Revolut cède des données clients à un imposteur gouvernemental

La fintech valorisée 45 milliards de dollars dupée par une fausse demande officielle

Le 12 septembre 2026, Revolut, la néobanque britannique forte de plus de 50 millions de clients dans le monde, a confirmé avoir divulgué des informations personnelles sensibles à un tiers non autorisé. L'incident a été rendu public après que la société a contacté directement les clients concernés et alerté les autorités compétentes, dont les forces de l'ordre et les régulateurs financiers. La nature exacte de l'agence gouvernementale dont l'identité a été usurpée n'a pas été communiquée.

La mécanique de l'attaque est caractéristique des techniques d'ingénierie sociale les plus sophistiquées. Le ou les attaquants ont utilisé une adresse email associée au domaine officiel d'une agence gouvernementale réelle, sans compromettre les systèmes informatiques de cette agence. Cette technique, parfois appelée BEC gouvernemental — Business Email Compromise à visée gouvernementale — exploite le fait que les grandes plateformes financières et technologiques ont mis en place des procédures de réponse aux demandes légales de communication de données.

Ces procédures, exigées dans de nombreuses juridictions par des cadres législatifs comme le Règlement général sur la protection des données en Europe ou le Stored Communications Act aux États-Unis, obligent les fournisseurs de services à répondre aux demandes légalement formulées des autorités. Les formats de ces demandes sont souvent suffisamment standardisés pour qu'un attaquant expérimenté puisse les reproduire de manière convaincante. Le simple fait qu'une demande provienne d'un domaine officiel authentique constitue un signal de confiance fort pour les équipes opérationnelles.

Les données exposées sont particulièrement sensibles. Selon les informations communiquées par Revolut et rapportées par TechCrunch, BleepingComputer et Malwarebytes, la divulgation aurait inclus des informations d'identité et de contact — date de naissance, adresses postale et électronique, numéro de téléphone —, des copies de documents d'identité incluant des passeports et des permis de conduire, potentiellement des selfies utilisés lors de la vérification d'identité dans le cadre des processus KYC (Know Your Customer), ainsi que des relevés de compte et des historiques de transactions. La combinaison de ces éléments constitue un profil d'identité extrêmement complet, exploitable pour des fraudes à l'identité, l'ouverture de comptes frauduleux ou des tentatives de chantage.

Revolut n'a pas divulgué le nombre exact de clients affectés, indiquant seulement qu'il s'agit d'un nombre limité. La société précise avoir bloqué l'adresse email utilisée dans l'attaque dès la découverte de la fraude et avoir alerté l'agence gouvernementale dont l'identité a été usurpée. Les mots de passe et les détails complets des cartes de paiement n'auraient pas été compromis selon les déclarations officielles.

L'incident révèle une tension inhérente aux obligations légales des plateformes financières numériques. D'un côté, les cadres réglementaires exigent une coopération rapide et efficace avec les autorités légitimes. De l'autre, cette obligation de coopération crée une surface d'attaque exploitable par des acteurs malveillants capables de simuler des demandes officielles. Des entreprises comme Meta, Apple, Google et Snap ont déjà été victimes de techniques similaires, notamment dans le cadre d'opérations documentées impliquant des demandes d'urgence falsifiées pour obtenir des données d'utilisateurs.

Revolut est une cible de choix pour ce type d'attaque. Avec plus de 50 millions de clients dans plus de 35 pays, la plateforme détient des profils KYC particulièrement complets, enrichis par les obligations réglementaires européennes et britanniques en matière de lutte contre le blanchiment d'argent. La profondeur des données conservées — nécessaire pour la conformité réglementaire — amplifie mécaniquement l'impact potentiel de toute divulgation non autorisée.

L'incident intervient dans un contexte où Revolut cherche à consolider sa réputation en tant qu'acteur financier sérieux. La néobanque a obtenu sa licence bancaire britannique en juillet 2024 et a depuis élargi ses activités crédit et épargne. Une telle brèche dans la gestion des demandes légales de données est susceptible d'attirer l'attention de la Financial Conduct Authority britannique et de l'Information Commissioner's Office, le régulateur de la protection des données au Royaume-Uni, qui pourrait ouvrir une enquête formelle.

Quand la conformité légale devient elle-même un vecteur d'attaque

L'incident Revolut met en lumière un paradoxe de la cybersécurité moderne : les procédures mises en place pour respecter la loi peuvent elles-mêmes devenir des vecteurs d'exploitation. Les demandes d'urgence de communication de données — appelées Emergency Data Requests dans la terminologie anglo-saxonne — sont particulièrement vulnérables à ce type d'abus. Plusieurs études et rapports d'incidents ont montré que des acteurs malveillants, y compris des groupes bien organisés, utilisaient régulièrement des demandes légales falsifiées pour extraire des informations de grandes plateformes technologiques.

La problématique est structurelle. La vérification de l'authenticité d'une demande légale repose essentiellement sur la légitimité du domaine email d'expédition. Or, plusieurs vecteurs permettent à un attaquant de contourner cette barrière : le compromis d'une boîte email gouvernementale réelle via une intrusion classique, la création d'un domaine typosquatté imitant un domaine officiel, ou encore l'exploitation de vulnérabilités dans les systèmes de messagerie d'agences gouvernementales moins bien sécurisées pour y relayer des emails frauduleux. Dans le cas de Revolut, la technique exacte utilisée n'a pas été précisée publiquement.

Pour les entreprises gérant de grandes volumétries de données personnelles, l'incident illustre la nécessité de renforcer les contrôles humains dans les procédures de réponse aux demandes légales. La meilleure pratique recommandée consiste à procéder à un rappel téléphonique de confirmation auprès de l'agence concernée via des coordonnées vérifiées indépendamment — et non celles fournies dans la demande elle-même. Cette vérification hors-bande constitue un frein efficace contre la grande majorité des tentatives de BEC gouvernemental.

Pour les clients de Revolut, cet incident souligne l'importance de rester vigilant face aux tentatives de phishing ou d'usurpation d'identité dans les semaines et mois suivants. Les données exposées — en particulier les combinaisons de documents d'identité et d'historiques financiers — ont une durée de vie très longue sur les marchés de la cybercriminalité et peuvent servir de base à des attaques ultérieures sophistiquées.

Ce qu'il faut retenir

• Revolut a divulgué des documents d'identité et des données financières de clients à la suite d'une demande frauduleuse imitant une agence gouvernementale légitime — sans compromission technique de ses systèmes.
• Les données exposées (passeports, selfies KYC, relevés bancaires) constituent un profil d'identité complet exploitable pour des fraudes à long terme ; les clients concernés doivent rester en état d'alerte.
• Les entreprises gérant des données personnelles sensibles doivent renforcer leurs procédures de vérification des demandes légales avec des étapes de confirmation hors-bande, en particulier pour les demandes dites d'urgence.