Stockal : des investisseurs indiens dénoncent des ventes sans accord

Des versions qui divergent

La maison mère de Stockal, Borderless Investing, explique que son partenaire de courtage DriveWealth l'a alertée le 16 octobre, heure indienne, d'opérations suspectes sur 13 comptes. Selon son analyse, un tiers non autorisé a accédé à 26 comptes avec des identifiants valides, et dans 13 d'entre eux de grandes valeurs américaines ont été vendues pour des micro-capitalisations peu échangées. Borderless ne constate aucune intrusion dans sa plateforme ni ses systèmes et affirme qu'aucun fonds n'a été retiré. Elle évoque une piste d'ingénierie sociale exploitant des données issues de la fuite d'une autre société, tout en précisant que ce lien n'est pas confirmé.

Dans un courrier du 30 octobre, DriveWealth aurait indiqué à un investisseur que l'accès s'était fait via l'interface de Stockal, dont elle jugerait la société responsable des failles. L'entreprise déclare : « L'incident Stockal n'est pas lié aux systèmes de DriveWealth. Il s'est produit sur l'application de Stockal, pas sur notre plateforme. »

Les enjeux

Le titre Zhibao a clôturé à 0,42 dollar le 23 octobre, soit environ 60 % sous le prix d'achat moyen de 1,05 dollar cité par les investisseurs. Que de l'argent soit sorti ou non, la plainte porte sur la modification des positions sans accord.

L'expert en cybersécurité Yash Kadakia (Security Brigade) estime que les plateformes ne peuvent faire porter toute la responsabilité aux clients quand un mot de passe volé permet de réaliser des transactions. Il préconise l'authentification à deux facteurs, la liaison à la carte SIM, des contrôles d'appareil et de localisation, une validation distincte par transaction et une surveillance comportementale.

Borderless dit avoir mandaté des spécialistes indépendants, renforcé l'authentification et coopérer avec DriveWealth et les autorités, sans reconnaître de responsabilité. Le mode d'accès exact reste à établir.