Fintech & paiementsVos données financières
Vos données financières
sont une cible prioritaire.
Les fintechs manipulent des données de paiement, des IBAN, des transactions. Avec DORA en vigueur depuis janvier 2025 et PCI-DSS v4.0, la sécurité applicative est un prérequis réglementaire. Pas un supplément.
Réglementations applicables
DORA
En vigueur depuis janvier 2025Digital Operational Resilience Act : tests de résilience obligatoires pour toutes les entités financières de l'UE.
PCI-DSS v4.0
En vigueurStandard de sécurité des données de paiement. Exigences renforcées sur l'authentification, le chiffrement et la surveillance.
RGPD — Données financières
En vigueurLes données bancaires sont des données personnelles. Fuite de 24 millions d'IBAN chez Free en 2024 : les sanctions tombent vraiment.
Vulnérabilités fréquentes en fintech
- Configuration de paiement (Stripe et consorts) manipulable côté client
- API de transaction sans limitation de débit ni authentification forte
- Exposition d'IBAN et de données bancaires via des routes d'API non protégées
- Webhooks de paiement sans vérification de signature
- Élévation de privilèges qui donne accès aux données d'autres utilisateurs
Nous trouvons régulièrement des configurations de paiement manipulables et des API financières sans protection adéquate chez les fintechs françaises.