Une erreur de procédure expose des données sensibles
Revolut a confirmé avoir fourni, à la suite d'une demande qui semblait émaner d'une autorité publique, des documents personnels et des relevés de comptes de certains clients. Parmi les fichiers transmis figuraient des copies de passeports, des selfies utilisés pour la vérification d'identité et des historiques complets de mouvements, y compris des opérations en bitcoin.
Pas d'intrusion technique : l'usurpation par le canal officiel
Contrairement à une fuite résultant d'une intrusion informatique, ce cas relève d'une usurpation d'identité via un canal légitime : le courriel envoyé provenait d'un domaine officiel associé à une agence gouvernementale, si bien que les contrôles d'authenticité automatisés ont été satisfaits. Revolut n'a découvert la supercherie qu'en contactant ultérieurement l'agence concernée.
Revolut évoque un nombre « limité » de clients affectés.
Étendue et nature des données exfiltrées
La néobanque n'a pas communiqué de chiffre précis. À titre de contexte, Revolut revendique plus de 80 millions de clients sur une trentaine de pays, ce qui signifie qu'un « nombre limité » peut couvrir un volume non négligeable d'individus. Les types d'éléments fournis sont listés ci‑dessous :
- Identifiants personnels : noms, dates de naissance, adresses, e‑mails, numéros de téléphone.
- Documents d'identité : copies de passeports et permis de conduire, selfies de vérification.
- Informations bancaires : IBAN, relevés de compte.
- Historique des transactions : journaux complets incluant opérations en bitcoin.
| Type de donnée | Sensibilité |
|---|---|
| Passeports / permis | Très élevée |
| Selfies de vérification | Élevée (risque d'usurpation) |
| Relevés & IBAN | Élevée (fraude financière) |
| Historique crypto | Moyenne à élevée (traçabilité) |
Conséquences et points de vigilance
La mécanique observée n'implique pas une vulnérabilité technique du produit Revolut mais une faille procédurale dans la validation des demandes officielles. Trois risques majeurs se dégagent :
- exposition accrue à l'usurpation d'identité si des documents tombent entre de mauvaises mains ;
- utilisation frauduleuse des relevés bancaires et des historiques de transactions ;
- atteinte à la vie privée des détenteurs d'actifs numériques, pour qui la divulgation des flux en bitcoin peut compromettre l'anonymat relatif des opérations.
Du point de vue réglementaire, les autorités de protection des données pourront s'intéresser au contrôle interne appliqué par la néobanque lors de la réception de demandes émanant d'organismes publics. Pour les clients, la recommandation immédiate est d'activer toutes les protections disponibles, surveiller les comptes et, le cas échéant, signaler toute activité suspecte aux services compétents.
Ce qui reste à éclaircir
Plusieurs questions demeurent ouvertes : quel est le pays et quelle est l'agence dont le domaine a été usurpé ? Combien de clients précisément sont concernés ? Revolut n'a pas encore précisé si les victimes ont été notifiées individuellement ni les moyens proposés pour limiter l'impact. Tant que ces éléments ne seront pas publiés, l'évaluation du préjudice restera partielle.
La méthode employée rappelle que la sécurité ne tient pas qu'à la technologie : la confiance dans les canaux officiels peut être exploitée par des acteurs malveillants, et la protection des données personnelles exige des procédures rigoureuses et des vérifications humaines complémentaires aux contrôles techniques.
