23 685 enregistrements : fuite revendiquée chez ATOA

Le 21 mai 2026, ATOA — fintech française exploitant une plateforme de tokenisation immobilière et d'investissement fractionné (atoa.io), qui permet aux particuliers d'acheter des fractions de projets immobiliers en France et en Espagne en euros ou en cryptomonnaie — a été visée par une fuite de données revendiquée, après qu'un acteur malveillant a mis en vente une copie de sa base de données sur un forum cybercriminel du dark web.

Le vecteur exact de la compromission n'a pas été confirmé publiquement. L'acteur proposait ce qui était décrit comme un dump de base de données de production accompagné d'une archive de validation d'identité, dont le contenu pointe vers des données clients, financières et de conformité plutôt que vers une simple interruption de service.

Les données exposées comprendraient :

• Environ 23 685 enregistrements tabulaires couvrant des profils utilisateurs (noms, e-mails, numéros de téléphone, adresses postales, dates de naissance, nationalités, identifiants fiscaux)
• Des informations financières : IBAN, adresses et soldes de portefeuilles crypto, historiques de transactions, capital investi, intérêts et catégorisation fiscale
• Environ 10 000 lignes de transactions référençant l'infrastructure de paiement MangoPay
• 326 archives KYC complètes contenant passeports, cartes nationales d'identité, RIB/IBAN, extraits Kbis et justificatifs de domicile

Parce que le jeu de données combine des pièces d'identité vérifiées et des données bancaires, il présente un risque élevé d'usurpation d'identité et de fraude financière pour les utilisateurs concernés. La fuite a été repérée sur des forums clandestins autour du 22 mai 2026 ; la réponse d'ATOA en matière de confinement et de notification n'avait pas été documentée publiquement au moment des faits, le statut reste donc inconnu.