ASP : les IBAN de 143 000 bénéficiaires du Coup de pouce énergie exposés

L'Agence de services et de paiement (ASP) confirme avoir subi une intrusion dans un compte utilisateur, en août 2026, qui a permis l'extraction d'avis de paiement. Un pirate revendique 143 518 lignes de données, dont des coordonnées bancaires de bénéficiaires du « Coup de pouce énergie » de la Région Île-de-France. L'incident a été révélé fin septembre 2026.

Une intrusion détectée le lendemain

Selon l'ASP, un incident de sécurité s'est produit le 27 août 2026 sur le portail lié au dispositif « Coup de pouce énergie ». L'agence indique avoir repéré, le 28 août, un accès frauduleux à un compte utilisateur. Cet accès a permis de sortir des documents contenant des données personnelles, d'après la notification adressée aux personnes concernées, relayée par Clubic et Frandroid.

Les fichiers concernés sont des avis de paiement émis en 2023 et 2024. L'ASP précise que le compte compromis a été bloqué et que la vulnérabilité à l'origine de l'incident a été corrigée. Elle a notifié l'incident à la Commission nationale de l'informatique et des libertés (CNIL), ainsi que la Région Île-de-France.

L'information a été rendue publique le 24 septembre 2026, date de la première publication du site Cyberattaque.org.

Des IBAN parmi les données exposées

Selon la notification de l'ASP, les documents contiennent des noms, prénoms, adresses postales, numéros de bénéficiaire, coordonnées bancaires (IBAN et BIC) et montants versés. Les données du « Coup de pouce énergie » figurent dans les échantillons consultés par Cyberattaque.org, qui ne reproduit pas les identités.

Le dispositif a versé une aide de 250 euros à environ 160 000 foyers modestes d'Île-de-France entre juillet et octobre 2023, grâce à une enveloppe européenne de 45 millions d'euros. L'ASP assurait le paiement pour le compte de la Région.

Le nombre de personnes réellement touchées n'est pas connu. Le pirate revendique 143 518 lignes, soit un chiffre qui ne correspond pas forcément à un nombre de personnes. L'ASP ne donne pas de chiffre dans sa notification.

Un pirate revendique une faille IDOR

Le pirate affirme avoir publié ces données sur un forum cybercriminel, sous l'intitulé « [FR] asp public ». D'après lui, il a exploité une faille de type IDOR (pour « Insecure Direct Object Reference »). Ce type de faille permet d'accéder à un document en modifiant un identifiant dans une requête, sans vérifier les droits de l'utilisateur.

Cette revendication n'est pas confirmée. L'ASP dit seulement avoir identifié puis corrigé une vulnérabilité, sans en préciser la nature. Selon Clubic, seul le pirate évoque une faille IDOR à ce stade. Clubic rappelle que la même méthode avait été utilisée pour récupérer des données liées à l'ANTS, dans une affaire qui concernait près de 19 millions de Français.

Un risque de fraude au prélèvement et à l'hameçonnage

Un IBAN seul ne permet pas de vider un compte. Combiné à un nom, une adresse et un montant d'aide exact, il peut en revanche servir à monter des arnaques crédibles. Frandroid explique qu'un faux conseiller peut citer la somme réellement perçue pour gagner la confiance de la victime, puis lui soutirer un code bancaire.

L'ASP a averti les personnes concernées des « risques d'hameçonnage et de démarches frauduleuses », selon Clubic. Clubic rappelle aussi que la fraude par manipulation a coûté 516 millions d'euros aux victimes en 2025, d'après l'Observatoire de la sécurité des moyens de paiement.

Aucune plainte ni aucune enquête n'est mentionnée dans les sources consultées à ce jour.

Ce que les bénéficiaires doivent surveiller

Les personnes ayant perçu le « Coup de pouce énergie » en 2023 ou 2024 sont invitées à vérifier leurs relevés bancaires. Un prélèvement non autorisé peut être contesté auprès de sa banque dans un délai de 13 mois après la date du débit, selon Frandroid.

L'ASP n'a pas précisé dans les sources disponibles si des mesures d'accompagnement sont prévues pour les bénéficiaires concernés.