Sumsub : Une faille de sécurité détectée avec 18 mois de retard
Faille spatiotemporelle. Le spécialiste de la vérification d’identité Sumsub a révélé ce mercredi 4 février avoir été victime d’un incident de sécurité ayant entraîné l’exposition de données personnelles. Si l’intrusion remonte à l’été 2024, elle n’a été découverte que très récemment lors d’un audit de routine, mettant en lumière les défis persistants de la détection rétrospective dans la tech.
- Sumsub a révélé un incident de sécurité ayant exposé des données personnelles, découvert en janvier 2026 bien que l’intrusion ait eu lieu en juillet 2024.
- L’attaque a exploité une plateforme tierce de gestion de tickets de support, mais les données à haut risque n’ont pas été compromises.
Une intrusion chez Sumsub via le support technique en juillet 2024
L’enquête menée par Sumsub indique qu’en juillet 2024, un acteur malveillant externe a exploité une plateforme tierce de gestion de tickets de support. En soumettant une pièce jointe piégée, le pirate a réussi à obtenir un accès limité à un environnement interne dédié au service client.
Selon les chiffres et les détails communiqués par l’entreprise :
- Données exposées : Principalement des noms, ainsi qu’un sous-ensemble d’adresses e-mail et de numéros de téléphone.
- Données préservées : Les informations à haut risque, telles que la biométrie, les photos de documents d’identité, les coordonnées bancaires ou les systèmes de vérification en direct, n’ont pas été compromises.
- Périmètre : L’incident a été confiné à l’environnement de support et n’a pas affecté les systèmes de production de base ou les API clients.
Une détection tardive en janvier 2026
Le point le plus délicat de cette annonce réside dans le calendrier. L’activité non autorisée n’a été identifiée qu’en janvier 2026, soit un an et demi après les faits, lors d’un examen de sécurité approfondi. Sumsub a immédiatement activé ses protocoles de réponse aux incidents, engagé des experts indépendants et commencé à notifier directement les clients impactés.
Pour prévenir toute récidive, la firme a déjà renforcé ses contrôles d’accès pour le personnel technique et amélioré ses capacités de surveillance. Cet incident survient alors que Sumsub venait de publier son rapport annuel soulignant une hausse de 180 % de la fraude sophistiquée en 2025, rappelant que même les gardiens de l’identité numérique ne sont pas à l’abri des failles de leurs propres sous-traitants.
L’incident chez Sumsub illustre la vulnérabilité croissante des chaînes d’approvisionnement logicielles (plateformes de support tierces). Bien que la fuite soit restée limitée à des données de contact, le délai de détection de 18 mois pose des questions sur la réactivité des systèmes d’audit face à des attaques silencieuses. Pour Sumsub, l’enjeu est désormais de restaurer la confiance alors que la plateforme s’apprête à lancer de nouveaux outils de vérification basés sur l’IA en 2026.
Ben Canton
Avec une formation en littérature et en langues, j’aime mêler l’analyse rigoureuse au goût des idées pour décrypter les grands enjeux économiques et (géo)politiques liés aux cryptomonnaies. Depuis 2019, j’écris pour le Journal du Coin, et je collabore également avec Tahiti Cryptomonnaie, où je me concentre sur des sujets comme le Bitcoin, les MNBC, la tokenisation des RWA et plus largement les mutations stratégiques du Web3. Lecteur passionné, curieux du monde et des rapports de pouvoir qui le structurent, je m’efforce de rendre ces thématiques accessibles à tous, avec une attention particulière pour les projets pensés pour le grand public.
