Une faille humaine ou procédurale, pas un piratage des serveurs
Revolut reconnaît avoir répondu à des demandes frauduleuses présentées comme émanant d'une administration légitime et, par conséquent, transmis des données de certains clients. L'entreprise précise que ses systèmes internes n'ont pas été piratés : la compromission est intervenue par l'utilisation abusive d'une adresse de messagerie appartenant au domaine officiel de l'organisme ciblé.
Nature des informations divulguées
Selon les éléments communiqués par la fintech, les informations transmises comprennent des données personnelles et des documents sensibles. On trouve notamment :
- dates de naissance, adresses postales et électroniques, numéros de téléphone ;
- copies de passeports ou permis de conduire et selfies utilisés pour la vérification d'identité ;
- relevés bancaires et historiques de transactions.
| Type d'information | Présence déclarée |
|---|---|
| Données personnelles (nom, date de naissance, adresses) | Oui |
| Documents d'identité (passeport, permis) | Oui |
| Selfies de vérification | Oui |
| Relevés et historiques de compte | Oui |
Réactions et incertitudes
Lorsque Revolut a identifié la fraude, la société a bloqué l'adresse usurpée et indique avoir informé l'administration concernée, les forces de l'ordre et les régulateurs compétents. La fintech n'a pas divulgué le nom de l'administration, ni le pays impliqué, et évoque seulement « un nombre limité de clients » sans chiffrer précisément l'ampleur du périmètre touché.
Des documents publiés sur Telegram, mais le lien n'est pas établi
Le 13 septembre, un groupe a commencé à mettre en ligne sur Telegram des documents présentés comme appartenant à des clients de Revolut. Les acteurs derrière ces publications prétendraient détenir une base de données plus large et exerceraient des pressions, y compris des demandes de rançon. À ce stade, aucune preuve publique n'établit que les fichiers postés proviennent directement de l'incident reconnu par Revolut, ni qu'il s'agit des mêmes fraudeurs ayant envoyé les fausses demandes.
Enjeux pour la fintech et pour les clients
Plusieurs interrogations demeurent : quels contrôles d'authentification externe Revolut applique-t-elle face à des requêtes émanant d'administrations ? Comment améliorer la vérification des domaines et des adresses de messagerie pour éviter l'usurpation ? Enfin, l'impact réputationnel et réglementaire peut être significatif, surtout si des clients fortunés — comme l'ont suggéré des analystes externes — sont ciblés.
La diffusion d'informations financières et d'identités numériques amplifie le risque d'usurpation, d'extorsion et de phishing ultérieur. Les autorités de protection des données et les régulateurs bancaires européens suivront probablement l'affaire de près, en attendant des précisions de la part de Revolut sur l'étendue réelle des données exposées et sur les mesures prises pour renforcer les procédures d'authentification des requêtes externes.
