En septembre 2026, Brevo, prestataire utilisé par Paymium pour l’envoi de certaines communications par e-mail, a été victime d’un incident de sécurité ayant permis à un attaquant d’accéder à plusieurs comptes clients de sa plateforme.
Cet incident a concerné le compte Brevo utilisé par Paymium et a entraîné l’extraction de données personnelles qui y étaient enregistrées.
Nous souhaitons revenir de manière factuelle sur les circonstances de cet incident, son périmètre, les données concernées et les mesures prises.
Que s’est-il passé chez Brevo ?
Le 10 septembre 2026 à 6h30 UTC, Brevo a identifié une faille affectant son système d’authentification unique SSO utilisant le protocole SAML.
Selon les informations publiées par Brevo, un attaquant a créé un compte Brevo sur lequel il a activé une configuration SSO, puis invité des utilisateurs légitimes de Brevo à rejoindre cette configuration.
Une limitation de sécurité qui aurait dû restreindre ces accès à une seule organisation n’était pas correctement appliquée. L’attaquant a ainsi pu accéder à d’autres organisations auxquelles ces utilisateurs disposaient eux-mêmes d’un accès.
Brevo indique que 138 comptes clients ont été concernés :
- sur 6 comptes, l’accès a été utilisé pour envoyer des e-mails de phishing ;
- sur 43 comptes, des listes de contacts ont été exportées ;
- sur 93 comptes, Brevo indique n’avoir identifié aucune activité significative de l’attaquant.
À 8h30 UTC le 10 septembre, Brevo indique avoir fermé la voie d’accès exploitée et réinitialisé les sessions actives de ses utilisateurs. Brevo précise n’avoir constaté aucune nouvelle activité de l’attaquant par cette voie depuis cette intervention.
Quelles données ont été extraites ?
Dans le cadre de cet incident, l’ensemble des données enregistrées dans l’environnement Brevo de Paymium a été extrait.
Les informations présentes dans Brevo pouvaient comprendre :
- l’adresse e-mail et l’identifiant associés au compte Paymium ;
- le nom ;
- le prénom ;
- la date de naissance ;
- le numéro de téléphone ;
- le pays de résidence.
Toutes ces informations n’étaient toutefois pas renseignées pour chaque contact. Le niveau d’information disponible variait selon les personnes : certaines fiches pouvaient par exemple ne contenir qu’une adresse e-mail, d’autres une adresse e-mail et un numéro de téléphone, tandis que d’autres comportaient l’ensemble ou une partie des informations listées ci-dessus.
L’incident a concerné uniquement l’environnement de notre prestataire Brevo et n’a pas affecté l’infrastructure de Paymium ni permis d’accéder directement aux comptes ou aux actifs de nos clients.
À notre connaissance, aucun e-mail frauduleux ou malveillant n’a été envoyé depuis le compte Brevo de Paymium dans le cadre de cet incident.
Quelles mesures ont été prises ?
À la suite de la détection de l’incident, Brevo a indiqué avoir fermé la voie d’accès utilisée par l’attaquant et déconnecté l’ensemble des sessions actives de sa plateforme.
Brevo a également annoncé le déploiement d’un correctif destiné à limiter strictement les connexions SSO à l’organisation propriétaire de chaque configuration SSO. L’entreprise a par ailleurs indiqué avoir engagé une procédure auprès des autorités et coopérer avec celles-ci.
De notre côté, la sécurité des accès liés à notre environnement Brevo a été renforcée.
Paymium a informé ses clients de l’incident et de son périmètre.
Vigilance face aux tentatives de phishing
Les données extraites sont des données d’identité et de contact. Elles peuvent être utilisées pour rendre plus crédibles des tentatives de phishing par e-mail, SMS ou téléphone.
Nous recommandons donc à nos clients de rester particulièrement vigilants face à toute communication faisant référence à Paymium ou aux crypto-actifs.
Pour rappel, Paymium ne vous demandera jamais de communiquer ni par mail ni par téléphone votre mot de passe, votre seed phrase ou vos clés privées, ni d’effectuer un transfert de fonds dans le cadre d’une procédure de sécurité.
En cas de doute sur une communication reçue au nom de Paymium, ne cliquez sur aucun lien et contactez directement notre service client [email protected]
Veillez à toujours vous connecter sur l'url : account.paymium.com
Transparence et information
La protection des données et des actifs de nos clients constitue une priorité pour Paymium.
Lorsqu’un incident affectant l’un de nos prestataires concerne des données de nos utilisateurs, notre responsabilité est d’en déterminer précisément le périmètre, de prendre les mesures nécessaires et d’informer nos clients sur la base des informations disponibles.
Nous continuerons à communiquer de manière transparente si de nouveaux éléments relatifs à cet incident devaient être établis.
