Fuite chez Revolut : piégée par un faux e-mail gouvernemental, la néobanque aurait transmis des passeports et des données Bitcoin

Une simple lettre signée qui fait sauter les verrous

L’affaire n’aurait pas commencé par une intrusion complexe dans l’infrastructure de Revolut, mais par une requête basique reçue par ses équipes. La fintech britannique aurait ainsi traité une demande d’informations bancaires présentée sous un angle d’extrême urgence, prétendument émise par une agence gouvernementale. À la différence des tentatives d’hameçonnage classiques qui utilisent des faux noms de domaine avec une faute de frappe presque invisible, le message d’origine provenait d’un compte hébergé sur le domaine officiel d’une véritable administration. C’est du moins ce que révèlent les copies de messages envoyés aux victimes et diffusés par plusieurs figures du secteur, dont l’enquêteur ZachXBT et l’ancien dirigeant de Mt. Gox, Mark Karpelès. Les filtres d’authentification habituels du courrier électronique auraient validé l’origine du message sans sourciller, induisant les équipes internes en erreur.



Convaincus de répondre à une requête légitime et dans les temps requis par la loi, les employés auraient transmis l’intégralité des éléments demandés sans contre-vérification préalable par un autre canal. Ce n’est qu’après l’envoi des documents que la société aurait pris l’initiative d’un contrôle croisé auprès de l’administration concernée pour faire le point sur le dossier. En découvrant que le compte émetteur n’était pas autorisé, la banque en ligne aurait bloqué la boîte aux lettres et lancé une procédure interne d’urgence. La police, les autorités de contrôle et l’agence usurpée ont été informées dans la foulée afin d’ouvrir une enquête administrative.

Sollicité par BeInCrypto, un porte-parole de l’entreprise s’est exprimé sur les grandes lignes de l’événement en évoquant une ingénierie sociale particulièrement rodée. L’expéditeur aurait détourné l’adresse mail d’une autorité légitime pour formuler sa demande. La néobanque maintient en revanche que ses infrastructures techniques, comme l’argent déposé sur les comptes, n’ont jamais couru le moindre risque. De son côté, le canal X officiel de l’enseigne n’a publié aucune annonce globale sur ce sujet. Le support privilégie les réponses au cas par cas dans le chat de son application mobile, en répétant que la biométrie des comptes reste parfaitement sécurisée.

La liste des informations qui auraient pris la fuite

Les courriers de notification adressés aux personnes touchées dressent un inventaire assez lourd de ce qui a quitté les bases de données. On ne parle pas de simples adresses mail collectées pour de la prospection commerciale, mais bien de dossiers complets. Voici le détail de ce qui aurait été transmis :

• L’identité civile complète comprenant les nom, prénom, date de naissance et profession déclarée.
• Les coordonnées directes avec l’adresse postale du domicile, l’adresse e-mail et le numéro de téléphone.
• Les pièces d’identité fournies à l’inscription, comme les scans du passeport ou du permis de conduire.
• Le selfie de contrôle réclamé lors de l’ouverture du compte pour valider l’identité du titulaire.
• Les éléments bancaires d’usage, avec l’IBAN, l’historique des retraits et les relevés bancaires.
• L’historique détaillé des opérations, incluant les achats, ventes et transferts de Bitcoin.

Pour rassurer la clientèle, la société précise tout de même les éléments de sécurité qui sont restés à l’abri :

• Les modèles biométriques faciaux, c’est-à-dire la cartographie numérique calculée sur la photo.
• Les identifiants de connexion, mots de passe et codes de validation.
• La disponibilité des fonds sur les comptes, qui n’ont fait l’objet d’aucune fuite ni mouvement non autorisé.

La nature des pièces transmises pose un problème de taille. Lorsqu’un fraudeur récupère à la fois le scan d’une pièce officielle, la photo du visage correspondant, l’adresse et le relevé des transactions d’une même personne, il détient la panoplie complète pour usurper une identité. Si l’on ajoute à cela la liste précise des mouvements sur des cryptomonnaies, le dossier devient une cible parfaite pour des opérations d’escroquerie très ciblées.

Qui sont les clients réellement touchés ?

Revolut n’a toujours pas donné de chiffre global concernant le volume de comptes affectés par cette fuite. Selon les observations de l’analyste ZachXBT, non confirmées par la banque, et des retours publiés sur les réseaux sociaux, l’incident toucherait un nombre restreint de clients. La sélection ne semblerait pas s’être faite au hasard : les profils visés correspondraient à des utilisateurs détenant un patrimoine crypto important ou réalisant des opérations financières de grande valeur.

La chronologie de la prise de contact et de la médiatisation s’est articulée sur quelques jours précis :

• Réception de la fausse demande : la date exacte du premier message frauduleux reste non communiquée par l’entreprise.
• Transmission des données : envoi des fichiers par la banque en ligne avant vérification finale.
• Prise de contact avec l’agence : contrôle par la banque qui découvre le piège et stoppe l’expéditeur.
• Notification aux clients (11 septembre) : envoi des premiers courriers d’avertissement personnalisés aux clients victimes.
• Médiatisation de l’affaire (ce samedi 12 septembre) : premiers articles dans la presse spécialisée et relais par les analystes sur les réseaux sociaux.

En l’absence d’une communication transparente et officielle de la part de la néobanque sur le nombre exact de dossiers concernés, il vaut mieux interpréter le mot « limité » avec une certaine retenue. Si tous les clients de la plateforme ne sont heureusement pas touchés par l’incident, ceux qui ont reçu le message d’avertissement officiel se retrouvent face à une situation particulièrement inconfortable qu’il va falloir gérer au quotidien.

Quand la conformité bancaire devient une faille

L’épisode met en lumière un point aveugle dans la chaîne de sécurité des acteurs financiers modernes. Pour respecter les réglementations internationales sur la lutte contre le blanchiment d’argent, les banques en ligne accumulent une quantité massive d’informations personnelles sur leurs utilisateurs. Le principe du KYC (Know Your Customer) oblige chaque personne à fournir des justificatifs toujours plus précis pour ouvrir et conserver un compte actif. Ce stock d’informations extrêmement sensibles devient par la force des choses une cible privilégiée pour les réseaux criminels.

Dans la pratique d’une administration bancaire, l’arrivée d’une demande formulée par des autorités policières ou judiciaires impose une réaction rapide des équipes de conformité. Lorsque le message provient d’un nom de domaine officiel authentifié par les protocoles techniques habituels, l’opérateur humain a tendance à se fier à l’apparence du courrier. La faille réside dans le fait qu’une adresse e-mail valide au niveau de son serveur prouve seulement d’où part le message. Elle ne garantit en aucun cas que l’employé qui utilise la boîte aux lettres dispose de l’autorisation d’exiger de tels fichiers, ou même qu’il s’agisse bien du titulaire habituel du compte.

Ce croisement d’informations bancaires et de données crypto crée un risque accru pour les victimes. Révéler les opérations en Bitcoin d’un particulier donne des indications très claires sur son niveau de richesse et sur les adresses de portefeuilles externes qu’il utilise pour stocker ses actifs numériques. Les maîtres chanteurs peuvent ensuite croiser ces informations pour élaborer des tentatives d’extorsion bien plus crédibles qu’un simple e-mail automatisé.

La checklist pour se protéger en cas d’exposition

Si vous faites partie des utilisateurs de la plateforme, quelques règles simples permettent d’éviter que cet incident ne se transforme en préjudice financier direct :

• Consulter sa boîte mail : vérifiez vos courriers entrants et votre dossier de spams pour voir si la société vous a adressé un avis de fuite officiel daté du 11 ou 12 septembre.
• Ignorer les prises de contact directes : si une personne vous appelle ou vous écrit en récitant vos transactions Bitcoin, le détail de vos relevés ou vos adresses postales, raccrochez immédiatement. La détention de ces informations par un tiers ne prouve en aucun cas qu’il s’agit d’un conseiller bancaire.
• Passer exclusivement par l’application : pour toute question relative à votre compte ou à vos données, passez via le chat de support intégré à l’application. C’est le seul moyen d’échanger avec le personnel d’assistance réel.
• Gardez un Å“il sur vos comptes : jetez un coup d’œil plus régulier à vos relevés bancaires habituels et soyez attentif aux courriers ou notifications de prélèvements inattendus.
• Se rappeler les règles de base : l’établissement ne vous demandera jamais de communiquer un mot de passe par téléphone, d’effectuer un selfie à la demande d’un interlocuteur externe ou de transférer votre argent vers un supposé compte de sécurité.

Les fonds déposés chez la néobanque restent en sécurité sur vos solde habituels. Le danger majeur des semaines à venir repose entièrement sur les techniques d’ingénierie sociale et les tentatives d’usurpation d’identité personnalisées.

Ce qui reste flou dans ce dossier

Plusieurs zones d’ombre persistent autour de cette affaire. On ignore toujours quelle agence d’État ou quel ministère a vu son domaine de messagerie détourné, comme la méthode employée par le pirate pour envoyer un e-mail authentifié depuis une adresse gouvernementale restreinte. De la même manière, ni le volume exact de clients touchés ni le calendrier précis des échanges de fichiers entre Revolut et le faussaire ne sont connus à ce jour.

Pour justifier ce manque d’informations, la néobanque invoque l’existence d’une enquête judiciaire en cours et l’obligation de secret qui l’accompagne pour protéger les investigations. Tant que les autorités ou l’entreprise n’auront pas publié de bilan officiel, ces éléments doivent donc être manipulés avec la plus grande prudence.

Une faille humaine avant tout

L’événement qui agite les réseaux spécialisés ce samedi n’est pas une simple rumeur colportée sur des forums. Des clients identifiés ont bien reçu des notifications explicites de la part de leur banque, et l’entreprise elle-même a fini par confirmer la trame générale à la presse. Les infrastructures de l’établissement n’ont pas subi de piratage technique direct à proprement parler. Il s’agit avant tout d’un manquement dans la chaîne de validation humaine, où une fausse demande d’extraction de données a été traitée comme un ordre légitime parce qu’elle présentait les bons indicateurs de surface.

C’est une faille dans le processus interne d’évaluation des risques, pas une rupture dans le coffre-fort informatique de l’entreprise. Mais pour une société qui collecte et stocke des pièces d’identité, des photos de visages et des historiques de transactions au nom des exigences légales, l’erreur de jugement reste difficile à faire passer auprès des usagers touchés.

Mise à jour 14 septembre : quand une simple arnaque tourne au chantage public

L’affaire vient de franchir un nouveau cap particulièrement grinçant. Les attaquants, qui prétendent détenir une quantité massive de dossiers clients complets (pièces d’identité, photos de vérification, historiques de transactions bancaires et données cryptos), sont passés à l’action. Faute de paiement d’une rançon, ils ont commencé à diffuser au compte-gouttes les informations confidentielles de figures publiques et de grands clients sur Telegram. Le stratagème utilisé pour soutirer ces données sensibles est désormais mis en lumière : la néobanque s’est totalement fait berner par un faux courriel administratif envoyé via la messagerie certifiée italienne (PEC). Un fichier de près de 60 Mo contenant la liasse de documents s’est ainsi envolé vers une adresse non reconnue, contournant toutes les procédures de conformité élémentaires.

Pendant que des identités de haut profil se retrouvent exposées en ligne et que les pirates promettent de publier chaque jour des données internes sur le fonctionnement des équipes, la réaction de la direction frôle le ridicule. Mutisme complet sur le nombre exact de victimes ou le nom de l’agence usurpée, et cerise sur le gâteau : le blocage sur les réseaux sociaux des enquêteurs en ligne qui ont révélé l’affaire. Si les fonds des utilisateurs sont techniquement restés à l’abri sur leurs comptes, leurs données personnelles les plus intimes, elles, sont désormais dans la nature.