Une fuite sensible pour un acteur majeur de l’investissement français
Cette affaire présente une particularité importante : les données exposées ne concernent pas uniquement l’identité des clients, mais également leur numéro de compte chez un courtier financier et leurs coordonnées bancaires.
Ces informations pourraient être exploitées pour cibler précisément des investisseurs, notamment à travers de fausses communications de sécurité ou des tentatives de fraude bancaire.
Au 30 octobre 2026, l’incident est reconnu dans le courrier adressé aux clients, mais son ampleur exacte reste inconnue. Bourse Direct assure avoir contenu l’attaque et rappelle que les informations exposées ne suffisent pas à effectuer des opérations depuis les comptes concernés.
Le principal enjeu réside désormais dans la prévention des fraudes pouvant résulter de l’association entre l’identité des clients, leurs références de comptes et leurs IBAN bancaires.
Source originale : Cyberattaque.org.
