Fuite chez Sumsub

Le 9 février 2026, Sumsub — l'un des principaux prestataires de vérification d'identité en ligne (KYC/AML), utilisé par de grandes plateformes crypto et fintech — a révélé une fuite de données restée non détectée pendant environ 18 mois. L'intrusion remonte à juillet 2024 et n'a été identifiée qu'en janvier 2026 lors d'un audit de sécurité interne.

Selon l'entreprise, l'attaquant a obtenu l'accès à un environnement interne de support client après l'envoi d'une pièce jointe malveillante via une plateforme tierce de gestion de tickets. Sumsub affirme que la compromission s'est limitée à cet environnement de support et n'a pas atteint ses systèmes de production ni sa chaîne de vérification, et qu'aucun élément n'indique que l'attaquant ait conservé un accès au-delà de juillet 2024.

Les données concernées portaient sur les clients de plateformes qui s'appuient sur Sumsub pour l'enregistrement — les noms cités dans la presse incluent Bitget, Bybit, MoonPay, Bitpanda, Wirex, BingX, MEXC et Coinlist. Les données exposées relevaient du contact plutôt que des pièces d'identité :

• Nom et prénom
• Adresse email
• Numéro de téléphone

Sumsub maintient qu'aucun document d'identité, donnée biométrique ou information bancaire n'a fuité. Le nombre total de personnes touchées n'a pas été rendu public. La combinaison nom + coordonnées exposée se prêtant bien aux attaques ciblées de phishing, de SIM-swap et d'ingénierie sociale visant les utilisateurs crypto, des chercheurs en sécurité ont signalé un risque accru en aval pour les personnes concernées. Sumsub indique avoir refermé l'accès en cause et sécurisé la plateforme de support.