Sumsub : faille de sécurité 2024 révélée 18 mois plus tard

Une faille de sécurité découverte avec 18 mois de retard

Le spécialiste de la vérification d'identité Sumsub a officiellement annoncé, le 4 février 2026, avoir subi une intrusion dans ses systèmes. La faille de sécurité Sumsub, qui remonte à juillet 2024, n'a été détectée par l'entreprise qu'en janvier 2026, soit un délai de 18 mois. L'incident a entraîné l'exposition de données personnelles de certains utilisateurs, posant des questions sur la sécurité des prestataires de services.

Concrètement, l'attaque a été confinée à un environnement de support client et n'a pas impacté les systèmes de production ou les API utilisées par les plateformes partenaires. La société a immédiatement engagé des experts indépendants pour analyser l'incident et renforcer ses défenses.

Une cyberattaque via une plateforme de support tierce

L'origine de ce hack de vérification identité KYC provient d'une vulnérabilité au sein d'une plateforme tierce de gestion de tickets de support. Selon le communiqué de Sumsub, un acteur malveillant a réussi à soumettre une pièce jointe piégée via une requête de support. Cette manœuvre lui a permis d'obtenir un accès limité à l'environnement interne dédié au support client.

L'accès obtenu était restreint et n'a pas permis aux attaquants de pénétrer les systèmes de vérification principaux. Cette attaque met en évidence la vulnérabilité de la chaîne d'approvisionnement logicielle, où un partenaire externe peut devenir le maillon faible d'une infrastructure sécurisée.

Quelles données personnelles ont été compromises ?

L'enquête a permis de déterminer précisément la nature de l'incident de données personnelles crypto. Heureusement, les informations les plus sensibles ont été préservées. Les données exposées se limitent à :

• Les noms des utilisateurs.
• Un sous-ensemble d'adresses email.
• Certains numéros de téléphone.

Sumsub a tenu à rassurer ses clients en confirmant que les données critiques n'ont pas été affectées. Les informations biométriques, les photos des documents d'identité, les coordonnées bancaires et les systèmes de vérification en direct sont stockés sur des infrastructures séparées et n'ont pas été touchés par cette cyberattaque sur la plateforme support.

La détection retardée de 18 mois : un défi majeur

L'aspect le plus préoccupant de cet incident est la détection retardée de 18 mois. Ce laps de temps considérable entre l'intrusion et sa découverte illustre la sophistication croissante des cyberattaques et la difficulté à les identifier rétrospectivement, surtout lorsqu'elles exploitent des services tiers.

Ironiquement, cette nouvelle survient alors que Sumsub a publié un rapport annuel indiquant une hausse de 180 % de la fraude sophistiquée en 2025. Cet événement démontre que même les experts de la lutte contre la fraude ne sont pas à l'abri des menaces complexes qui pèsent sur l'écosystème numérique.

Impact pour les plateformes crypto et les utilisateurs

Suite à la découverte, Sumsub a renforcé ses contrôles d'accès internes et amélioré la surveillance de ses environnements pour prévenir de futurs incidents. Des mesures correctives ont été déployées en collaboration avec des experts en cybersécurité indépendants.

Pour les plateformes crypto qui utilisent des services de vérification d'identité KYC, cet événement est un rappel crucial. Bien que la faille de sécurité Sumsub de 2024 n'ait pas exposé les données les plus critiques, elle souligne la nécessité d'une vigilance constante envers les prestataires et la sécurité de l'ensemble de la chaîne de services.