Harvest : fuite via cyberattaque (MAIF, BPCE)

Fin février 2025, l’éditeur français de logiciels financiers Harvest, dont les solutions sont utilisées par une large part des conseillers en gestion de patrimoine, banques privées et assureurs en France, a été victime d’une attaque par rançongiciel. L’intrusion, détectée dans la nuit du 26 au 27 février 2025, a paralysé plusieurs services SaaS pendant plus de deux semaines et a conduit à l’exfiltration de fichiers internes et de données clients. Selon les sources, l’attaque aurait exploité une faille chez l’un des hébergeurs de Harvest.

Parmi les clients touchés figurent MAIF Solutions Financières et le groupe BPCE (Banque Populaire, Caisse d’Épargne, Banque Palatine). Pour la MAIF, les données compromises concernent l’état civil ainsi que la situation matrimoniale et professionnelle de clients, sans mots de passe, RIB ni pièces d’identité selon l’assureur. Pour BPCE, sont concernés l’identité de clients, des numéros de comptes-titres et les encours associés, sur un périmètre présenté comme « restreint ». La MAIF et BPCE ont indiqué avoir informé la CNIL et déposé plainte.

Le groupe cybercriminel « Run Some Wares » a revendiqué l’attaque le 10 avril 2025 et, après le refus de Harvest de payer la rançon, a publié des données sur le dark web vers le 11 avril. Selon les estimations relayées par la presse, environ 5 000 entreprises clientes de Harvest seraient concernées ; un article de Challenges du 14 avril évoque des fichiers Excel non anonymisés portant sur quelque 35 000 clients finaux, chiffre à considérer comme une allégation, non confirmé officiellement.

À ce stade, aucune décision ni communiqué public de la CNIL n’a été identifié, et le nombre exact de personnes physiques affectées n’a pas été officiellement consolidé. Les principaux risques pour les personnes concernées sont l’hameçonnage ciblé et l’usurpation d’identité, notamment via l’arnaque au faux conseiller. La gravité est qualifiée d’élevée en raison de la nature financière des données et de l’effet de chaîne d’approvisionnement (un éditeur unique impactant de multiples institutions).