La société israélienne de paiements Nayax a refusé de verser une rançon exigée par des pirates informatiques qui ont dérobé des relevés de transactions et des documents commerciaux à partir d’un compte cloud lié à l’une de ses filiales. La société, cotée au Nasdaq et à Tel Aviv, a confirmé le 14 juillet que des données avaient été exfiltrées, six jours après sa première divulgation d’une activité suspecte le 8 juillet. Le conseil d’administration de Nayax a décidé de ne pas répondre aux demandes de rançongiciel des attaquants, en indiquant que le fait de payer ne servirait pas les intérêts long terme de ses clients, partenaires, employés ou actionnaires. Les pirates ont menacé de publier des éléments prétendument volés si Nayax ne payait pas d’ici le 21 juillet. La société coopère avec les autorités chargées de l’application de la loi en Israël et aux États-Unis, bien que le montant de la rançon et l’identité des attaquants restent non divulgués.
Nayax Confirme le Contenu et la Portée des Données Volées
L’enquête de Nayax a révélé que les pirates avaient copié une sauvegarde contenant des documents numérisés, des informations liées à l’activité et des relevés de transactions de paiement. La société a indiqué que les relevés de transactions ne comprenaient pas les noms des titulaires de cartes, les codes de sécurité CVV ni des informations d’identification, car ces éléments ne sont généralement pas conservés dans ses systèmes. Le nombre de transactions contenues dans la sauvegarde, les dates couvertes par les relevés ainsi que le nombre de marchands et de consommateurs concernés n’ont pas été divulgués.
Une part importante des transactions concernées impliquait des portefeuilles numériques tels qu’Apple Pay et Google Pay, selon Nayax. Ces paiements utilisent des identifiants tokenisés plutôt que des détails de carte réutilisables. La société a reconnu que son examen de la portée précise et du contenu intégral des données volées se poursuit.
Nayax a d’abord signalé l’incident le 8 juillet après avoir détecté une activité anormale sur un compte de cloud computing associé à une filiale. Le compte a été bloqué après que l’activité a été identifiée. La société n’a pas divulgué quand l’intrusion a commencé, comment les attaquants ont obtenu l’accès ni combien de temps ils sont restés à l’intérieur du compte.
La Société Indique que l’Infrastructure de Paiement Est Restée Sécurisée
Nayax a déclaré que les fonds des clients, dûment protégés, n’ont pas été touchés et que les attaquants n’ont pas obtenu d’accès non autorisé aux comptes clients. L’environnement de production de l’entreprise, ses systèmes centraux et son infrastructure de traitement des paiements n’ont pas été affectés, et les opérations ont continué sans interruption.
Fondée en 2005, Nayax fournit aux opérateurs de commerces de détail traditionnels et sans personnel une technologie d’acceptation des paiements, de gestion des marchands et de fidélisation. Au 31 mars, la société comptait 13 bureaux, environ 1 250 employés, et des connexions à plus de 80 acquéreurs marchands et méthodes de paiement. La société traite les paiements pour le compte de marchands ; c’est pourquoi les consommateurs peuvent voir Nayax apparaître sur leurs relevés de carte après des achats effectués auprès de distributeurs automatiques ou d’autres terminaux en libre-service.
Nayax divulgue ses Résultats Financiers et les Coûts liés à la Brèche
La brèche est survenue pendant une période de croissance rapide et de restructuration des coûts chez Nayax. La société a annoncé environ 400 millions de dollars de chiffre d’affaires pour 2025, en hausse d’environ 24 %, et un profit net de 35,5 millions de dollars après avoir enregistré une perte l’année précédente. Nayax a projeté un chiffre d’affaires 2026 compris entre 510 millions de dollars et 520 millions de dollars.
Peu de temps avant l’incident cyber, la société aurait licencié 32 employés, soit environ 3 % de ses effectifs, dont 20 postes en Israël. Cela a fait suite à un premier cycle de réductions.
L’attaque cyber a généré des dépenses pour l’enquête médico-légale, la remédiation, les revues de systèmes et la gestion de l’incident. Nayax a indiqué que des coûts supplémentaires pourraient s’ajouter, tandis que des arrangements d’assurance ou d’indemnisation pourraient compenser une partie de la facture. La société n’a pas encore chiffré ces coûts ni indiqué si elle s’attend à des enquêtes réglementaires, à des notifications aux consommateurs ou à des poursuites dans une juridiction quelconque. Nayax a déclaré ne pas s’attendre, à ce stade, à ce que l’incident ait un effet significatif sur sa situation financière ou ses résultats d’exploitation.
FAQ
Quelles données les pirates ont-ils volées à Nayax ?
Les pirates ont copié une sauvegarde contenant des documents numérisés, des informations liées à l’activité et des relevés de transactions de paiement depuis un compte cloud lié à une filiale de Nayax. Les relevés de transactions ne comprenaient pas les noms des titulaires de cartes, les codes de sécurité CVV ni des informations d’identification, car ces éléments ne sont généralement pas conservés dans les systèmes de Nayax. Une part importante des transactions concernées impliquait des portefeuilles numériques tels qu’Apple Pay et Google Pay, qui utilisent des identifiants tokenisés.
Quand Nayax a-t-elle divulgué l’attaque cyber ?
Nayax a d’abord signalé l’incident le 8 juillet après avoir détecté une activité anormale dans un compte de cloud computing associé à une filiale. La société a confirmé le 14 juillet que des données avaient été exfiltrées. Les pirates ont menacé de publier des éléments prétendument volés si Nayax ne payait pas d’ici le 21 juillet.
Pourquoi Nayax a-t-elle refusé de payer la rançon ?
Le conseil d’administration de Nayax a décidé de ne pas se conformer aux demandes d’extorsion des attaquants, car payer ne servirait pas les intérêts long terme de ses clients, partenaires, employés ou actionnaires. La société coopère avec les autorités chargées de l’application de la loi en Israël et aux États-Unis.
