Une faille procédurale exploitée, pas une intrusion technique
Le vendredi 11 septembre 2026, Revolut a transmis à une tierce partie des fichiers sensibles appartenant à certains clients après avoir cru répondre à une réquisition émanant d'une autorité publique. L'alerte a été relayée ensuite par l'enquêteur on-chain ZachXBT, spécialiste du suivi des cryptomonnaies volées.
Ce qui s'est réellement passé
Contrairement à une attaque classique par piratage, aucune base de données n'a été compromise et aucun logiciel malveillant n'a été détecté. La personne malveillante a réussi en usurpant une adresse email : le message provenait d'un domaine email réel d'une agence gouvernementale et comportait des identifiants permettant de franchir les contrôles automatiques d'authentification. Revolut a considéré la demande comme légitime et a fourni les documents avant de vérifier l'authenticité par un canal distinct — vérification qui, selon la reconstitution, a révélé qu'aucun fonctionnaire n'avait émis la requête.
Étendue des données communiquées
La liste des éléments transmis est large et sensible. Selon la reconstitution citée par la source :
- Identité et contact : noms complets, dates de naissance, profession, adresses personnelles, e‑mails et numéros de téléphone.
- Documents officiels : copies de pièces d'identité (passeports ou permis de conduire) et selfies fournis pour la vérification d'identité.
- Données bancaires et crypto : IBAN, statut du compte, date d'ouverture, relevés, registres de retraits et l'historique complet des transactions, incluant tous les mouvements en Bitcoin et les références de wallets.
Ce qui n'a pas été exposé
La source précise une distinction importante : les mots de passe et les identifiants de connexion n'ont pas été divulgués. L'incident porte donc davantage sur l'exfiltration de documents et d'historique que sur le vol d'accès technique aux comptes.
Une vulnérabilité du processus de réponse aux demandes légales
L'élément central de l'enquête est procédural : c'est le canal par lequel les banques et fintechs répondent aux demandes émanant de la police ou de la justice qui a été contourné. Ce canal est rarement questionné dans les pratiques courantes, ce qui a permis à un acteur simulant une autorité d'obtenir des données sans attaquer les infrastructures.
| Type de données | Transmis |
|---|---|
| Copies de pièces d'identité et selfies | Oui |
| Historique complet des transactions (incl. Bitcoin) | Oui |
| IBAN et relevés de compte | Oui |
| Mots de passe / identifiants de connexion | Non |
Conséquences et questions ouvertes
Pour les clients concernés, la combinaison d'une pièce d'identité et d'un selfie facilite des fraudes d'usurpation d'identité plus complexes : ouverture de comptes, demandes de crédit ou attaques ciblées de type « SIM swap ». Sur le plan national, l'affaire pose la question de la robustesse des procédures de vérification des demandes officielles adressées aux prestataires financiers.
Plusieurs chantiers doivent être envisagés sans céder à la panique : renforcement des voies d'authentification multicanales pour les demandes légales, protocoles de confirmation stricts avant remise de données sensibles, et audits indépendants des processus de conformité des fintechs. Il faudra aussi informer et accompagner les clients concernés pour limiter le risque d'usurpation ou d'extorsion.
En l'état, cet incident rappelle que la sécurité des services financiers numériques dépend autant de la résistance des serveurs que de la rigueur des procédures métiers. Les autorités compétentes et les acteurs du secteur auront à expliciter les mesures prises pour éviter qu'un canal de confiance ne se transforme en point d'entrée pour des fraudeurs sophistiqués.
