Piratage de Brevo : après Trezor, les données de clients Paymium dans la nature

Nouvelle victime collatérale. Après les faux mails de Trezor, c'est au tour des clients de Paymium de découvrir que leur fiche d'identité a pu filer par l'arrière-boutique. La plateforme française a prévenu ses utilisateurs le 22 septembre. Son prestataire d'e-mailing Brevo avait déjà servi de rampe de lancement à la campagne de phishing contre Trezor, BitBox et CoinTracking début septembre. Aucun fonds n'a bougé. Mais un fichier de détenteurs de crypto identifiés vaut son pesant d'or en pleine vague d'enlèvements.

Points clés

• Paymium a averti ses clients le 22 septembre d'un accès non autorisé chez son routeur d'e-mails
• Identité, date de naissance, téléphone et pays de résidence figurent dans le lot
• Ni mot de passe, ni clé API, ni accès aux fonds selon la plateforme
• Chez Brevo, 138 comptes clients ont été ouverts grâce à une faille de connexion unique

Fuite de données Paymium, l'addition arrive douze jours plus tard

Le message tombe dans les boîtes de réception douze jours après les faits. Paymium y explique que Brevo, l'outil qui gère une partie de ses envois, a subi une intrusion. D'après la notification relayée par FrenchBreaches, l'intrus a pu consulter l'adresse e-mail, l'identifiant du compte, le nom, le prénom, la date de naissance, le numéro de téléphone et le pays de résidence des clients concernés. Combien sont-ils ? La plateforme ne le dit pas.

Côté rassurant, la liste de ce qui n'a pas fuité est longue. Aucun mot de passe, aucune clé API, aucune donnée de portefeuille ni information fiscale ne transitait par Brevo, assure Paymium. Aucun e-mail frauduleux ne serait non plus parti de son compte.

🔴 Paymium confirme une fuite de données : la plateforme française de cryptomonnaies a été touchée via son prestataire Brevo.

Des données personnelles de clients ont pu être consultées, mais aucun mot de passe, actif crypto, portefeuille ou clé API n'est concerné. https://t.co/W2GYY9XH9w pic.twitter.com/WXhm38ggeE --- Seb (@seblatombe) September 22, 2026

Brevo, une faille SSO grande comme une porte cochère

Tout part d'un sigle, le SSO (l'authentification unique qui permet de se connecter à plusieurs services avec un seul identifiant). Le rapport d'incident publié par Brevo décrit un scénario presque vexant. L'attaquant ouvre son propre compte, y branche un fournisseur d'identité qu'il contrôle, puis invite des utilisateurs légitimes. Il se connecte ensuite à leur place. Et l'accès ainsi obtenu, mal cloisonné, ne se limitait pas à une organisation mais s'étendait à toutes celles que ces utilisateurs pouvaient atteindre.

Repérée le 10 septembre à 6h30 (UTC), la brèche est colmatée deux heures plus tard. Sur 138 comptes clients visités, 43 ont vu leurs listes de contacts exportées et six ont servi à expédier du phishing. Paymium ne dit pas dans quel groupe il tombe.

C'est depuis l'un de ces six comptes que près de 347 000 abonnés de Trezor ont reçu une fausse alerte de sécurité, avec environ 2 500 clics à la clé.

Fuite chez Paymium, un fichier qui fait saliver les escrocs

Les plateformes régulées doivent vérifier l'identité de leurs clients (le fameux KYC). Elles doivent aussi leur écrire, et confient souvent cette corvée à un sous-traitant. Votre date de naissance et votre numéro de portable dorment donc chez un tiers que vous n'avez jamais choisi. Le cocktail a tout pour plaire à un escroc. Il sait que vous détenez des cryptos, dans quel pays vous vivez, comment vous appeler et quel âge vous avez, de quoi monter un faux appel du << service sécurité Paymium >> crédible à s'y méprendre.

Le précédent Ledger n'a rien perdu de son actualité. En décembre 2020, les coordonnées postales de plus de 270 000 clients du fabricant avaient atterri sur un forum de pirates, suivies d'une pluie de menaces. Ici, pas d'adresse postale. Mais la France de 2026 n'a plus rien d'un terrain théorique pour le ciblage physique des détenteurs de cryptos.

Clients Paymium, les réflexes à adopter après la fuite

Paymium renvoie ses clients vers cybermalveillance.gouv.fr, le dispositif public d'assistance gratuit. Ajoutez-y quelques réflexes qui ne coûtent rien.

• Ne cliquez sur aucun lien reçu par e-mail ou SMS au nom de Paymium, passez par l'application ou tapez l'adresse vous-même
• Un << conseiller >> qui vous appelle pour sécuriser votre compte est un imposteur, raccrochez
• Ne communiquez jamais votre phrase de récupération, à personne
• Activez la double authentification si ce n'est pas déjà fait

Entre le 1er janvier et la mi-avril 2026, la police judiciaire recensait déjà 41 enlèvements ou séquestrations liés aux cryptomonnaies sur le territoire. Rien ne relie pour l'instant ces affaires à une fuite de données. Une date de naissance, elle, ne se change pas comme un mot de passe.