Une usurpation d'identité conduit à la diffusion d'informations sensibles
La néobanque Revolut a confirmé avoir transmis des données personnelles et financières de clients à un individu qui se faisait passer pour une autorité publique. Selon les éléments communiqués par le groupe et les médias ayant relayé l'information, des titulaires de comptes belges figurent parmi les personnes touchées. L'entreprise a découvert la supercherie après avoir répondu à des demandes émanant d'une adresse e-mail appartenant à un véritable organisme public, utilisée à son insu par l'imposteur.
Une fois la tromperie identifiée, Revolut a informé l'administration dont l'adresse avait été usurpée et bloqué la boîte utilisée par le fraudeur. Les autorités de contrôle compétentes ont été saisies et les clients potentiellement concernés ont reçu un message d'alerte pour les prévenir de la situation. À ce stade, la société n'a pas rendu public le nombre total de victimes, ni précisé l'identité de l'entité publique dont l'adresse mail a été exploitée.
Quelles données ont pu être divulguées ?
Le périmètre des informations communiquées par Revolut inclut tant des éléments d'identification que des données financières. D'après les éléments rapportés, les catégories suivantes peuvent avoir été transmises :
- Identité et coordonnées : noms, dates de naissance, adresses, numéros de téléphone ;
- Informations bancaires : numéros IBAN, relevés de compte ;
- Opérations : historique complet des transactions et extraits de compte.
Pour visualiser rapidement le type d'informations concernées :
| Catégorie | Exemples |
|---|---|
| Identité | Noms, dates de naissance, adresses, téléphones |
| Banque | IBAN, relevés, soldes |
| Transactions | Historique complet des opérations |
Enjeux et conséquences pour les clients
La diffusion de numéros IBAN et d'extraits de compte multiplie les risques : usurpation d'identité, tentatives d'hameçonnage ciblé (phishing), fraude à l'ordre de virement, ou exploitation des informations personnelles à d'autres fins malveillantes. Les clients concernés doivent rester vigilants face aux sollicitations non sollicitées, vérifier leurs relevés et signaler toute opération suspecte.
Sur le plan réglementaire, cet incident pose la question des procédures internes de vérification chez les établissements financiers : comment une demande fondée sur l'adresse e-mail d'un organisme public a-t-elle été validée sans contrôle suffisant ? Les autorités de supervision, déjà informées, devront évaluer si les pratiques de la néobanque respectent les obligations en matière de sécurité et de protection des données.
Ce que Revolut a fait et ce qui reste à préciser
Revolut a déclaré avoir bloqué l'adresse compromise, alerté l'administration usurpée et prévenu les clients concernés par e-mail. L'entreprise n'a toutefois pas fourni de chiffrage sur l'ampleur de la fuite ni détaillé les modalités exactes de la fraude — en particulier la manière dont l'imposteur a pu utiliser une adresse liée à un organisme public pour convaincre le service client.
La situation reste en évolution : les autorités et la plateforme continueront probablement les investigations pour établir l'étendue des données extraites, l'identité du fraudeur et les éventuelles défaillances procédurales. En attendant, les clients sont invités à suivre les communications officielles de Revolut et à renforcer la surveillance de leurs comptes.
Points d'attention pour les usagers : conserver les preuves de toute correspondance suspecte, activer les dispositifs de sécurité (notifications, authentification à double facteur), et signaler immédiatement toute opération inconnue à la banque.
