La néobanque Revolut a confirmé avoir été victime d'une usurpation d'identité entraînant la divulgation d'informations concernant 680 clients en Europe, dans un incident qualifié d'« escroquerie sophistiquée ». L'entreprise dit avoir identifié une fausse adresse e-mail se faisant passer pour une agence gouvernementale légitime et transmis, avant détection, des données à un « tiers non autorisé ».
Ce qui a fuité et qui est touché
Selon les éléments rendus publics et des médias ayant contacté les pirates, les informations compromises comprennent notamment des adresses, des photos de vérification, des pièces d'identité et des éléments relatifs à l'activité crypto de certains clients. Revolut précise que, dès la découverte de l'opération frauduleuse, l'adresse en cause a été bloquée et que les autorités compétentes ont été alertées.
« Dès la détection de cette activité, nous avons immédiatement bloqué l'adresse et alerté l'agence gouvernementale concernée, les forces de l'ordre, les autorités de protection des données et les régulateurs financiers. »
La fintech assure par ailleurs que les fonds des clients ne sont pas affectés et qu'elle a contacté directement les personnes impactées. Des sources rapportent que les auteurs auraient entretenu des échanges par courriel avec Revolut pendant plusieurs mois en se faisant passer pour l'administration.
Un ciblage orienté crypto
Les informations disponibles indiquent que les pirates s'intéressaient en priorité à des clients détenant des volumes importants de cryptoactifs, avec des victimes identifiées notamment en Suisse et en France. Là encore, Revolut ne communique pas de détail sur la répartition géographique complète des 680 dossiers concernés.
- Nombre de clients affectés : 680.
- Types de données divulguées : adresses, photos de vérification, pièces d'identité, informations relatives aux cryptoactifs.
- Impact sur les avoirs : Revolut indique que les fonds ne sont pas touchés.
| Élément | Information |
|---|---|
| Acteur | Revolut (fintech britannique) |
| Clients affectés | 680 en Europe |
| Données compromises | adresses, photos, pièces d'identité, données crypto |
| Mesures prises | adresse bloquée, autorités alertées, contacts directs avec les personnes touchées |
Conséquences et questions pour les clients
Pour les clients concernés, la priorité immédiate est de vérifier l'utilisation frauduleuse possible de leurs documents d'identité et de surveiller toute activité suspecte liée à leurs comptes et portefeuilles crypto. Sur le plan réglementaire, l'incident devrait attirer l'attention des autorités de protection des données : le régulateur britannique (ICO) a confirmé avoir reçu un signalement et procède à un examen des informations transmises.
Plus largement, cet incident interroge sur les procédures internes des plateformes numériques en matière de validation des requêtes provenant d'acteurs institutionnels et sur la vulnérabilité persistante aux attaques d'usurpation d'identité. Pour les établissements financiers, la maîtrise des processus d'authentification des demandes externes est cruciale, en particulier pour les dossiers liés aux cryptoactifs, souvent visés pour leur valeur transférable.
Enfin, l'affaire illustre la double exigence pesant sur les néobanques : garantir la rapidité et la simplicité des services tout en renforçant des garde-fous robustes face à des fraudes de plus en plus ciblées et sophistiquées.
