Près de 1,9 million de comptes vietnamiens utilisent des mots de passe faibles alors que les banques renforcent leurs dispositifs antifraude

Des mots de passe simples face à une menace financière qui s’accélère

Près de 1,9 million de comptes appartenant à des utilisateurs vietnamiens utilisent encore des mots de passe faciles à deviner, comme « 123456 », selon des chiffres présentés le 6 novembre 2026 au Forum vietnamien sur la sécurité financière numérique, à Hô Chi Minh-Ville. Cette mise en garde intervient alors que les banques développent des systèmes destinés à repérer les virements suspects et à faciliter la récupération des fonds dérobés.

Le colonel Nguyen Ba Son, directeur adjoint du Département de la cybersécurité et de la prévention de la criminalité de haute technologie du ministère de la Sécurité publique, connu sous le nom d’A05, a déclaré que les autorités avaient recensé près de 1 000 affaires de fraude en ligne impliquant des détournements de fonds au cours du premier semestre 2026. Les pertes se chiffrent en milliers de milliards de dongs vietnamiens.

Les établissements financiers subissent des pressions sur plusieurs fronts : les criminels recourent à l’intelligence artificielle pour préparer plus rapidement leurs attaques, les clients restent vulnérables à l’usurpation d’identité et certaines organisations ne disposent toujours pas de dispositifs de sécurité élémentaires. Dans le même temps, les paiements numériques sont devenus un service quotidien pour une grande partie de la population.

Les chiffres présentés par Hoang Minh Tien, directeur adjoint du Département des technologies de l’information de la Banque d’État du Vietnam, donnent la mesure du phénomène. Au cours des huit premiers mois de 2026, le Vietnam a traité plus de 21 milliards de transactions sans espèces, pour un montant supérieur à 260 billiards de dongs vietnamiens. Dans de nombreux établissements de crédit, les canaux numériques représentent plus de 95 % des transactions.

Le forum réunissait l’Association nationale de cybersécurité, Vietnam Investment Media Group, la Banque d’État et l’Association des banques du Vietnam. Les échanges ont mis en relation une vulnérabilité bien connue, les mots de passe faciles à deviner, avec un défi plus large : protéger les clients avant, pendant et après un paiement frauduleux.

Moins d’attaques, mais davantage d’organisations victimes

Le rapport de recherche et d’enquête 2025 de l’Association nationale de cybersécurité estime que le Vietnam a subi environ 552 000 cyberattaques cette année-là, soit 19,38 % de moins qu’en 2024. Son département technologique a mené l’enquête en décembre 2025, à partir des réponses de plus de 5 300 organisations.

La synthèse de l’enquête gouvernementale fait état d’une hausse de la proportion d’administrations et d’entreprises déclarant avoir subi des préjudices : 52,30 % en 2025, contre 46,15 % en 2024. Cela représente une augmentation de 6,15 points de pourcentage, alors même que le nombre estimé d’attaques a diminué.

L’association estime que les attaquants se montrent plus sélectifs, préparent soigneusement leurs opérations et exploitent leurs cibles plus en profondeur. Pour une organisation, le danger concret tient donc autant aux dégâts causés par une intrusion qu’au nombre de tentatives auxquelles elle est confrontée.

Lors du forum, des chiffres attribués à l’Association nationale de cybersécurité et à Viettel Cyber Security ont évalué à environ 41 % la part des attaques visant la finance et les banques. Son a également désigné ce secteur comme une cible prioritaire des groupes de pirates informatiques internationaux et des cybercriminels.

Pourquoi le vol de données peut causer des dommages durables

L’association a recensé cinq formes d’attaque courantes en 2025 : le déni de service, l’insertion de liens publicitaires pour des jeux d’argent, le cyberespionnage ciblé, le vol de données et les rançongiciels. Une attaque par déni de service submerge un service de trafic ; un rançongiciel chiffre des données et exige un paiement pour en rétablir l’accès.

Les attaquants peuvent combiner ces méthodes. L’association a décrit des attaques perturbatrices qui attirent l’attention des équipes de sécurité pendant que des intrus pénètrent discrètement dans d’autres parties du réseau, y installent des logiciels malveillants et s’y maintiennent.

Vu Ngoc Son, responsable du département technologique de l’association, a décrit un scénario dans lequel les criminels commencent par voler des informations de valeur pour les vendre, les échanger ou les exploiter davantage. Ils chiffrent ensuite les données de la victime pour exiger une rançon, après avoir épuisé les possibilités d’en dérober davantage.

Les informations des clients peuvent donc rester exposées après qu’une banque ou une entreprise a rétabli ses systèmes. Les sauvegardes aident une organisation à récupérer ses fichiers ; pour prévenir le vol, il faut contrôler qui peut accéder aux informations et disposer de systèmes capables de détecter les accès inhabituels.

Dans son bilan de 2025, l’association a classé les intrusions et les vols de données parmi les incidents les plus préjudiciables. Pour 2026, ses prévisions ont désigné la sécurité des données et les attaques automatisées par l’IA comme des préoccupations majeures, un avertissement repris lors des échanges du forum sur les risques bancaires.

L’IA accélère à la fois les activités bancaires et la criminalité

Son a déclaré que les criminels utilisaient l’IA pour réduire le temps nécessaire à la recherche de failles et à la préparation d’attaques. Des opérations visant de grands systèmes d’information financière, qui pouvaient auparavant prendre des mois, peuvent désormais être menées beaucoup plus rapidement, a-t-il indiqué, sans préciser de nouveau délai.

Le Dr Dao Minh Tu, vice-président et secrétaire général de l’Association des banques du Vietnam et ancien gouverneur adjoint permanent de la Banque d’État, a décrit un secteur bancaire qui va au-delà des applications utilisées directement par les clients. Les banques développent des services capables de communiquer avec eux et de les assister automatiquement.

Tu a indiqué qu’environ 80 % des entreprises vietnamiennes avaient adopté l’IA, tandis que plus de 70 % des établissements de crédit l’utilisaient pour des tâches comme l’évaluation du risque de crédit, l’identification électronique, la détection des fraudes et les contrôles contre le blanchiment d’argent. L’évaluation du risque de crédit aide les prêteurs à mesurer la capacité de remboursement d’un emprunteur ; l’identification électronique permet de vérifier à distance l’identité d’un client.

Dam The Thai, directeur général adjoint de HDBank, a déclaré que la banque testait une IA capable de détecter les fraudes au moment même des transactions, ainsi qu’un système automatisé d’évaluation et d’approbation du crédit en deux à trois minutes.

Le niveau de préparation reste inégal. Selon l’indice de préparation à l’IA de Cisco cité lors du forum, seules 13 % des entreprises vietnamiennes étaient pleinement prêtes à adopter l’IA. Quelque 63 % plaçaient au premier rang de leurs priorités le renforcement des capacités d’évolution et d’adaptation de leurs infrastructures technologiques. Introduire un outil d’IA et disposer des données, des équipements et des contrôles nécessaires à son utilisation en toute sécurité sont deux étapes distinctes de l’adoption.

Mots de passe faibles et usurpations convaincantes

Les près de 1,9 million de comptes utilisant des mots de passe simples illustrent une vulnérabilité du côté des clients. Une suite prévisible comme « 123456 » constitue un point de départ plus facile pour les criminels qui tentent d’obtenir un accès.

Les résultats de l’enquête présentés au forum ont également montré que seuls 36 % des répondants se disaient préoccupés par les hypertrucages, la proportion la plus faible parmi les risques examinés. Les hypertrucages sont des images, des vidéos ou des voix créées ou modifiées à l’aide de l’IA pour faire croire qu’une personne a dit ou fait quelque chose qu’elle n’a pas dit ou fait.

Tu a averti que les criminels pouvaient associer de fausses identités à des scénarios frauduleux soigneusement préparés pour persuader des personnes de transférer elles-mêmes de l’argent. Une telle escroquerie peut viser un client au moyen d’un visage ou d’une voix qui semble familier, plutôt que par une tentative manifeste de piratage d’une application bancaire.

Thai a souligné que les connaissances et la confiance des clients étaient essentielles, au même titre que les technologies bancaires. Il a appelé les banques, les entreprises de télécommunications, les portefeuilles électroniques, les plateformes numériques et les autorités de régulation à contribuer à instaurer une confiance partagée dans les services numériques.

Les chiffres présentés lors du forum ne précisaient ni le nombre total de comptes examinés ni la méthode utilisée pour repérer les mots de passe faibles. Le chiffre de près de 1,9 million n’est donc accompagné d’aucun pourcentage indiquant sa part parmi les comptes vietnamiens.

Le vol d’une carte dans un restaurant a révélé une autre faille

Son a évoqué une affaire découverte en 2025, impliquant un suspect qui se faisait passer pour un employé de restaurants haut de gamme. Lorsque des clients lui remettaient leur carte bancaire pour régler l’addition, il en retirait discrètement la puce.

Le suspect fixait ces puces sur d’autres cartes vierges et s’en servait pour acheter plusieurs modèles récents d’iPhone, dérobant ainsi plus de 200 millions de dongs vietnamiens, soit environ 7 700 dollars.

La police s’est ensuite coordonnée avec la Banque d’État afin d’informer les banques commerciales et de leur demander d’examiner et d’adapter les services liés aux cartes physiques équipées de puces.

Cette affaire montre que les enjeux de sécurité ne se limitent pas aux mots de passe et aux applications bancaires. La carte d’un client passe aussi entre les mains d’employés et par les procédures de paiement des commerces et des restaurants. Les criminels peuvent exploiter ces manipulations tandis que les banques se concentrent sur la protection de leurs réseaux numériques.

Les alertes permettent déjà de bloquer des paiements suspects

Le système de surveillance de la Banque d’État est relié à près de 100 établissements financiers et a repéré plus de 668 000 comptes présentant des signes d’infraction, selon les chiffres présentés par Tien. Les banques ont émis des millions d’alertes et coordonné la récupération ou la suspension temporaire de fonds représentant des milliers de milliards de dongs.

SIMO, le système d’information consacré à la gestion des risques de paiement, à la surveillance et à la prévention des fraudes, a envoyé 5,8 millions d’alertes aux clients entre 2025 et octobre 2026. Ces alertes ont été suivies de près de 1,9 million de cas où des clients ont interrompu ou annulé des transactions suspectes, pour un montant total de près de 7 200 milliards de dongs vietnamiens.

Ces chiffres correspondent à environ une transaction interrompue ou annulée pour trois alertes. Ils comptabilisent les alertes et les réactions des clients ; un client ayant reçu plusieurs avertissements peut donc apparaître plusieurs fois.

Les près de 1,9 million de transactions interrompues ou annulées dans le cadre de SIMO concernent des alertes liées aux paiements. Le chiffre similaire relatif aux mots de passe faibles concerne la sécurité des comptes. Ensemble, ces données montrent les deux points où la protection est essentielle : l’accès à un compte et la décision d’envoyer de l’argent.

Pour les clients, une alerte donne l’occasion de faire une pause avant que l’argent ne parte. Pour les banques et la police, le partage d’informations peut aider à repérer où circulent les fonds suspects et à intervenir plus rapidement.

Suivre l’argent détourné d’une banque à l’autre

Le ministère de la Sécurité publique et la Banque d’État travaillent à la mise en place d’un dispositif permettant de suivre, d’un compte bancaire à l’autre, les fonds liés aux fraudes. Son a indiqué que les deux organismes avaient tenu une réunion de travail trois jours avant le forum du 6 novembre pour examiner un système pilote de traçage et de rapprochement de ces flux.

Les informations présentées sur le programme bancaire situent en juin 2026 le lancement d’un projet pilote de traçage et de blocage urgent dans de grandes banques commerciales, son déploiement à l’échelle du système étant prévu au premier trimestre 2027. Le témoignage de Son portait sur les discussions complémentaires menées début novembre.

La rapidité est essentielle, car les criminels peuvent faire transiter des fonds dérobés par plusieurs comptes et intermédiaires en quelques minutes. Une intervention limitée à la première banque destinataire risque rapidement de perdre la trace de l’argent lorsqu’il est transféré ailleurs.

Les principales dates et périodes sont les suivantes :

• Décembre 2025 : l’Association nationale de cybersécurité a interrogé plus de 5 300 organisations dans le cadre de son bilan annuel.
• Janvier-juin 2026 : les autorités ont recensé près de 1 000 affaires de fraude en ligne impliquant des détournements de fonds.
• Juin 2026 : date annoncée du lancement du projet pilote bancaire de traçage urgent et de blocage des virements entre banques.
• 3 novembre 2026 : selon le récit de Son, la police et la Banque d’État ont examiné le système proposé de traçage et de rapprochement lors d’une réunion tenue trois jours avant le forum.
• Premier trimestre 2027 : déploiement prévu de la solution de traçage à l’échelle du système bancaire.

Tu a appelé à la création d’une plateforme unifiée de données financières permettant aux établissements de partager des informations dans le respect des règles de sécurité et de confidentialité. Thai a également proposé de partager les alertes à la fraude en temps réel entre les banques, les opérateurs de télécommunications, les portefeuilles électroniques et les plateformes d’échange d’actifs numériques agréées.

Les investissements dans la sécurité laissent subsister des failles élémentaires

Les banques commerciales consacrent environ 17,2 % de leurs investissements dans la transformation numérique à la sécurité de l’information et à la cybersécurité, a indiqué Tien. Il a également appelé à mener des évaluations des risques, des tests de sécurité et des exercices de gestion des incidents, ainsi qu’à superviser les fournisseurs de technologies.

L’enquête plus générale de l’association auprès des administrations et des entreprises a mis en évidence des progrès en matière de préparation. Quelque 75,93 % avaient organisé des formations de sensibilisation à la cybersécurité, 51,45 % des exercices de sécurité, 51,65 % avaient déployé ou exploitaient un centre opérationnel de sécurité et 76,35 % disposaient de systèmes de sauvegarde. Un centre opérationnel de sécurité regroupe les activités de surveillance et de réponse aux incidents.

Des failles élémentaires persistaient dans les organisations interrogées. Quelque 47,72 % ne disposaient pas de personnel spécialisé en cybersécurité, 27,80 % n’avaient pas de normes internes en la matière et 51,87 % n’utilisaient pas de logiciel centralisé de protection contre les programmes malveillants.

Par ailleurs, 8,71 % n’utilisaient aucun antivirus, tandis que 9,38 % ne disposaient d’aucun dispositif, tel qu’un pare-feu, pour contrôler l’accès à Internet. Ces chiffres concernent l’enquête menée auprès d’organisations au sens large, notamment des administrations et des entreprises, et pas uniquement les banques commerciales.

L’écart concret se situe entre la sensibilisation des personnes et le maintien d’une protection à l’échelle de toute une organisation. La formation peut aider les employés à repérer les dangers, mais une défense efficace nécessite aussi du personnel chargé de surveiller les systèmes, le déploiement cohérent des logiciels et des procédures éprouvées pour réagir en cas d’attaque réussie.

Règles relatives aux données et préparatifs face à l’informatique quantique

Tu a proposé de renforcer la protection des informations bancaires, des données personnelles et des données biométriques au titre de la loi vietnamienne sur les données et de la loi sur la protection des données personnelles. Les données biométriques comprennent des caractéristiques physiques, comme le visage ou les empreintes digitales, utilisées pour confirmer une identité.

Il a appelé à stocker et à traiter les données importantes dans des centres de données sécurisés au Vietnam. Ses propositions incluaient également une définition claire des responsabilités en matière de contrôle des systèmes d’IA et l’obligation d’obtenir une validation humaine pour les transactions importantes ou hautement sensibles.

Tu a averti que des données mal normalisées et un contrôle insuffisant des modèles d’IA pouvaient nuire à la fois aux décisions automatisées et à la confidentialité des clients. Un système bancaire qui prend rapidement des décisions doit malgré tout s’appuyer sur des informations fiables et disposer d’une procédure claire pour examiner les opérations sensibles.

L’informatique quantique représente une préoccupation à plus long terme. Tu a averti que sa puissance de calcul pourrait menacer certains systèmes de chiffrement classiques protégeant les paiements, les signatures numériques et les données bancaires. Les signatures numériques permettent d’établir qui a autorisé une instruction électronique et de vérifier qu’elle n’a pas été modifiée.

Tu a exhorté les banques à évaluer leur dépendance aux méthodes de chiffrement actuelles et à préparer le passage à la cryptographie post-quantique, conçue pour résister aux attaques menées à l’aide d’ordinateurs quantiques. Son message plus général reliait ces préparatifs techniques à la confiance du public : environ 89 % des adultes vietnamiens disposant d’un compte de paiement, la protection des services bancaires numériques est désormais un enjeu de préservation d’un service financier quotidien.

Points clés

• Selon les chiffres présentés lors du forum sur la sécurité financière du 6 novembre 2026, près de 1,9 million de comptes vietnamiens utilisent encore des mots de passe simples.
• Le Vietnam a subi environ 552 000 cyberattaques en 2025. Le nombre d’attaques a diminué de 19,38 %, tandis que la proportion d’organisations interrogées déclarant avoir subi des préjudices a atteint 52,30 %.
• Les autorités ont recensé près de 1 000 affaires de fraude en ligne au premier semestre 2026, pour des pertes se chiffrant en milliers de milliards de dongs.
• SIMO a émis 5,8 millions d’alertes jusqu’en octobre 2026 ; elles ont été suivies de près de 1,9 million de cas où des clients ont interrompu ou annulé des transactions suspectes, pour un montant total de près de 7 200 milliards de dongs vietnamiens.
• Un projet pilote de traçage et de blocage urgent des fonds issus de fraudes présumées devrait être déployé à l’échelle du système bancaire au premier trimestre 2027.
• Les propositions formulées lors du forum incluaient une meilleure protection des données, le partage des alertes à la fraude, un contrôle humain des décisions sensibles prises par l’IA et des préparatifs face aux risques liés à l’informatique quantique.