Piratage de Waltio :
ce qui a réellement fuité, et pourquoi c’est grave.
La liste des données volées est courte, et c’est précisément ce qui trompe. Pas de mot de passe, pas de clé d’accès, pas d’adresse de portefeuille, pas même de nom ou de numéro de téléphone. Une adresse électronique et un montant. Dans le contexte français de 2026, cette combinaison suffit à établir une liste de personnes fortunées et joignables.
Ce qui s’est passé
La chronologie est précise, parce qu’elle a été établie par la justice autant que par l’entreprise elle-même.
- Nuit du 21 janvier 2026 : une intrusion se produit dans les systèmes de Waltio, société française éditant un outil de calcul des plus-values sur crypto-actifs.
- Les attaquants revendiquent la détention des données d’environ cinquante mille clients et réclament une rançon sous menace de publication.
- 22 janvier : le parquet de Paris confirme l’ouverture d’une enquête préliminaire. L’unité nationale cyber de la gendarmerie est saisie.
- 23 janvier : l’entreprise confirme l’intrusion par communiqué, indique que celle-ci n’est plus active et que ses services fonctionnent normalement.
- La CNIL est notifiée et les clients informés.
- Selon les éléments rapportés par la presse, la plateforme comptait jusqu’à cent cinquante mille utilisateurs.
Le calendrier de l’attaque n’est probablement pas fortuit. Le mois de janvier correspond à la période où les détenteurs de crypto-actifs préparent leur déclaration et se connectent massivement à ce type d’outil. Les rapports fiscaux sont générés, les données consolidées, et l’activité de la plateforme atteint son pic annuel. Un attaquant qui cherche des bases complètes choisit ce moment plutôt qu’un autre.
Un élément de contexte pèse lourd sur ce dossier. Les autorités examinent un lien éventuel entre cette fuite et la série d’agressions visant des détenteurs de crypto-actifs qui a marqué le début de l’année 2026 en France. L’association professionnelle du secteur a publiquement fait part de sa préoccupation face à ces faits.
La revendication de cinquante mille comptes provient des attaquants eux-mêmes. Elle n’a pas été confirmée par l’entreprise, qui décrit un périmètre limité sans en préciser le volume.
Ce qui a fuité, et ce qui n’a pas fuité
Beaucoup de commentaires ont évoqué des pièces d’identité, des adresses postales et des références de portefeuilles. Le communiqué de l’entreprise dit autre chose, et sa précision mérite d’être respectée.
Le périmètre est limité à la génération des rapports fiscaux de l’année 2024, arrêtés au 31 décembre 2024. On y trouve l’adresse électronique de l’utilisateur et les données agrégées issues de ce rapport : gains, pertes et soldes à cette date.
Ne sont pas concernés, selon la même source : les mots de passe, les clés d’interface de programmation, les identifiants d’accès, les adresses de portefeuilles et les données bancaires. Le dirigeant de la société a par ailleurs rappelé un point important : la plateforme ne collecte ni nom, ni prénom, ni adresse postale, ni numéro de téléphone, ni date de naissance.
Cette précision change la nature du risque sans le réduire. Les scénarios d’usurpation d’identité complète, souvent évoqués après les grandes compromissions comme l’exposition de centaines de millions de comptes en France ou la compromission d’un fichier bancaire national, ne s’appliquent pas ici. Le danger est ailleurs, et il est plus direct.
Pourquoi une adresse et un solde suffisent
Voici le point que la brièveté de la liste fait manquer. Ce n’est pas le nombre de champs qui compte, c’est ce que leur combinaison permet de faire.
Une adresse électronique associée à un solde en crypto-actifs constitue exactement ce qu’un criminel cherche : une liste de personnes disposant d’un patrimoine identifiable, classables par montant, et directement joignables. Aucune fuite d’adresses seules ne produit ce résultat. C’est la présence du chiffre qui transforme une base de contacts en liste de cibles.
Le premier usage est l’hameçonnage sur mesure. Un message mentionnant votre solde exact au 31 décembre 2024 emporte une crédibilité qu’aucun courriel générique n’atteindra jamais. Il démontre que l’expéditeur sait quelque chose que seul votre prestataire devrait savoir, ce qui désarme la méfiance. La suite est classique : une page imitant une plateforme, une demande de phrase de récupération, une prétendue mise en sécurité des fonds.
Un mécanisme supplémentaire aggrave l’ensemble : le recoupement. Une adresse électronique constitue un identifiant stable, réutilisé sur des dizaines de services. Croisée avec les fuites antérieures qui circulent déjà, elle permet souvent de retrouver un nom, un numéro de téléphone, parfois une adresse postale. Aucune de ces informations ne provient de la plateforme concernée, mais le solde qu’elle a laissé échapper leur donne soudain une valeur qu’elles n’avaient pas isolément. C’est l’assemblage qui crée le danger, pas chaque pièce prise séparément.
Le second est plus grave, et il explique la gravité particulière de ce dossier en France. Une liste de personnes fortunées a une valeur pour d’autres formes de criminalité que la fraude en ligne. La série d’agressions visant des détenteurs de crypto-actifs recensée depuis le début de 2026 donne à cette fuite une dimension qui dépasse largement le risque numérique habituel. C’est ce lien que les enquêteurs examinent.
L’incident jamais communiqué
Une enquête publiée au printemps 2026 par un média spécialisé a révélé que l’épisode de janvier n’était pas le premier, et que tous n’avaient pas été traités de la même manière.
- Un incident survenu au premier trimestre 2025 n’a jamais fait l’objet d’une communication publique.
- Lors de cet épisode, des crypto-actifs appartenant à l’entreprise ont été dérobés, après récupération d’une phrase de récupération stockée dans ses outils en ligne.
- Interrogée, la société n’a pas été en mesure d’apporter la preuve que cet incident avait été signalé à l’autorité de protection des données.
- Un second incident, survenu en octobre 2025, a en revanche bien donné lieu à une saisine de cette autorité, de même que celui de janvier 2026.
- Un spécialiste interrogé relève que l’absence de journaux d’activité ne permet pas d’établir avec certitude ce qui s’est produit lors du premier épisode.
Ce dernier point mérite d’être souligné, car il constitue un manquement en soi. Sans journalisation, une organisation ne peut ni déterminer l’étendue d’une compromission, ni savoir quelles données ont été consultées, ni remplir correctement son obligation d’information. L’absence de traces n’est pas une circonstance atténuante : c’est ce qui empêche de savoir s’il y en avait une.
Le règlement européen impose de notifier l’autorité sous soixante-douze heures dès lors qu’une violation présente un risque pour les personnes, et d’informer celles-ci lorsque ce risque est élevé. Les obligations en la matière sont détaillées dans notre article sur le rapport de la CNIL et les règles annoncées.
La concentration des données fiscales
Le calendrier de cette affaire n’est pas anodin, et il pose une question de fond qui dépasse largement une seule entreprise.
Depuis le 1er janvier 2026, une directive européenne impose aux plateformes de crypto-actifs la collecte et la transmission automatisée des données fiscales de leurs utilisateurs. Ce cadre rend des services comme celui-ci pratiquement indispensables aux détenteurs qui doivent déclarer leurs plus-values.
Le paradoxe est le suivant. Pour calculer correctement un impôt, l’outil doit agréger l’activité de tous les comptes de l’utilisateur, sur toutes les plateformes qu’il emploie. Il obtient donc une vision consolidée que personne d’autre ne possède, pas même les plateformes prises séparément. Un service qui ne détient aucun actif finit par détenir la carte complète du patrimoine.
Ce phénomène de concentration est structurel : chaque exigence de conformité crée un point unique où convergent des informations jusque-là dispersées. La difficulté ne tient pas à la réglementation elle-même mais à ce qu’elle produit sans l’avoir prévu, mécanisme que nous décrivions à propos de l’écart entre les obligations de conformité et leur mise en œuvre réelle. Le secteur y répond par un principe simple à énoncer et difficile à appliquer : moins de données conservées, moins de données à perdre.
Les réflexes à adopter
Pour une personne concernée, les mesures utiles sont peu nombreuses mais elles doivent être appliquées sans exception.
- Vérifier l’authenticité des messages reçus. La société a mis en place un code de sécurité unique en bas de ses courriels : un message qui n’en comporte pas ne vient pas d’elle.
- Activer une authentification renforcée sur tous les comptes liés, de préférence par application dédiée ou clé physique plutôt que par message texte.
- Ne jamais saisir une phrase de récupération ailleurs que dans son propre portefeuille. Aucun service légitime ne la demande, jamais, quelle que soit la justification avancée.
- Se méfier particulièrement des appels téléphoniques évoquant une mise en sécurité urgente des avoirs. Aucune institution ne demande de transférer des fonds pour les protéger.
- Ne pas confirmer la détention d’actifs à un interlocuteur non sollicité, même s’il semble déjà tout savoir. Le silence reste la meilleure réponse.
- Rester discret sur ses avoirs dans les échanges personnels et sur les réseaux, la fuite ayant déjà fourni le reste.
Un mot sur les tentatives de manipulation téléphonique, qui constituent la suite logique de ce type de fuite. Le procédé consiste à appeler en se présentant comme un conseiller, parfois en affichant un numéro légitime, et à instaurer une urgence. Nous l’avons détaillé dans notre article sur l’arnaque au faux conseiller bancaire, et les recours possibles sont exposés dans celui consacré aux conditions de remboursement après ce type de fraude.
D’autres techniques ciblent spécifiquement les détenteurs de crypto-actifs, comme la substitution d’adresse dans le presse-papiers, décrite dans notre article sur une perte de onze mille euros survenue en quelques secondes.
Ce qu’une entreprise doit en retenir
Le cas est instructif bien au-delà du secteur des crypto-actifs, parce que les erreurs qu’il révèle se retrouvent dans des structures de toutes tailles.
La première leçon porte sur la journalisation. Sans traces d’activité conservées, une organisation confrontée à une intrusion ne peut ni mesurer l’étendue du problème, ni informer correctement les personnes concernées, ni se défendre devant une autorité. Ce n’est pas un raffinement technique réservé aux grandes entreprises : c’est le minimum qui permet de savoir ce qui s’est passé.
La deuxième porte sur les secrets stockés en ligne. L’épisode de 2025 tient à une clé conservée dans les outils de travail de l’entreprise. Le principe vaut pour n’importe quelle activité : les identifiants critiques, les accès administrateur et les sauvegardes ne se rangent pas dans les mêmes espaces que les documents courants.
La troisième porte sur la minimisation. Conserver une donnée que l’on n’utilise pas revient à porter un risque sans contrepartie. Un fichier client qui garde des dates de naissance, des adresses complètes ou des historiques que plus personne ne consulte constitue exactement le type de base qui coûte cher le jour où elle sort. Les principes applicables sont détaillés dans notre article sur les obligations de mise en conformité au règlement européen.
Ce qu’on nous demande le plus souvent.
Quelles données ont fuité exactement ?
Selon le communiqué de l’entreprise, un périmètre limité aux rapports fiscaux 2024 arrêtés au 31 décembre : l’adresse électronique de l’utilisateur et les données agrégées du rapport, soit les gains, les pertes et les soldes à cette date.
Mes crypto-actifs sont-ils en danger ?
Aucune donnée permettant d’y accéder n’a été compromise selon l’entreprise : ni mots de passe, ni clés d’interface, ni identifiants, ni adresses de portefeuilles. Le risque porte sur les tentatives de manipulation visant à vous faire livrer vous-même ces accès.
Pourquoi cette fuite est-elle grave malgré tout ?
Parce qu’une adresse associée à un montant constitue une liste de personnes fortunées, classables et joignables. Un solde patrimonial ne se change pas comme un mot de passe : la donnée reste exacte des années après. Les autorités examinent un lien éventuel avec des agressions visant des détenteurs.
Comment reconnaître un vrai message de la plateforme ?
Par le code de sécurité unique figurant en bas de ses courriels. Un message qui n’en comporte pas ne vient pas d’elle. En cas de doute, n’utilisez aucun lien reçu et connectez-vous en tapant vous-même l’adresse du site.
Y a-t-il eu d’autres incidents ?
Oui. Un épisode d’octobre 2025 a donné lieu à une saisine de l’autorité de protection des données. Un autre, survenu au premier trimestre 2025 et jamais communiqué publiquement, a été révélé par la presse spécialisée au printemps 2026.
Que faire si j’ai reçu un message suspect ?
Ne pas répondre, ne cliquer sur aucun lien, et ne jamais saisir de phrase de récupération. Signaler le message aux dispositifs publics prévus à cet effet, et conserver l’intégralité de l’échange, qui peut servir en cas de suite judiciaire.
- Communiqué de Waltio du 23 janvier 2026 relatif à l’intrusion survenue dans la nuit du 21 janvier et au périmètre des données exposées.
- Confirmation par le parquet de Paris, le 22 janvier 2026, de l’ouverture d’une enquête préliminaire et saisine de l’unité nationale cyber de la gendarmerie.
- Déclarations de Pierre Morizot, dirigeant de la société, relatives aux données non collectées par la plateforme et aux accès non compromis.
- Enquête publiée au printemps 2026 par un média spécialisé sur un incident antérieur non communiqué et sur l’absence de journaux d’activité.
- Directive européenne relative à la déclaration des crypto-actifs, entrée en application le 1er janvier 2026.
- Comptes rendus de la presse spécialisée et généraliste française publiés entre le 22 janvier et le 10 mai 2026.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Les revendications des attaquants sont distinguées des éléments confirmés par l’entreprise, et aucune donnée non mentionnée dans les communiqués officiels n’est présentée comme compromise. Pour aller plus loin : les avis clients ou nous écrire.
Conservez-vous des données que vous n’utilisez plus ?
Dates de naissance, adresses complètes, historiques que personne ne consulte : ce sont exactement ces fichiers qui coûtent cher le jour où ils sortent. Une donnée jamais collectée ne fuite jamais.