🗃️ KBC Securities et la magie du publipostage inversé : 5 000 clients pour 1 envoi raté

Bienvenue dans le monde merveilleux de la banque 2.0, où vos investissements sont entre de bonnes mains… du moins jusqu’à ce qu’un prestataire externe décide d’improviser un épisode de “Black Mirror” en mode Boursorama.

Le 22 mai 2025, KBC Securities Services, prestigieuse filiale du groupe bancaire belge KBC (spécialisée dans les titres financiers), a offert à environ 5 000 clients un cadeau inattendu : un pack découverte contenant les portefeuilles d’investissement d’inconnus. Pas de phishing, pas de ransomware, juste une petite bourde old school : une fuite de données à l’ancienne, bien propre, bien humaine, bien gênante.

🤡 Comment ? Grâce à un prestataire sous caféiné

Officiellement, c’est la faute du prestataire externe. Non, pas un méchant hacker russe. Pas un groupe APT avec un nom de reptile. Juste un collaborateur qui a appuyé sur “Envoyer à tous” avec la grâce d’un stagiaire sous pression.

Résultat : au lieu de recevoir leurs propres relevés, des milliers de clients ont reçu les infos financières de parfaits inconnus, comprenant :

• les montants investis,
• les actifs détenus,
• et assez de détails pour reconnaître certains gros poissons cotés en bourse.

On ne parle pas ici de “nom/prénom mal alignés dans un CSV”. On parle d’une violente mise à nu financière par erreur de clic.

🕵️ Qui est concerné ? Spoiler : pas le grand public

Les victimes ne sont pas madame Michu ou un étudiant avec 200 € en ETF. Non. Ici, on parle de :

• gestionnaires d’actifs,
• clients institutionnels,
• familles fortunées,
• bref, des gens pas forcément fans de voir leurs données fiscales faire du yoga dans la boîte mail d’autrui.

Et comme souvent, ce sont justement les clients les plus discrets qui aiment le moins qu’on expose leur patrimoine entre deux PowerPoint.

💣 Le vrai risque pour KBC

KBC a, bien sûr, publié un communiqué très corporate, à base de :

“La protection des données est notre priorité.”
“Nous avons agi immédiatement pour remédier à l’erreur.”
“Tout est sous contrôle.”

Mais dans les faits, voici ce qui les attend au menu :

🍝 En entrée :

• Enquête RGPD avec une louche d’audit CNIL (ou APD côté belge),
• Sanctions potentielles jusqu’à 4 % du chiffre d’affaires (on parle de plusieurs dizaines de millions d’euros).

🍖 En plat :

• Class action, ou du moins quelques procédures civiles salées. Les clients n’apprécient généralement pas que leurs portefeuilles se retrouvent en vitrine.

🍮 En dessert :

• Une perte de confiance. Et dans le monde feutré de la banque privée, la confiance ne se rachète pas avec une hotline et un cookie consent.

💸 Impact financier : pas que symbolique

On pourrait penser qu’une “simple erreur humaine” n’a pas trop d’impact. Mais ici :

• Il faudra auditer les processus internes et former les prestataires à ne pas appuyer sur “Reply All”.
• Gérer les incidents avec un service client qui aura autre chose à faire que du small talk.
• Indemniser les clients, surtout si les informations fuitées permettent des conclusions sur leur fiscalité, leur stratégie patrimoniale, voire des conflits d’intérêts.

Et au cas où quelqu’un cherche une référence, l’affaire Blackbaud ou encore Capital One ont coûté des dizaines de millions pour moins que ça.

🤯 Impact social : bienvenue dans la transparence involontaire

Pour un client lambda, recevoir par erreur le portefeuille d’un autre, c’est gênant. Pour un dirigeant d’une société cotée, c’est potentiellement explosif.
Imaginez : l’identité d’un actionnaire révélée, des mouvements de fonds visibles, des arbitrages déduits… ça s’appelle du front-running involontaire.

À l’ère post-LuxLeaks, cette affaire peut aussi se transformer en cauchemar médiatique, surtout si des activistes ou médias fouillent dans les données reçues.

🔮 Et maintenant ? Ce que KBC risque (spoiler : du karma)

L’affaire est encore chaude, mais voici les scénarios :

1. L’amende RGPD : entre 1 et 10 millions d’euros si l’APD décide de frapper fort (ce serait mérité).
2. La jurisprudence : cette affaire pourrait rejoindre la longue liste des fuites « non malveillantes » aux conséquences lourdes. Exemple :
   • UniCredit Italie (2020) : fuite « interne », 3,5 M€ d’amende + réorganisations.
   • Travelex (2019) : fuite de données suivie d’un ransomware… et d’une faillite.
3. La restructuration : audits, nouveaux CISO, clauses de confidentialité plus musclées, et peut-être une petite campagne de communication feel-good (« Chez nous, vos données sont… normalement bien gardées »).

🧼 Conclusion : “Oops, we did it again”

KBC Securities Services vient d’apprendre à ses dépens qu’il ne suffit pas d’avoir un joli SSO et un coffre-fort de données.
Quand on externalise à la va-vite et qu’on n’encadre pas correctement ses prestataires, la sécurité devient un jeu de roulette russe. Cette fois, la balle est partie.

Rappelons-le : le Shadow IT, ce n’est pas que le SaaS mal contrôlé, c’est aussi les partenaires externes qu’on laisse manipuler les données sensibles sans double validation ni contrôle qualité.
Voir nos articles sur les Shadow IT, Shadow SaaS et évidemment les Obligation des prestataires

Morale de l’histoire ?
Quand on confie ses clients à un sous-traitant, autant lui rappeler que “Ctrl + S” est plus sûr que “Ctrl + Entrée”.

Partager cet article : Twitter LinkedIn WhatsApp

🖋️ Publié sur SecuSlice.com