Le Dépositaire central roumain visé par une cyberattaque, des données personnelles d'investisseurs exposées

Ce qui s'est passé

Depozitarul Central, l'institution roumaine qui tient les registres des actions et autres instruments financiers et gère les transferts entre vendeurs et acheteurs, a été la cible d'une cyberattaque signalée le vendredi 16 octobre 2026. L'attaque visait l'application Online Services for Investors, qui permet aux investisseurs particuliers roumains de créer des comptes utilisateurs pour les services en ligne du dépositaire. L'institution indique que l'incident a été identifié le jour même et que des mesures d'enquête et de remédiation ont été engagées immédiatement. Le dépositaire fait partie du groupe de la Bourse de Bucarest et assure le règlement des transactions réalisées sur la place boursière.

L'application a été mise hors ligne temporairement pour contenir l'attaque, et l'institution précise qu'elle était toujours indisponible au moment de la publication de son communiqué. Libertatea, citant Economica.net, rapporte que des sources internes à l'institution indiquent que les données stockées n'ont pas été altérées et que les systèmes de sauvegarde fonctionnaient à des paramètres optimaux.

Des données personnelles consultées

L'institution indique que des données personnelles d'utilisateurs ont été consultées pendant l'attaque, précisément les informations utilisées lors de l'inscription ou de la création de compte des investisseurs. Cela couvre le nom complet, l'adresse, le code numérique personnel (CNP), la série et le numéro de la carte d'identité, l'adresse électronique, le numéro de téléphone et le code bancaire IBAN. Le dépositaire précise que ces données n'ont pas été modifiées ni altérées. Il indique également que les mots de passe des comptes n'ont pas été consultés, tout en conseillant aux utilisateurs qui réutilisent un même mot de passe sur plusieurs services de le changer.

Libertatea rapporte que les systèmes du dépositaire contiennent aussi les registres historiques de millions d'actionnaires dits « cuponari », qui ont reçu des actions lors de la privatisation de masse des années 1990 et les ont conservées depuis. Le même média indique que l'exposition de données d'identité accroît le risque d'ingénierie sociale et d'usurpation d'identité.

Services et réponse

Le dépositaire indique que l'incident n'a pas d'incidence sur les services critiques et importants liés au règlement et au registre des actions, qui fonctionnent dans des conditions normales. Les détenteurs d'instruments financiers conservent l'accès à tous les services fournis par le dépositaire.

Les détenteurs d'instruments financiers conservent l'accès à tous les services fournis par le Dépositaire central.

L'institution indique avoir informé les autorités compétentes et coopérer avec elles à l'analyse. Elle a notifié la Direction nationale de la cybersécurité (DNSC), l'autorité chargée des menaces pesant sur les infrastructures critiques en Roumanie, et a mandaté une société spécialisée en sécurité offensive et en réponse aux incidents. Les enquêteurs examinent le vecteur de l'attaque et le chemin suivi par les attaquants à l'intérieur du réseau interne, et la surveillance des systèmes a été renforcée.

Conseils aux investisseurs

Le dépositaire invite les utilisateurs à choisir des mots de passe uniques, à activer l'authentification en deux étapes lorsqu'elle est disponible, à éviter les liens suspects et à ignorer les messages non sollicités par courriel, SMS ou téléphone demandant des identifiants ou des données personnelles. Il met également en garde contre des tentatives de fraude imitant ses communications.

Vérifiez l'authenticité des demandes et soyez particulièrement attentifs à toute communication inhabituelle semblant provenir de notre part.

L'institution demande aux utilisateurs de ne pas publier d'informations personnelles sur les réseaux sociaux ni de les partager via des questionnaires en ligne, car ces détails peuvent rendre les tentatives de fraude et d'ingénierie sociale plus convaincantes. Elle présente ses excuses pour l'inquiétude et les désagréments causés par l'incident.