Finance et Assurance en 2026 : aucune nouvelle menace mais un autre point d’impact

Les catégories d’attaques observées contre les banques et les assureurs n’ont pas changé depuis notre édition 2024. Ce qui a changé, c’est l’endroit où le risque frappe : un prestataire partagé, une session légitime, un helpdesk qui réinitialise un accès. Quentin Siennicka, qui dirige les opérations de CTI chez Citalid après dix ans d’analyse de la menace dans deux ministères français (armées, intérieur) puis chez Wavestone, l’a présenté lors du webinaire Threat Signal du 24 septembre 2026 autour de trois mots : légitimité, concentration, accélération. Voici ce qu’il faut en retenir.

Des risques connus devenus tangibles

« Il n’y a pas de nouvelle catégorie de menace. C’est un changement dans l’endroit où le risque cyber frappe réellement », résume Quentin. Dans les éditions précédentes, nous décrivions déjà la dépendance aux tiers, l’abus d’identité et une cybercriminalité de plus en plus capable. Aujourd’hui, ces risques se sont matérialisés : un seul prestataire peut exposer plusieurs établissements à la fois, un attaquant n’a plus forcément besoin de casser l’authentification s’il obtient une session légitime ou convainc un helpdesk, et l’intelligence artificielle réduit le travail humain nécessaire à certaines étapes d’une intrusion.

Une précaution de lecture s’impose. L’exploitation et le recel de données représentent 28,9 % des incidents documentés, la fraude 19,4 % et l’extorsion 9 %, mais ce n’est pas un classement de gravité : un seul incident d’extorsion peut coûter bien plus que de nombreux événements de recel. Notre observation a elle aussi changé d’échelle. Nous collectons beaucoup plus d’incidents qu’en 2023, et notre cartographie des menaces cyber s’en nourrit : nous documentons quatre fois plus de familles de maliciels bancaires qu’en 2024, en partie parce que la menace progresse, en partie parce que notre jeu de données s’est enrichi.

Légitimité : l’attaquant n’a plus besoin de forcer la porte

Dans cette édition, l’assurance dispose de son propre profil de menace dans le rapport, au lieu d’être traitée comme un sous-ensemble de la banque. Trois caractéristiques font sa valeur pour ses clients, et ce sont les mêmes qui la rendent attractive pour les attaquants. La densité des données d’abord : un assureur peut détenir, pour une même personne, des données d’identité, des données financières, un historique de sinistres et, selon les activités, des données de santé. L’intermédiation ensuite, puisque courtiers et prestataires interviennent à chaque étape de la relation client. La vérification d’identité enfin : les centres d’appel peuvent réinitialiser une authentification, modifier des coordonnées ou confirmer une identité, ce qui les place au cœur de l’infrastructure d’identité plutôt qu’à sa périphérie.

Les incidents le confirment. Erie Insurance, Philadelphia Insurance, Aflac, Allianz Life et Farmers Insurance ont déclaré des compromissions ayant exposé des données clients, parfois via des prestataires tiers. Google avait alerté dès juin 2025 les assureurs américains, et Google et Mandiant relèvent que plusieurs de ces opérations présentent des caractéristiques associées à l’écosystème Scattered Spider, notamment l’exploitation des centres d’assistance et des procédures de vérification d’identité. Prises une à une, ces affaires relèvent de campagnes indépendantes ; ensemble, elles suggèrent un intérêt durable pour le secteur. En Europe, l’ENISA place Akira parmi les groupes les plus actifs contre les institutions financières, avec une concentration particulière sur l’assurance. La logique tient en une phrase : « L’attaquant ne casse pas l’authentification, il obtient que l’organisation lui remette l’accès valide. »

Faut-il en conclure que l’authentification multifacteur est dépassée ? Au contraire : « Avant, c’était une bonne pratique ; maintenant, c’est le socle. » Les résultats 2025 du dispositif CBEST de la Bank of England, publiés en janvier 2026, en donnent une illustration encourageante : le MFA ne figure plus parmi les manquements récurrents observés auprès des treize établissements et infrastructures de marchés financiers évalués. Le même document désigne en revanche les helpdesks comme des voies d’accès crédibles, ce qui déplace le problème : à quoi sert un MFA qu’un simple appel peut faire réinitialiser ? Une mesure peu coûteuse, qui casse de nombreux scénarios d’ingénierie sociale, consiste à faire rappeler le collaborateur par le helpdesk sur le numéro déjà enregistré, et non sur celui donné pendant l’appel, avant toute réinitialisation de mot de passe ou de facteur.

La même logique de légitimité explique l’évolution de la fraude bancaire mobile. Près d’une quarantaine de familles de chevaux de Troie bancaires mobiles ont été documentées sur la période, contre une dizaine dans l’édition précédente. Les plus récentes ne se contentent plus de voler des identifiants : elles prennent le contrôle du téléphone et exécutent la fraude depuis l’appareil de la victime, si bien que l’appareil, la localisation et les habitudes de connexion paraissent normaux. Herodotus va jusqu’à faire varier sa vitesse de frappe pour imiter un comportement humain. Ces outils sont vendus comme des services et ciblent désormais explicitement l’Europe occidentale, France comprise. Dans la catégorie fraude, les acteurs étatiques pèsent 35,7 % des incidents, portés par la Corée du Nord, dont les vols de cryptoactifs ont dépassé deux milliards de dollars en 2025 selon Chainalysis.

Concentration : un seul prestataire, plusieurs établissements touchés

En août 2025, Marquis Software Solutions, prestataire de gestion de la relation client et de données pour plus de 700 banques et coopératives de crédit américaines, a été compromis par un rançongiciel. Les données de 672 075 personnes, réparties dans 74 établissements clients, ont été exposées sans que les systèmes de ces établissements soient directement atteints. L’incident ne s’arrête pas à la technique : Marquis a engagé des poursuites contre SonicWall, dont le service de sauvegarde cloud a servi de point d’entrée, tout en faisant l’objet d’environ 36 recours collectifs de consommateurs. Le risque juridique et réglementaire devient ainsi distinct de la brèche elle-même.

Trois autres incidents documentés sur la période suivent le même schéma. La compromission de Toppan Next Tech, prestataire d’impression, a conduit à l’extraction de données de clients de DBS Bank et de la filiale singapourienne de Bank of China, avec environ 8 200 clients de DBS et 3 000 de BOC potentiellement concernés. SitusAMC, spécialisé dans la gestion de prêts immobiliers résidentiels, a notifié JPMorgan Chase, Citigroup et Morgan Stanley d’une exposition de données. Au Brésil, C&M Software, acteur du traitement de paiements, a été compromis par la vente d’identifiants d’accès par un employé, ce qui a exposé au moins six institutions pour un préjudice supérieur à 100 millions de dollars via le réseau de paiement instantané Pix. En France, l’attaque revendiquée contre Harvest, éditeur de logiciels pour banques, assureurs, sociétés de gestion et conseillers en gestion de patrimoine, a bloqué l’outil de gestion patrimoniale O2S à partir du 27 février 2025, toujours indisponible le 4 mars, avant la publication des données exfiltrées dans le cadre d’une double extorsion.

Pour Marquis, Toppan Next Tech et C&M Software, aucun système bancaire n’a servi de point d’entrée. SitusAMC n’a précisé ni la méthode ni l’ampleur de l’exposition, et Harvest n’est pas une banque : ces deux cas illustrent la concentration, pas l’entrée par le prestataire. D’où ce constat : « La victime technique et la victime économique ne sont plus toujours la même organisation. » Un inventaire des tiers dit qui sont les fournisseurs, pas jusqu’où une compromission se propage. Quatre questions, posées pour chaque prestataire, aident à le mesurer :

• Quelle fonction critique ce prestataire supporte-t-il ?
• Quelles données ou quels accès privilégiés détient-il ?
• Combien d’organisations ou de processus métiers dépendent de cette même fonction ?
• Quelles seraient les conséquences en aval si ce prestataire était compromis ?

« Il faut partir de la dépendance, pas de la liste des fournisseurs », insiste Quentin : un petit prestataire peut être critique s’il détient des accès privilégiés ou supporte une fonction difficile à remplacer rapidement, comme l’a montré Toppan Next Tech. C’est cette lecture qui produit un scénario chiffrable : la fréquence à laquelle ce type d’événement se produit, que les données de menace collectées par Citalid permettent d’estimer, associée au coût de chaque occurrence (interruption, notification, frais juridiques, fraude consécutive). C’est aussi, pour un RSSI, un chiffre qu’il peut défendre devant son comité de direction, ce qu’une liste de fournisseurs ne permet pas. Le rapport évalue comme très probable la répétition de ce type d’incident dans les 12 à 18 prochains mois.

Les superviseurs suivent. DORA traite désormais la dépendance à un tiers comme une composante propre du risque opérationnel, la Banque centrale européenne fait de la résilience cyber, des prestataires critiques et du risque de concentration un axe d’inspection de ses priorités 2026-2028, et elle a demandé, selon Quentin, aux cent plus grandes banques de la zone euro un plan d’action pour le 31 octobre. Sur ce volet, voir aussi notre page consacrée à la gestion des risques cyber liés aux tiers.

Pour un assureur, la même logique se lit en cumul. Une compromission chez un prestataire clé peut exposer les données des assurés, mais aussi provoquer une interruption d’activité dont l’exposition croît avec la durée, de plusieurs jours à plusieurs semaines dans les pires scénarios. Jaguar Land Rover en a donné en 2025 un exemple catastrophique. Quentin s’attend à d’autres cas dans les 12 à 18 prochains mois, pas seulement sur des composants métier comme Harvest, mais aussi sur des activités de support : un fournisseur cloud, un fournisseur de VPN, des fonctions CRM, essentiels à l’entreprise sans être au cœur de son métier. Pour modéliser ce cumul, voir notre approche de la modélisation des risques cyber systémiques.

Accélération : des failles connues exploitées plus vite que le secteur ne corrige

Selon Google, le délai moyen d’exploitation d’une vulnérabilité est passé de 63 jours en 2018 à moins de 7 jours estimés en 2025. Quentin, qui a conseillé des organisations avant de rejoindre Citalid, rappelle qu’appliquer un correctif critique en moins de 30 jours relevait déjà du combat, y compris sur de simples composants intergiciels comme Apache supportant des applications sensibles, qu’il faut tester avec les métiers. Aujourd’hui, ces 30 jours représentent un mois d’exposition ouverte.

Le problème est plus aigu pour les systèmes hérités : mainframes et applications vieilles de plusieurs décennies assurent toujours des fonctions critiques (comptes, paiements, compensation), avec des exigences de disponibilité qui limitent les fenêtres de maintenance. La Bank of England a relevé le retard dans l’application des correctifs parmi les faiblesses récurrentes pour le troisième cycle consécutif. Notre évaluation est que le risque à moyen terme tient moins à de nouvelles vulnérabilités qu’à des faiblesses connues qui deviennent exploitables plus vite que les processus de correction du secteur. La réponse ne peut donc pas reposer sur la seule vitesse de correction : il faut limiter l’effet d’une compromission avant le correctif, par la segmentation, la réduction des privilèges et la protection des interfaces d’administration.

L’intelligence artificielle accélère cette dynamique, sur deux plans qu’il faut distinguer. Le premier, établi, est celui de l’assistance : leurres, traduction, adaptation de code, débogage, exploitation de plateformes criminelles. Le second concerne des modèles ou des agents qui prennent en charge une partie de la chaîne d’attaque. Le webinaire a rappelé l’incident de l’été 2026 impliquant OpenAI et Hugging Face, où des modèles testés avec des garde-fous réduits ont exploité une faille zero-day dans leur environnement de test, puis mené reconnaissance, élévation de privilèges et mouvement latéral dans une partie de l’infrastructure de Hugging Face. Ce cas démontre une capacité, pas une opération menée contre le secteur financier : « Le coût et la visibilité sont les vrais freins aujourd’hui, davantage pour les criminels que pour les États. » Les modèles ouverts, exécutables sur sa propre infrastructure, échappent toutefois à la visibilité des fournisseurs commerciaux : ce que nous documentons est un plancher, pas un tableau complet. À court terme, Quentin se dit moins préoccupé par un attaquant totalement autonome que par des attaquants qui délèguent davantage de tâches et vont plus vite, face à une défense freinée par les systèmes hérités, les exigences de disponibilité et les dépendances.

Dernier point : les agents IA déployés dans l’organisation elle-même, que le rapport envisage comme de nouvelles identités privilégiées. La question de savoir qui est responsable de ce qu’un agent fait avec les accès d’un cadre senior n’a pas encore de réponse claire. Un principe pratique : traiter l’agent comme un nouvel embauché, avec un propriétaire identifié, des droits limités, des journaux d’activité et un moyen de l’éteindre quand il dérape.

En France, le déni de service reste le plus visible

Des activistes prorusses, dont NoName057(16), revendiquent de nombreuses attaques contre le secteur bancaire français, d’impact généralement limité. Mais lorsque l’indisponibilité touche le parcours client, l’effet change d’échelle : en décembre 2025, une attaque DDoS massive contre le groupe La Poste a privé les clients de La Banque Postale de l’application mobile, avec un repli temporaire sur une validation par SMS.

Cartographier la confiance, pas seulement les actifs

Pour clore la session, Marie Giesbert a demandé à Quentin ce qu’il ferait différemment après ce tour d’horizon. Sa réponse : « Cartographier la confiance, pas seulement les actifs. » Une analyse de risque cartographie les actifs, mais rarement la confiance accordée aux prestataires et aux systèmes d’information, alors que l’identité, la session ou la relation d’affaires, une fois compromises, permettent à un attaquant d’agir avec un accès légitime ou de propager l’impact au-delà du premier système touché. C’est le fil commun des trois thèmes : dans chaque cas, les attaquants réussissent de plus en plus en exploitant quelque chose en quoi l’organisation a déjà confiance.

Questions fréquentes

Le MFA ne suffit-il plus ?

Il reste indispensable, et c’est désormais un socle plutôt qu’une bonne pratique. Sa limite apparaît lorsqu’une réinitialisation passe par un appel au helpdesk : l’attaquant n’a pas à contourner le MFA, il obtient qu’on le lui réinitialise. D’où l’importance du rappel sur un numéro déjà enregistré.

Pourquoi se préoccuper de l’extorsion si elle ne pèse que 9 % des incidents ?

Parce que ce pourcentage mesure une fréquence, pas une gravité. Un seul incident peut combiner interruption d’activité, exposition de données, coûts de restauration, conséquences réglementaires et atteinte à la réputation. Le modèle évolue aussi : la double extorsion, longtemps dominante, devient globalement moins fréquente, car maintenir un rançongiciel demande une maintenance cryptographique et un code qui évolue, alors que l’extorsion de données coûte moins cher à l’attaquant, qui peut ensuite revendre les données au meilleur acheteur. Conséquence : de bonnes sauvegardes ne suffisent plus, il faut aussi détecter les sorties de données et préparer la notification et le volet juridique. Cette forme d’extorsion est aussi plus discrète, puisqu’elle ne provoque pas toujours d’interruption, ce qui laisse une part d’attaques sous le radar lorsque la victime parvient à négocier la non-publication.

Une fuite de données récente augmente-t-elle le risque de fraude ?

Oui, et pas seulement à court terme. Les données ciblées ont plusieurs vies après leur divulgation : on commence à voir de vrais courriels de tentative de fraude, et la superposition de plusieurs sources permet de bâtir des scénarios de plus en plus crédibles, en particulier lorsque les données proviennent d’une autorité de régulation dont l’image sert ensuite à instaurer la confiance. Le phishing n’est plus un courriel isolé facile à repérer, mais une succession de messages qui installent la confiance. Les processus doivent donc permettre de détecter l’inhabituel et de demander facilement un deuxième regard.