Une escroquerie par usurpation d’identité ciblant les clients détenant des cryptoactifs
La fintech britannique Revolut a annoncé le 16 septembre avoir été victime d'une usurpation d'identité qui l'a amenée à communiquer des données de certains clients à « un tiers non autorisé » se faisant passer pour une agence gouvernementale. Le groupe évoque une opération qu'il qualifie d'« escroquerie sophistiquée », et précise que les montants détenus sur les comptes n'ont pas été compromis.
Ce que l'on sait des données exposées
Selon des éléments publiés par le Financial Times et confirmés par la fintech à l'AFP, la fuite concerne notamment :
- adresses et coordonnées ;
- photos de vérification et pièces d'identité ;
- informations sur l'activité bancaire et des éléments liés aux cryptomonnaies (bitcoins).
Une source proche du dossier a indiqué qu'environ 680 clients dans plusieurs pays européens auraient été touchés. Revolut dit avoir contacté directement les personnes concernées et assuré que les fonds des clients ne sont pas affectés.
Réponse des autorités et ouverture d'enquêtes
La direction de la protection des données britannique (ICO) a confirmé avoir reçu une notification et examine les informations transmises par la fintech. En Italie, les autorités locales ont demandé aux établissements bancaires d'examiner leur accès aux données après des signalements et la police a ouvert une enquête, selon des médias italiens.
"Dès la détection de cette activité, nous avons immédiatement bloqué l'adresse et alerté l'agence gouvernementale concernée, les forces de l'ordre, les autorités de protection des données et les régulateurs financiers"
Modalités de l'attaque et portée ciblée
Le Financial Times rapporte que les fraudeurs ont utilisé l'adresse e-mail d'un domaine appartenant à une agence gouvernementale légitime pour soumettre de fausses demandes, et auraient entretenu des échanges avec la banque pendant plusieurs mois sous cette fausse identité. Les attaquants auraient ciblé en priorité des clients possédant des volumes importants de cryptoactifs, notamment en Suisse et en France.
| Élément | Information connue |
|---|---|
| Nombre de clients impactés | ~680 (source proche du dossier) |
| Types de données | Adresses, photos de vérification, pièces d'identité, données liées aux cryptoactifs |
| Impact financier direct | Revolut : fonds non affectés |
Conséquences pour les clients et pour les acteurs du secteur
Pour les clients concernés, la divulgation de pièces d'identité et d'éléments liés aux cryptomonnaies peut présenter un risque élevé de fraude, d'hameçonnage ciblé ou d'extorsion. Les autorités de protection des données et les forces de l'ordre sont saisies, ce qui laisse présager des investigations sur les modalités d'accès aux systèmes internes et sur la chaîne de confiance autour des demandes émanant d'organismes officiels.
Pour les établissements financiers et les fintechs, cet incident met en lumière la vulnérabilité des processus de vérification quand une tierce partie se fait passer pour une autorité légitime. Les régulateurs pourraient exiger des contrôles renforcés sur les procédures de validation des requêtes externes, en particulier lorsqu'elles portent sur des clients à profil sensible (détenteurs de cryptoactifs, dirigeants, etc.).
Points de vigilance pour les clients
- Surveiller toute tentative d'hameçonnage ou de contact inhabituels se réclamant d'autorités publiques ;
- Activer les protections disponibles (authentification forte, surveillance des comptes) ;
- Signaler toute activité suspecte à la plateforme et aux autorités compétentes.
L'incident rappelle que la protection des données reste un enjeu majeur pour les néobanques à forte croissance et pour leurs clients, notamment quand des actifs non-bancaires comme les cryptomonnaies sont en jeu. Les suites de l'enquête administrative et judiciaire détermineront les responsabilités et les mesures correctrices à imposer au secteur.
