Brevo : une faille du SSO SAML expose 138 comptes clients, dont ceux de Paymium et de Waltio, deux acteurs français des cryptoactifs

Le 10 septembre 2026, Brevo, plateforme française d’emailing et de CRM, a identifié à 6 h 30 UTC qu’un attaquant exploitait un défaut de sa gestion du SSO SAML pour entrer dans des comptes clients, puis a fermé cette voie d’accès deux heures plus tard. Son rapport d’incident recense 138 comptes accédés : 6 ont servi à envoyer de l’hameçonnage à leurs contacts, les contacts de 43 ont été exportés et 93 n’ont montré aucune activité significative, des catégories qui totalisent 142 et se recoupent donc sans doute. Deux clients français du secteur des cryptoactifs ont ensuite notifié leurs utilisateurs : l’outil fiscal Waltio le 15 septembre, puis la plateforme d’échange Paymium le 22 septembre, avec un billet complémentaire le 2 octobre.

La compromission porte sur l’environnement Brevo de ces clients, c’est-à-dire sur les contacts stockés dans l’outil d’emailing, et non sur leurs propres systèmes : Paymium et Waltio indiquent que l’outil ne contient ni mot de passe, ni clé API, ni donnée de portefeuille ou fiscale, et que l’accès aux comptes et aux actifs n’est pas concerné. Aucune des deux ne dit si son compte figure parmi les 43 exports. Waltio rapporte que Brevo ne pouvait pas encore confirmer si sa liste avait été consultée ou exportée, tandis que Paymium, dont la notification du 22 septembre évoquait des données qui « ont pu être consultées », affirme dans son billet du 2 octobre que l’ensemble des données de son environnement Brevo a été extrait, formulation que la fiche retient.

Deux événements voisins ne doivent pas être amalgamés avec celui-ci. Le 14 septembre, un second incident de Brevo, dit ClickFix, a permis d’injecter un script malveillant dans brevo.com, sibforms.com et des scripts intégrés par les clients pendant cinq heures et demie, sans atteinte déclarée à l’API, à l’envoi d’e-mails ni aux données des comptes clients, et sans lien mentionné avec la faille du 10 septembre. Celinni, que certains observatoires associent à Brevo, n’est pas rattachable à cet incident : l’usage frauduleux de son identifiant d’envoi date du 22 au 24 septembre, douze jours après la fermeture de la faille, et le rapprochement ne repose que sur la configuration DNS de son domaine.

Chez Paymium, les données exposées sont l’adresse électronique et l’identifiant du compte, le nom, le prénom, la date de naissance, le téléphone et le pays de résidence (tous les champs ne sont pas renseignés pour chaque contact), et chez Waltio l’adresse électronique et le numéro de département lorsqu’il était fourni. Rattachées à la qualité d’utilisateur d’un service de cryptoactifs, elles permettent un hameçonnage et des appels très crédibles, comme l’a montré le faux avis de sécurité adressé le 9 septembre à environ 347 000 contacts de Trezor. Le contexte français est aussi celui d’enlèvements et de séquestrations liés aux cryptoactifs, documentés depuis 2025 et chiffrés à 41 cas entre janvier et mi-avril 2026 par la police judiciaire, selon la presse. Journal du Coin précise toutefois que rien ne relie pour l’instant ces affaires à une fuite de données, et les listes publiées ne comprennent ni adresse postale ni solde : le risque d’extorsion physique ne pourrait donc être qu’indirect, par recoupement avec d’autres bases.

Brevo a déconnecté tous les utilisateurs, annoncé un correctif limitant le SSO à l’organisation propriétaire de la configuration ainsi que le dépôt d’une plainte, et promis sa coopération avec les autorités, sans mentionner la CNIL, le RGPD ni le nombre de contacts exportés. Ni Paymium ni Waltio n’indiquent publiquement avoir saisi la CNIL ou déposé plainte. Pour Waltio, la confirmation repose sur sa seule notification aux utilisateurs, relayée par Fuites Infos et CryptoTicker sans autre source indépendante, et l’entreprise présente l’incident comme distinct de la fuite reconnue en janvier 2026.

Les personnes concernées devraient traiter avec méfiance tout message, appel ou SMS se réclamant de Paymium, de Waltio ou d’un fabricant de portefeuille, même lorsqu’il cite des informations exactes, ne cliquer sur aucun lien reçu et se connecter uniquement par l’adresse officielle ou l’application. Paymium et Waltio rappellent qu’elles ne demanderont jamais de mot de passe ni de phrase de récupération (seed phrase) par courriel ou par téléphone. Aucun mot de passe n’ayant été exposé, aucun changement n’est requis à ce titre, et le dispositif gratuit cybermalveillance.gouv.fr reste disponible pour accompagner les victimes.