40 millions d’euros volés en 3 ans : avec de faux RIB, des pirates ont fait des ravages en France

Pendant près de trois ans, un groupe de cybercriminels sud-américains s’est attaqué aux notaires de France. Plus de 500 études ont été piratées, selon l’ANSSI. Entre 35 et 40 millions d’euros ont été détournés grâce à de faux RIB et des fraudes au président savamment orchestrées. Les pirates sont même parvenus à s’infiltrer au cœur du système du Conseil supérieur du notariat.

Entre décembre 2022 et 2025, un groupe de cybercriminels a infiltré plus de 500 offices notariaux français, dérobant entre 35 et 40 millions d’euros. Révélée par Le Monde sur la base de documents internes de l’Anssi et du Conseil supérieur du notariat (CSN), cette campagne a considérablement perturbé les activités notariales en France.

Les notaires font partie des cibles privilégiées des truands. Les études notariales manient en effet chaque jour d’importantes sommes d’argent lors de transactions immobilières ou successorales… tout en étant très mal préparées contre les attaques informatiques.

À lire aussi : Arnaques aux impôts – de fausses lettres de la DGFiP inondent les boîtes aux lettres des Français

Les deux tactiques des pirates sud-américains

L’affaire commence lors des dernières semaines de l’année 2022. Des hackers, basés en Amérique du Sud, s’introduisent dans les systèmes informatiques d’offices notariaux français. Pour arriver à leurs fins, ils commencent par compromettre un ordinateur appartenant à un cabinet de notaires. Ils vont ensuite s’en servir pour envoyer des mails piégés à d’autres notaires, ce qui leur permet de passer d’une machine à une autre.

Les truands ont alors usé de deux tactiques différentes pour gagner de l’argent. La première stratégie consiste à détourner des relevés d’identité bancaire (RIB) en passant par la messagerie des notaires. Lors d’une vente immobilière, le notaire envoie souvent son RIB par mail au client, pour que celui-ci puisse lui verser de l’argent. Or, les pirates ont accès à la boîte mail du notaire. Ils remplacent alors le vrai RIB par un faux, sans que personne ne s’en aperçoive. Résultat : le client pense payer le notaire, mais son virement part en réalité directement vers le compte des pirates.

Par ailleurs, les pirates ont orchestré diverses fraudes au président. Ils se font passer pour le notaire lui-même auprès de son équipe, en volant son adresse mail et en imitant son style d’écriture. Dans un courriel, ils demandent un virement urgent et confidentiel. Piégé par cette mise en scène, un membre du personnel exécute le virement demandé.

Des pirates « très persistants »

Après quelques mois d’attaques, le Conseil supérieur du notariat (CSN), l’organe qui chapeaute la profession, a mis en garde tous les notaires de France dans le cadre d’une tournée d’informations. Le CSN s’est également fendu d’une campagne de sensibilisation d’envergure. Celle-ci recommandait notamment aux notaires de ne plus transmettre de RIB par courriel.

En dépit des alertes émises par le Conseil supérieur du notariat, des notaires ont continué de se faire piéger. Plus de 500 études, soit 7% des offices français, sont touchées. Les cybercriminels sont ainsi parvenus à détourner entre 35 et 40 millions d’euros. Les établissements bancaires des notaires prennent alors des mesures fortes pour limiter les virements frauduleux, mais les escroqueries se poursuivent. Décrits comme « très persistants » par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), ils ont ajusté leurs méthodes d’attaque à mesure que les défenses se renforçaient.

Selon les investigations d’experts en cybersécurité, le système informatique du CSN a lui aussi été compromis durant cette période. Les autorités se penchent de plus en plus sur la situation. L’ANSSI découvre que les systèmes du Conseil supérieur du notariat étaient criblés de failles de sécurité. Les autorités s’inquiètent particulièrement pour le système qui gère les clés numériques utilisées pour signer les actes authentiques. Celui-ci a potentiellement été compromis.

À lire aussi : Fuite de données aux impôts – la France arrête un « pirate chevronné »

La situation est sous contrôle

Le ministère de la Justice confirme alors que le dossier a été identifié comme « particulièrement sensible et prioritaire ». Les autorités redoutent que les pirates puissent un jour générer de faux actes authentiques en exploitant les accès compromis. Plus de deux ans après le début des cyberattaques, Vincent Strubel, le patron de l’ANSSI, réclame une opération « coup de poing » pour mettre un terme aux offensives.

Sollicité par Le Monde, le CSN affirme que la situation est désormais sous contrôle à l’heure où cet article est rédigé. Selon le CSN, aucun faux acte authentique n’aurait été généré par les pirates. Cette vague d’attaques est mise en lumière alors que la France continue de se retrouver dans le collimateur des cybercriminels. L’été a été marqué par une multiplication des fuites de données, notamment au sein des systèmes du gouvernement.