Agence de services et de paiement : 108 555 personnes confirmées, avec IBAN/BIC et avis de paiement exfiltrès

L’Agence de services et de paiement (ASP) est un opérateur public chargé de verser de nombreuses aides et prestations pour le compte de l’Etat ou de collectivités. L’incident concerne ici notamment le dispositif régional ‘Coup de pouce énergie’ en Ile-de-France et Provence-Alpes-Côte d’Azur. L’ASP a confirmé qu’un compte utilisateur frauduleux avait permis, le 27 août, d’accéder à des avis de paiement de 2023 et 2024 ; l’attaque a été détectée le lendemain. Une mise à jour a fixé à 108 555 le nombre de personnes concernées. Les documents contiennent noms, adresses postales, numéros de bénéficiaire, IBAN, BIC et montants d’aide. L’attaquant a évoqué une faiblesse de contrôle d’accès de type IDOR, mais ce point technique n’est pas confirmé par l’agence. La combinaison de coordonnées bancaires et d’un contexte d’aide publique est particulièrement exploitable pour de faux remboursements, appels bancaires frauduleux et messages imitant l’ASP ou une collectivité.