Une usurpation sophistiquée, des données sensibles potentiellement exposées
La banque en ligne Revolut a annoncé mercredi 16 septembre avoir été victime d'une « usurpation d'identité » qui a conduit à la transmission d'informations appartenant à « un nombre limité » de clients à un tiers se faisant passer pour une agence gouvernementale. Immédiatement après la détection, la société indique avoir bloqué l'adresse utilisée par les fraudeurs et informé « l'agence gouvernementale concernée, les forces de l'ordre, les autorités de protection des données et les régulateurs financiers ».
« Les fonds des clients ne sont pas affectés »
Revolut précise que les comptes et les avoirs n'ont pas été compromis, mais le Financial Times rapporte que la fuite porterait sur des éléments sensibles : adresses, photos de vérification, pièces d'identité et informations d'activité liées aux bitcoins. Selon le quotidien, les pirates auraient, pendant plusieurs mois, échangé des courriels avec la banque sous une fausse identité et ciblé des clients détenant d'importants volumes de cryptoactifs, notamment en Suisse et en France.
Fondée en 2015 et forte de plus de 80 millions de clients dans le monde, Revolut a connu une croissance rapide, suscitant depuis plusieurs années des interrogations sur sa capacité à appliquer strictement les règles de lutte contre la fraude et le blanchiment. Cet épisode relance le débat sur la robustesse des dispositifs de vérification d'identité (KYC) et sur la protection des données personnelles chez les acteurs numériques du secteur financier.
Conséquences pour les clients et obligations réglementaires
Pour les clients concernés, les risques immédiats portent davantage sur l'usurpation d'identité et la fraude ciblée que sur une perte d'actifs, la société l'ayant répété publiquement. Les titulaires dont les documents ont été exposés devront rester vigilants aux tentatives de phishing, aux sollicitations frauduleuses et à l'ouverture de comptes à leur nom ailleurs.
- Ce que Revolut a fait : blocage de l'adresse utilisée, notification aux autorités compétentes, contact direct des personnes impactées.
- Ce qui reste à établir : l'étendue exacte des données exfiltrées, le nombre précis de clients affectés et la chronologie complète des échanges entre la banque et les fraudeurs.
- Pour les régulateurs : la nécessité d'un examen des procédures KYC et de la gouvernance des risques cyber chez les banques en ligne.
Points de comparaison et vigilance accrue
Les établissements traditionnels et numériques n'échappent pas aux attaques par usurpation d'identité, mais la rapidité d'expansion des néobanques rend d'autant plus crucial le maintien de contrôles proportionnés aux risques. Les autorités françaises et européennes de protection des données et de supervision bancaire seront attentives à la manière dont Revolut documente l'incident et aux éventuelles mesures correctives imposées.
| Élément rapporté | Source / remarque |
|---|---|
| Données mentionnées | Adresses, photos de vérification, pièces d'identité, infos liées aux bitcoins (Financial Times) |
| Territoires ciblés | Suisse et France (d'après le Financial Times) |
| Impact sur les fonds | Revolut : pas d'impact annoncé |
Les clients de Revolut en France doivent s'attendre à des communications directes s'ils sont concernés. Pour l'ensemble des usagers, l'épisode rappelle l'importance de la surveillance de ses comptes, de l'activation de l'authentification à deux facteurs et de la prudence face aux sollicitations se présentant comme émanant d'organismes officiels.
