Le Liechtenstein vient de subir un incident majeur de cybersécurité touchant directement l’un des outils centraux de son dispositif de lutte contre le blanchiment de capitaux. Dans la nuit du 29 au 30 juillet 2026, des attaquants ont obtenu un accès non autorisé au Register of Beneficial Owners – VwbP et ont exfiltré des données concernant environ 31 000 sociétés, fondations et trusts. L’incident, initialement rapporté par AML Intelligence, a depuis été confirmé et détaillé par le gouvernement du Liechtenstein.
Un registre stratégique pour la lutte contre le blanchiment
Le VwbP constitue une composante importante de l’architecture AML/CFT du Liechtenstein. Il contient des informations permettant d’identifier les personnes physiques qui possèdent ou contrôlent en dernier ressort des personnes morales, notamment des sociétés, fondations et trusts. Le dispositif actuel résulte notamment de la mise en œuvre des exigences européennes relatives à la transparence des bénéficiaires effectifs et de la cinquième directive anti-blanchiment.
La compromission d’un tel registre est donc particulièrement sensible. Les registres de bénéficiaires effectifs ne constituent pas de simples bases administratives : ils sont utilisés par les autorités et par certains professionnels assujettis afin de comprendre les structures de propriété et de contrôle, d’identifier les UBO et de contribuer à la détection de schémas susceptibles d’être associés au blanchiment de capitaux ou au financement du terrorisme.
Quelles données ont été compromises ?
Selon les informations communiquées par les autorités, les données concernées comprennent notamment le nom des entités ainsi que le rôle, le nom, le prénom, la date de naissance, la nationalité et le pays de résidence des bénéficiaires effectifs. En revanche, le registre ne contient pas les adresses ou numéros de téléphone des personnes concernées, ni d’informations relatives aux actifs, revenus, distributions ou dividendes des entités.
Les autorités ont également précisé qu’aucune donnée bancaire ou donnée client détenue par les institutions financières n’avait été compromise dans cet incident. En l’état actuel des investigations, aucun élément n’indique par ailleurs que les données du registre aient été modifiées ou supprimées.
Cette distinction est importante : l’incident constitue avant tout une violation de confidentialité, et non, à ce stade, une compromission démontrée de l’intégrité des données du registre.
Une attaque ciblée et techniquement sophistiquée
Les premières investigations indiquent que l’attaque aurait été ciblée, menée à un niveau technique élevé et dirigée spécifiquement contre le VwbP. Selon les autorités, aucune tentative comparable n’a pour l’instant été détectée sur les autres systèmes de l’administration nationale. Les investigations judiciaires et forensiques se poursuivent afin d’identifier les responsables et de comprendre précisément comment les barrières de sécurité ont été contournées.
Reuters rapporte par ailleurs que les attaquants auraient passé plusieurs heures dans le système et consulté les informations individuellement. Ils auraient pu accéder au registre après la création d’un compte utilisateur, un élément désormais au centre des investigations techniques.
Face à l’ampleur de l’incident, le gouvernement a constitué une cellule de crise, placée sous la direction de la Première ministre Brigitte Haas et du ministre de la Justice Emanuel Schädler. Plusieurs autres systèmes publics contenant des informations sensibles ont également été temporairement désactivés par mesure de précaution afin de permettre des contrôles de sécurité supplémentaires.
Un incident également majeur sous l’angle du GDPR
La cyberattaque constitue officiellement une violation de données personnelles au sens de l’article 33 du GDPR. Les autorités ont également considéré que les personnes concernées devaient être informées conformément à l’article 34, compte tenu du niveau potentiel de risque résultant de la divulgation de ces informations.
Cette dimension ne doit pas être sous-estimée. Les informations relatives aux bénéficiaires effectifs peuvent présenter une valeur importante pour des acteurs malveillants lorsqu’elles sont croisées avec d’autres bases de données. Elles peuvent notamment contribuer à la préparation de campagnes ciblées de phishing ou d’ingénierie sociale, à des tentatives d’usurpation d’identité ou à la construction de scénarios de fraude particulièrement crédibles.
L’incident illustre ainsi la convergence croissante entre AML/CFT, protection des données, cybersécurité et prévention de la fraude.
Les obligations AML ne disparaissent pas lorsque le registre est indisponible
L’un des enseignements les plus importants pour les professionnels assujettis concerne la continuité des obligations de due diligence.
À la suite de l’attaque, le registre a été rendu temporairement indisponible pour les utilisateurs externes. Toutefois, l’administration a explicitement précisé que cette indisponibilité ne suspendait pas les obligations AML/KYC des professionnels concernés. Des demandes d’extraits peuvent toujours être adressées au service compétent de l’Office of Justice, lequel conserve un accès interne au registre.
Cette position rappelle un principe essentiel en matière de Compliance : un registre des bénéficiaires effectifs constitue une source de vérification, mais il ne remplace pas l’analyse propre du professionnel.
Les banques, asset managers, AIFM, PSF, compagnies d’assurance, TCSP et autres professionnels assujettis doivent rester capables d’identifier et de vérifier les bénéficiaires effectifs à partir de plusieurs sources documentaires et indépendantes : registres de commerce, organigrammes de détention, registres d’actionnaires, documents constitutifs, déclarations UBO et autres éléments corroborant la structure de propriété et de contrôle.
Une leçon importante pour la gouvernance des données AML
L’incident du Liechtenstein soulève enfin une problématique plus large : plus la transparence sur les bénéficiaires effectifs augmente, plus les bases de données qui centralisent ces informations deviennent des infrastructures critiques à protéger.
Les politiques européennes et internationales de lutte contre le blanchiment cherchent légitimement à améliorer la transparence des structures sociétaires. Mais cette transparence doit nécessairement être accompagnée d’une gouvernance robuste des accès, de mécanismes d’authentification renforcés, de contrôles de détection des comportements anormaux, de capacités de réponse aux incidents et d’une surveillance continue de la sécurité des infrastructures.
Pour les responsables Compliance et Risk, l’enjeu dépasse donc désormais largement la qualité des données UBO. Il faut également s’interroger sur leur confidentialité, leur intégrité, leur disponibilité et la résilience des systèmes permettant d’y accéder.
Transparence financière et cybersécurité sont désormais indissociables
Cette cyberattaque constitue un avertissement pour l’ensemble des places financières européennes.
Les registres de bénéficiaires effectifs sont devenus des instruments indispensables de lutte contre la criminalité financière. Mais précisément parce qu’ils regroupent des informations sensibles sur les personnes exerçant la propriété ou le contrôle de milliers de structures, ils constituent également des cibles particulièrement intéressantes pour les cybercriminels.
L’enjeu réglementaire des prochaines années ne sera donc pas seulement de disposer de davantage d’informations sur les bénéficiaires effectifs. Il sera également de garantir que ces informations soient fiables, accessibles aux acteurs légitimes et suffisamment protégées contre les accès non autorisés.
La transparence de l’ownership est indispensable à l’AML/CFT ; la sécurité des données qui permettent cette transparence l’est tout autant.
