Figure Breach : Fintech et Blockchain sous Cyber Menace

Imaginez confier vos informations personnelles les plus sensibles à une plateforme fintech prometteuse, vantant la sécurité infaillible de la blockchain, pour découvrir que des hackers ont réussi à s'emparer de vos nom, adresse, date de naissance et numéro de téléphone. C'est précisément ce qui est arrivé à près d'un million de clients de Figure Technology, un acteur majeur du prêt en ligne basé sur la technologie décentralisée. Cette affaire, survenue début 2026, met en lumière les vulnérabilités persistantes même dans les startups les plus innovantes du secteur financier.

Dans un monde où les transactions numériques explosent et où la confiance est la monnaie la plus précieuse, cet incident rappelle que l'innovation technologique ne protège pas automatiquement contre les faiblesses humaines. Figure, connue pour révolutionner les lignes de crédit hypothécaire grâce à sa plateforme blockchain, a vu ses défenses contournées non par une faille technique sophistiquée, mais par une ruse vieille comme le monde : l'ingénierie sociale.

Une brèche qui secoue le monde des fintech innovantes

Figure Technology Solutions, souvent simplement appelée Figure, s'est positionnée comme un pionnier dans le domaine du lending blockchain. Fondée avec l'ambition de simplifier et d'accélérer l'accès aux financements immobiliers, l'entreprise utilise la technologie décentralisée pour tokeniser les actifs et faciliter les transactions entre emprunteurs et investisseurs institutionnels. Cette approche promet transparence, rapidité et réduction des coûts intermédiaires.

Cependant, le 13 février 2026, la société a dû admettre publiquement avoir subi une brèche de données. Selon ses propres déclarations, l'incident a débuté par une attaque ciblée contre un employé. Les hackers, identifiés comme le groupe ShinyHunters, ont utilisé des techniques d'ingénierie sociale pour obtenir un accès initial limité. Ils ont ensuite exfiltré environ 2,5 gigaoctets de données, contenant des informations personnelles sur près de 967 200 comptes clients.

Ces données incluaient des éléments classiques mais sensibles : noms complets, adresses postales, dates de naissance, numéros de téléphone et adresses email. Bien que Figure ait insisté sur le fait que seul un nombre limité de fichiers avait été compromis, l'ampleur révélée par les analyses indépendantes, notamment via le service Have I Been Pwned, a rapidement fait surface.

Nous communiquons avec nos partenaires et les personnes concernées, et nous offrons une surveillance gratuite du crédit à tous les individus qui reçoivent une notification.

– Porte-parole de Figure Technology

Cette réponse, bien que standard dans l'industrie, soulève de nombreuses questions sur la préparation réelle des entreprises fintech face aux menaces cybernétiques modernes.

Comment l'attaque s'est-elle déroulée ?

L'attaque ne reposait pas sur une vulnérabilité zero-day complexe dans la blockchain de Figure. Au contraire, elle a exploité le maillon le plus faible de toute chaîne de sécurité : l'être humain. Les membres de ShinyHunters ont eu recours à du vishing, ou phishing vocal, en se faisant passer pour le support technique interne.

Ils ont contacté l'employé cible, l'ont dirigé vers un site de connexion falsifié ressemblant à celui d'Okta, le fournisseur de single sign-on utilisé par l'entreprise. Grâce à une technique de type man-in-the-middle, ils ont pu capturer à la fois les identifiants et les codes d'authentification multifactorielle. Cette méthode sophistiquée fait partie d'une campagne plus large ciblant les utilisateurs d'Okta, ayant déjà touché des institutions prestigieuses comme Harvard University et l'Université de Pennsylvanie.

Une fois l'accès obtenu, les attaquants ont pu télécharger des fichiers contenant les données clients. Figure a confirmé que la blockchain elle-même, cœur de son innovation pour la traçabilité des prêts, n'a pas été compromise. Les informations financières détaillées ou les clés privées n'auraient pas été exposées, selon les premières analyses. Pourtant, les données personnelles suffisent largement à alimenter des fraudes d'identité ou du phishing ciblé ultérieur.

ShinyHunters : un groupe de hackers redouté

ShinyHunters n'est pas un nouveau venu dans le paysage de la cybercriminalité. Ce collectif, actif depuis plusieurs années, s'est spécialisé dans l'extorsion de données. Leur modus operandi est clair : ils volent des informations, demandent une rançon, et en cas de refus, publient les données sur des sites du dark web pour maximiser la pression et parfois monétiser via la vente.

Dans le cas de Figure, l'entreprise a apparemment refusé de payer, conduisant à la publication des 2,5 Go de données. Ce groupe a déjà revendiqué des attaques contre divers secteurs, démontrant une expertise particulière dans l'exploitation des systèmes d'authentification centralisés comme Okta. Leur campagne récente illustre une évolution : plutôt que de viser directement les infrastructures techniques hautement sécurisées, ils contournent via l'humain.

Cette stratégie s'avère particulièrement efficace contre les startups en forte croissance. Ces dernières priorisent souvent l'innovation produit et la scalabilité rapide au détriment parfois d'une formation approfondie du personnel aux risques cyber.

Les implications pour les clients et le secteur fintech

Pour les clients affectés, les risques sont concrets. Une date de naissance combinée à une adresse et un numéro de téléphone permet de monter des scénarios d'usurpation d'identité sophistiqués. Les fraudeurs pourraient tenter d'ouvrir de nouveaux comptes, de demander des crédits ou simplement de mener des campagnes de phishing plus crédibles.

Figure a annoncé proposer un service gratuit de monitoring de crédit, une mesure désormais standard mais qui ne prévient pas tous les abus. Les clients doivent rester vigilants : changer régulièrement leurs mots de passe, activer l'authentification forte partout où possible, et surveiller leurs relevés bancaires.

Au-delà des individus, cet incident interroge la maturité cyber des fintech qui misent sur la blockchain. Si la technologie décentralisée offre une traçabilité remarquable pour les transactions, elle ne protège pas les bases de données centralisées contenant les données KYC (Know Your Customer) ou les profils utilisateurs.

• Renforcer la formation continue du personnel contre l'ingénierie sociale.
• Adopter des solutions d'authentification sans mot de passe ou biométriques avancées.
• Segmenter les accès aux données sensibles avec le principe du moindre privilège.
• Effectuer des audits réguliers et des simulations d'attaques réalistes.

Ces mesures, bien que basiques en théorie, exigent une culture de la sécurité intégrée dès la conception des produits.

Blockchain et sécurité : un mariage encore imparfait ?

Figure se distingue par son utilisation de la blockchain pour la provenance et la vente de ses actifs de crédit. Cette innovation permet de créer un registre immuable des transactions, réduisant les risques de fraude dans le processus de prêt lui-même. Pourtant, comme le démontre cette brèche, la sécurité globale d'une fintech dépend de l'ensemble de son écosystème, pas seulement de sa couche décentralisée.

Les données personnelles restent souvent stockées dans des bases relationnelles traditionnelles, soumises aux mêmes risques que n'importe quelle entreprise. Cela pose la question d'une meilleure intégration entre technologies legacy et innovations blockchain. Des approches comme la confidentialité zéro connaissance (zero-knowledge proofs) pourraient à l'avenir minimiser l'exposition des données sensibles tout en conservant les avantages de vérification.

De nombreuses startups fintech, inspirées par Figure, explorent aujourd'hui des modèles similaires. Elles doivent tirer les leçons de cet événement : investir massivement dans la cybersécurité n'est pas un coût, mais une condition sine qua non pour bâtir une confiance durable avec les utilisateurs.

Le rôle croissant des fournisseurs comme Okta

Cette attaque s'inscrit dans une série d'incidents visant les clients d'Okta. Ce leader des solutions d'identité et d'accès cloud facilite la vie des entreprises en centralisant l'authentification. Mais sa popularité en fait aussi une cible privilégiée. Lorsque les attaquants parviennent à contourner ou à voler les sessions Okta via l'ingénierie sociale, l'impact peut se propager à de multiples organisations.

Les experts en cybersécurité soulignent la nécessité pour les entreprises de combiner ces outils avec des contrôles supplémentaires : détection d'anomalies comportementales, authentification contextuelle, et limitation stricte des privilèges administrateurs. Okta elle-même a probablement renforcé ses recommandations suite à ces campagnes.

Les campagnes d'ingénierie sociale sophistiquées montrent que même les systèmes les plus modernes restent vulnérables si les pratiques humaines ne suivent pas.

– Analyste en cybersécurité spécialisé en fintech

Cette citation résume bien le défi actuel : la technologie avance vite, mais l'éducation et les processus doivent suivre le rythme.

Perspectives pour les startups en technologie avancée

Dans l'écosystème des startups, particulièrement celles opérant dans la technologie avancée et la finance, la gestion des risques cyber devient un critère de valorisation pour les investisseurs. Une brèche comme celle de Figure peut non seulement entraîner des coûts directs (notifications, monitoring, potentielles amendes réglementaires), mais aussi une perte de confiance difficile à regagner.

Les régulateurs, tant aux États-Unis qu'en Europe avec le RGPD et ses équivalents, exigent une transparence accrue et des mesures de protection robustes. Les fintech doivent anticiper ces exigences plutôt que de réagir après coup.

Des opportunités émergent néanmoins. De nouvelles startups se spécialisent dans la sécurité pour fintech, proposant des solutions d'IA pour détecter les tentatives d'ingénierie sociale en temps réel, ou des protocoles blockchain avancés pour protéger même les métadonnées clients.

Figure, malgré cet incident, continue probablement son développement. L'entreprise a affirmé mettre en place des mesures supplémentaires de formation et de protection. Son modèle basé sur la blockchain reste prometteur pour transformer le secteur des prêts immobiliers, plus transparent et accessible.

Conseils pratiques pour protéger ses données personnelles

Face à la multiplication de ces incidents, chacun peut adopter des habitudes simples mais efficaces :

• Vérifier régulièrement si ses données ont été compromises sur des sites comme Have I Been Pwned.
• Utiliser un gestionnaire de mots de passe unique pour chaque service.
• Activer systématiquement l'authentification à deux facteurs, de préférence via une application ou une clé physique plutôt que SMS.
• Se méfier des appels ou emails non sollicités demandant des informations de connexion.
• Surveiller ses comptes et signaler toute activité suspecte immédiatement.

Ces gestes, multipliés à l'échelle individuelle, renforcent collectivement la résilience du système financier numérique.

Vers une cybersécurité plus mature dans l'innovation fintech

L'affaire Figure illustre un tournant. Les startups ne peuvent plus considérer la sécurité comme une fonctionnalité additionnelle. Elle doit être au cœur de la proposition de valeur, surtout lorsqu'on manipule des données aussi sensibles que celles liées aux prêts et à l'identité.

Les investisseurs scrutent désormais les pratiques de gouvernance cyber lors des levées de fonds. Les talents en sécurité deviennent aussi précieux que les développeurs blockchain. Et les utilisateurs, de plus en plus informés, choisissent leurs plateformes non seulement sur l'innovation ou les taux, mais aussi sur la réputation en matière de protection des données.

Pour Figure Technology, cet épisode pourrait devenir un catalyseur d'amélioration. En renforçant ses défenses et en communiquant de manière transparente, l'entreprise peut transformer une crise en démonstration de résilience. Pour l'ensemble du secteur, c'est un rappel salutaire : dans la course à l'innovation, la sécurité ne doit jamais être reléguée au second plan.

Les mois à venir révéleront si cette brèche reste un incident isolé ou le signe d'une vague plus large contre les fintech misant sur des technologies disruptives. Une chose est certaine : la confiance des consommateurs sera le véritable actif le plus précieux à protéger dans cet écosystème en pleine évolution.

En conclusion, cet événement nous invite à repenser l'équilibre entre innovation rapide et prudence sécuritaire. Les startups comme Figure, qui combinent finance traditionnelle et technologies de pointe, portent une responsabilité particulière. Leur succès futur dépendra autant de leur capacité à innover que de leur aptitude à sécuriser les données qu'elles collectent. Dans un univers numérique interconnecté, une seule faille humaine peut ébranler les fondations les plus solides en apparence.

Les acteurs du secteur ont tout intérêt à collaborer, à partager les bonnes pratiques et à investir dans la formation. Seule une approche holistique permettra de bâtir un écosystème fintech véritablement résilient, où l'innovation rime enfin avec sérénité pour les utilisateurs.