La lettre arrive rarement vite. Chez Ameriprise Financial, gestionnaire de patrimoine américain, l'intrusion a commencé le 2 mars 2026. Elle a été détectée le 18. Les quelque 48 000 clients concernés, eux, ont été prévenus fin avril : près de deux mois entre le premier accès non autorisé et le courrier qui commence par « vos données ont peut-être été compromises ». Dans l'intervalle, des noms, des adresses, des informations de comptes financiers et, pour certains clients, des numéros de sécurité sociale ont circulé à l'insu de tous.
Ce scénario n'a plus rien d'exceptionnel. Il est en train de devenir la toile de fond de 2026 pour quiconque détient un portefeuille d'investissement.
Un trimestre, 542 millions de dollars d'amendes
Au premier trimestre 2026, les régulateurs mondiaux ont infligé environ 542 millions de dollars d'amendes, et les manquements à la protection des données figurent parmi les premiers motifs de sanction. Le palmarès des plus grosses pénalités ne vise pas des officines obscures : on y trouve des institutions parmi les plus régulées du monde.
En Italie, la Garante a sanctionné Intesa Sanpaolo de 31,8 millions d'euros fin mars : un employé d'agence a consulté les données bancaires de plus de 3 500 clients pendant plus de deux ans, à travers plus de 6 600 requêtes, sans que les systèmes de contrôle de la banque ne s'en aperçoivent.
Au Royaume-Uni, une mise à jour logicielle défectueuse a permis, le 12 mars, à des clients de Lloyds, Halifax et Bank of Scotland de voir les transactions d'autres clients : montants, numéros de compte, et parfois numéros d'assurance nationale, l'équivalent britannique du numéro de sécurité sociale. D'abord estimée à 448 000 personnes, l'exposition a ensuite été révisée au-delà du demi-million. L'ICO, le régulateur britannique des données, a ouvert des vérifications.
Trois affaires, trois causes différentes : une intrusion externe, un abus interne, un défaut logiciel. Le point commun n'est pas la méthode. C'est que les données des clients étaient là, centralisées, accessibles.
Pourquoi un portefeuille vaut plus cher qu'un numéro de carte
Une carte bancaire compromise se remplace en quarante-huit heures. Un historique de positions, des numéros de compte, le nom de votre conseiller : rien de tout cela ne se remplace.
C'est précisément ce qui inquiète les autorités. Aux États-Unis, la SEC a mis à jour cette année son alerte aux investisseurs sur le vol d'identité et les fuites de données, dans la foulée d'un executive order consacré à la cybercriminalité financière. Le mécanisme décrit est toujours le même : les données volées servent rarement à un pillage immédiat. Elles servent à préparer la suite. Un fraudeur qui connaît vos positions, votre établissement et vos derniers mouvements n'a plus besoin de deviner : son appel ou son courriel peut citer des détails exacts que seul votre courtier est censé connaître.
Autrement dit, la valeur d'une fuite de données d'investissement n'est pas dans les données elles-mêmes. Elle est dans la crédibilité qu'elles donnent à l'attaque suivante.
La seule variable vraiment sous votre contrôle
Vous ne pouvez pas auditer l'informatique de votre banque, ni la discipline d'accès de ses dizaines de milliers d'employés. La sécurité de votre dépositaire ne dépend pas de vous ; et il faut bien des dépositaires, vos titres doivent être conservés quelque part.
Ce qui dépend de vous, en revanche, c'est le nombre de copies de votre situation patrimoniale qui existent dans le monde. Chaque service auquel vous confiez une vue de votre patrimoine, agrégateur de comptes, application de suivi dans le cloud, tableur partagé en ligne, détient une copie de plus. Et chacune de ces copies vit sa propre vie : elle peut être piratée, consultée ou conservée après la fermeture de votre compte, indépendamment de tout ce que vous faites bien par ailleurs.
Avant de confier ses données à un service, trois questions valent la peine d'être posées : où sont-elles stockées, qui peut y accéder, et qu'en reste-t-il si je pars ?
Là où Tukhe se situe
C'est exactement le problème qui a donné naissance à Tukhe. Suivre l'ensemble de son patrimoine sur un seul écran ne devrait pas obliger à en déposer une copie chez un énième tiers.
Tukhe est une application de bureau : votre portefeuille vit sur votre machine, et nulle part ailleurs. Pas de compte à connecter, pas de synchronisation vers un serveur, pas de base de données clients susceptible de figurer dans la prochaine notification de fuite. On ne peut pas voler chez un prestataire ce qu'il n'a jamais détenu.
Cela ne remplace pas la sécurité de vos comptes chez vos courtiers ; elle reste leur responsabilité, et les régulateurs viennent de rappeler le prix de la négligence. Mais pour la partie qui vous revient, la vue d'ensemble, vous pouvez choisir qu'elle n'existe que chez vous.
Compter les copies
Les fuites de 2026 ne seront pas les dernières. La bonne question n'est plus « mes données peuvent-elles fuiter ? » : quelque part, chez quelqu'un, elles le peuvent toujours. La bonne question est « combien de fois ai-je multiplié ce risque ? ». À défaut de contrôler la sécurité des autres, chaque investisseur peut décider du nombre de portes qu'il laisse ouvertes.
Tukhe est une application de suivi de portefeuille local-first, conçue pour les investisseurs européens qui veulent garder le contrôle de leurs données. Cet article a une visée pédagogique et ne constitue pas un conseil en investissement.
