Un incident de sécurité a touché les infrastructures de vérification d'identité de la fintech française Spiko, affectant des documents sensibles utilisés lors des procédures KYC. Selon FrenchBreaches, un tiers non autorisé aurait accédé, entre le 26 août et le 6 septembre 2025, au compte Spiko sur la plateforme Onfido, désormais intégrée au groupe américain Entrust. Les données exposées pourraient inclure des passeports, des cartes d'identité, des permis de conduire et des selfies de vérification faciale, bien que les systèmes internes de Spiko et les données bancaires des utilisateurs ne soient pas compromis.

Ce qu'il faut retenir

  • Un accès non autorisé a été détecté entre le 26 août et le 6 septembre 2025 sur la plateforme Onfido, utilisée par Spiko pour les vérifications d'identité.
  • Les données exposées pourraient inclure des passeports, cartes d'identité, permis de conduire et selfies biométriques.
  • Les systèmes internes de Spiko et les données bancaires des utilisateurs ne sont pas concernés par cette violation.
  • Les utilisateurs n'ont été informés qu'en été 2026, soit près de dix mois après l'incident.

Un prestataire majeur de la vérification d'identité compromis

Onfido, racheté par Entrust en 2022, est l'un des acteurs clés du marché de la vérification d'identité à distance. Ses technologies sont déployées par des centaines de banques, fintechs et plateformes financières à travers le monde pour vérifier l'identité des clients, détecter les fraudes et se conformer aux réglementations KYC et AML. Parmi ses fonctionnalités, la plateforme compare automatiquement les documents d'identité avec des selfies vidéo ou photographiques, une méthode désormais largement adoptée pour ouvrir un compte bancaire ou accéder à des services financiers en ligne.

Cette concentration de données sensibles attire l'attention des cybercriminels, car une seule faille peut impacter des milliers d'utilisateurs répartis sur de multiples services. Spiko, spécialisée dans les solutions de placement de trésorerie, utilise Onfido pour ses procédures de vérification, mais l'incident ne concerne que les données hébergées par le prestataire, selon les informations communiquées aux clients concernés.

Des données impossibles à remplacer une fois compromises

Contrairement à un mot de passe ou une adresse e-mail, les documents d'identité et les selfies biométriques ne peuvent pas être modifiés rapidement en cas de fuite. Une fois exposés, ces éléments deviennent des cibles privilégiées pour les fraudeurs, qui peuvent les exploiter pour usurper une identité, ouvrir des comptes frauduleux ou lancer des campagnes de phishing ciblées. Les spécialistes du secteur soulignent régulièrement ce risque : «

Les mots de passe se changent. Les passeports et les visages, beaucoup moins.
» Une citation qui résume l'ampleur du problème posé par la centralisation des données biométriques.

L'incident survient dans un contexte où les obligations d'identification numérique se multiplient en Europe, notamment avec les débats autour de la vérification d'âge et des futurs dispositifs d'identité en ligne. Les défenseurs des libertés numériques alertent sur l'accumulation de données sensibles, qui, une fois compromises, peuvent avoir des répercussions durables sur la sécurité des individus.

Un délai de notification jugé préoccupant

Si Spiko a confirmé la violation auprès de ses clients, certains n'ont été informés qu'en été 2026, soit près de dix mois après les faits. Cette latence dans la communication interroge sur les pratiques de gestion des incidents de sécurité au sein des entreprises, d'autant plus que les données concernées sont parmi les plus sensibles. Aucun mot de passe ou identifiant de connexion Spiko n'aurait été exposé, et les comptes bancaires des utilisateurs ne seraient pas affectés, selon les éléments communiqués par la fintech.

Les utilisateurs concernés sont invités à conserver la notification reçue, à surveiller toute activité inhabituelle et à redoubler de vigilance face aux demandes de documents administratifs ou d'informations personnelles non sollicitées. Les autorités compétentes n'ont pas encore réagi publiquement à cet incident, mais ce type de fuite pourrait donner lieu à des investigations supplémentaires, notamment sur les mesures de sécurité mises en place par Onfido et ses partenaires.

Et maintenant ?

Les prochaines semaines pourraient voir émerger des réactions des régulateurs européens, notamment en matière de protection des données biométriques. La Commission européenne, qui travaille sur l'identité numérique européenne, pourrait accélérer les discussions autour des garanties à mettre en place pour éviter de nouvelles fuites. Par ailleurs, les entreprises utilisant des prestataires comme Onfido devraient renforcer leurs audits de sécurité et leurs procédures de notification en cas d'incident. Reste à voir si cet événement entraînera des changements structurels dans la gestion des données sensibles par les acteurs du secteur.

Cette violation rappelle une fois de plus que la dépendance aux prestataires externes de vérification d'identité expose les utilisateurs à des risques systémiques. Alors que les procédures KYC se généralisent, la question de la protection des données biométriques et des documents d'identité devient un enjeu central pour la sécurité numérique des citoyens.

Les données concernées pourraient inclure des passeports, cartes nationales d'identité, permis de conduire et selfies de vérification faciale, selon les informations communiquées par Spiko. Ces éléments sont utilisés lors des procédures KYC pour authentifier l'identité des clients.

Spiko a indiqué aux utilisateurs concernés que la violation avait été identifiée entre le 26 août et le 6 septembre 2025, mais certains n'ont été informés qu'en été 2026. Cette latence pourrait s'expliquer par des investigations internes ou des retards dans la communication, un point qui n'a pas été détaillé par la fintech.