Revolut a divulgué des données KYC de clients après qu’une fausse demande gouvernementale a passé les contrôles de messagerie

Une identité gouvernementale de confiance dissimulait une demande non autorisée

Revolut a confirmé le 12 septembre 2026 avoir divulgué des données sensibles de clients à une partie non autorisée après avoir reçu une demande frauduleuse de données émanant prétendument d’un organisme gouvernemental.

Les notifications adressées aux clients ont commencé à circuler le 11 septembre, selon TechCrunch. Les informations publiées sur l’incident indiquent que le message provenait d’une infrastructure appartenant à un véritable organisme gouvernemental et contenait des identifiants valides associés à son domaine officiel.

Ces caractéristiques ont permis au courriel de franchir les contrôles d’authentification de Revolut. Les employés l’ont donc considéré comme une demande légale ou réglementaire légitime et ont fourni les informations clients demandées.

Revolut a ensuite contacté l’organisme par un canal indépendant. Celui-ci a déclaré ne pas être à l’origine de la demande, révélant ainsi que l’expéditeur n’était pas autorisé — mais seulement après la divulgation des données.

Il ne s’agissait pas d’une intrusion conventionnelle dans les systèmes de Revolut. Aucun cas d’infection par un logiciel malveillant, d’exploitation d’une vulnérabilité logicielle, d’accès non autorisé aux serveurs de l’entreprise ou de compromission des soldes clients n’a été signalé. L’attaquant a plutôt détourné une identité externe de confiance pour obtenir des données au moyen d’une procédure administrative apparemment valide.

Le nom de l’organisme gouvernemental concerné n’a pas été communiqué.

Passeports, selfies et historiques de transactions potentiellement exposés

Les données divulguées pouvaient couvrir une grande partie des informations que Revolut recueille aux fins de vérification d’identité, de connaissance du client et de surveillance financière.

Les données concernées pouvaient inclure :

• Les noms complets, les dates de naissance et les professions.
• Les adresses postales, les adresses e-mail et les numéros de téléphone.
• Des copies de passeports ou de permis de conduire.
• Les selfies envoyés par les clients lors de la vérification d’identité.
• Des relevés de compte contenant les IBAN, le statut du compte et les dates d’ouverture des comptes.
• Les numéros de référence des portefeuilles et les historiques de retraits.
• Les historiques complets de transactions, y compris les transactions en Bitcoin.

Revolut a déclaré que les données de télémétrie faciale biométrique n’avaient pas été compromises. Cette distinction est importante sur le plan technique : un selfie utilisé pour une vérification est une image, tandis que la télémétrie biométrique désigne généralement des mesures ou des modèles générés par des systèmes qui analysent des caractéristiques physiques.

Les images divulguées restent néanmoins sensibles. Un passeport ou un permis de conduire associé à un selfie correspondant peut aider des criminels à usurper l’identité d’un client, à contourner des contrôles d’identité manuels, à créer des comptes frauduleux ou à rendre crédibles de futures tentatives d’ingénierie sociale.

Les informations financières ajoutent un niveau de risque supplémentaire. Les historiques de transactions peuvent révéler les contreparties, les habitudes de dépenses, l’activité des comptes et des indices sur le patrimoine personnel. Les données relatives au Bitcoin peuvent relier une activité en cryptomonnaies à une identité réelle vérifiée, permettant aux attaquants d’établir des profils détaillés de certains clients.

Rien dans les informations divulguées n’indique que des fonds ont été volés. L’absence de vol financier immédiat n’élimine toutefois pas les risques à plus long terme, comme l’usurpation d’identité, l’extorsion et l’hameçonnage hautement personnalisé.

L’authentification des e-mails vérifiait le domaine, pas l’autorité de l’expéditeur

Les éléments disponibles pointent vers une défaillance de la validation des demandes plutôt que vers une défaillance des contrôles d’accès internes de Revolut.

L’attaquant semble avoir obtenu la possibilité d’envoyer des messages depuis l’environnement de domaine légitime de l’organisme gouvernemental. Deux scénarios sont envisagés : un compte existant de l’organisme aurait pu être compromis, ou un compte non autorisé aurait pu être créé au sein de cet environnement. On ignore lequel s’est produit.

Parce que le message transitait par une infrastructure officielle, il pouvait satisfaire les contrôles techniques utilisés par Revolut pour évaluer les e-mails entrants. Des mécanismes tels que SPF, DKIM et DMARC peuvent contribuer à établir si un message est autorisé par un domaine donné, signé en son nom ou aligné avec celui-ci.

Ils ne peuvent pas établir l’autorité légale de l’expéditeur.

Un e-mail correctement authentifié peut tout de même provenir d’une boîte aux lettres compromise, d’un initié malveillant ou d’un compte créé sans autorisation appropriée. L’authentification du domaine répond à des questions relatives au traitement du message et à l’alignement du domaine ; elle ne prouve pas que la personne utilisant le compte est habilitée à exiger les données de clients.

Dans ce cas, une vérification indépendante auprès de l’organisme a permis de révéler la tromperie. La faiblesse déterminante réside dans le fait que cette confirmation est intervenue après la divulgation, et non avant.

Aucun identifiant CVE, exploit ou famille de logiciels malveillants n’est associé à l’incident. Aucune version logicielle concernée n’a non plus été identifiée, car l’événement n’a pas été attribué à une vulnérabilité produit.

Le nombre de clients et l’étendue géographique restent inconnus

Revolut a décrit la population concernée comme un nombre limité de clients et a déclaré avoir contacté directement les personnes concernées. L’entreprise n’a pas communiqué le nombre exact de clients, les pays concernés ni indiqué si les demandes se limitaient à un seul marché.

Le chercheur en sécurité des cryptomonnaies ZachXBT a estimé que l’opération semblait viser des clients fortunés. Cette analyse n’a pas été confirmée par Revolut, mais elle est cohérente avec la valeur des informations demandées.

Un opérateur ciblé pourrait exploiter des relevés de compte et des historiques de cryptomonnaies pour identifier des personnes fortunées, estimer leurs avoirs, cartographier leurs relations financières et les sélectionner pour de futures fraudes ou opérations de coercition. Les coordonnées et les documents d’identité fourniraient alors les éléments nécessaires pour rendre ces approches plus convaincantes.

L’identité de l’attaquant reste inconnue. On ignore également si les données ont été demandées à des fins de fraude financière directe, de collecte de renseignements, d’extorsion, d’usurpation de compte ou pour une autre raison.

Revolut compte 80 millions de clients dans le monde. L’incident ne concerne donc qu’une faible proportion de sa base d’utilisateurs, mais son impact individuel pourrait être grave, car chaque dossier exposé combine une preuve d’identité, des moyens de contact et des informations sur l’activité financière.

Cette divulgation intervient également alors que Revolut cherche à renforcer son statut réglementaire. L’entreprise avait récemment reçu une autorisation conditionnelle pour devenir une banque nationale aux États-Unis et envisageait, selon certaines informations, une introduction en bourse à une valorisation de 200 milliards de dollars.

Revolut a bloqué l’expéditeur et alerté les autorités

Revolut a déclaré que ses systèmes et les fonds de ses clients n’avaient pas été affectés. Après la découverte de l’incident, l’entreprise a :

• Bloqué l’adresse e-mail utilisée pour envoyer la demande.
• Alerté l’organisme gouvernemental.
• Informé les forces de l’ordre.
• Signalé l’incident aux autorités de régulation financière.
• Contacté directement les clients concernés.

Le blocage d’une adresse peut empêcher de nouvelles demandes provenant de cette boîte aux lettres précise, mais il ne permet pas de déterminer si d’autres comptes du même environnement ont été utilisés à mauvais escient. L’identité non divulguée de l’organisme limite également la capacité d’autres établissements financiers à examiner leurs propres archives de demandes légales à la recherche de messages provenant de la même source.

Revolut n’a pas publié l’adresse de l’expéditeur ni d’autres indicateurs techniques. Aucun élément ne montre que des demandes similaires ont atteint d’autres entreprises réglementées.

Les établissements financiers qui traitent des demandes gouvernementales devraient conserver les journaux de ces demandes et rechercher les boîtes aux lettres d’organismes inhabituelles ou récemment observées. Les demandes portant sur des documents d’identité, des selfies de vérification, des relevés complets, des identifiants de portefeuille ou des historiques de cryptomonnaies exigent une vigilance accrue, car elles combinent des catégories d’informations particulièrement sensibles.

Les divulgations à haut risque devraient faire l’objet d’une confirmation hors bande, au moyen d’un canal de contact établi au préalable — et non d’un numéro de téléphone, d’un lien ou d’une coordonnée fournie dans le message entrant. Les établissements peuvent également tenir des répertoires des demandeurs autorisés au sein des organismes et exiger une validation secondaire avant de transmettre des dossiers clients volumineux.

Les clients concernés doivent s’attendre à des tentatives d’usurpation convaincantes

Les clients informés par Revolut doivent considérer leurs informations d’identité et leurs données financières exposées comme persistantes. Il n’est pas possible de rendre à nouveau secrets des passeports, des historiques de transactions ou des images de vérification en changeant simplement un mot de passe.

Les personnes concernées doivent examiner avec attention les messages ou les appels qui font référence à une activité réelle sur Revolut, à des transactions en Bitcoin, à des informations d’ouverture de compte, à des adresses ou à d’autres détails exacts. La connaissance de ces informations ne prouve pas que l’interlocuteur représente Revolut, une autorité de régulation ou un organisme chargé de l’application de la loi.

Les clients doivent ouvrir eux-mêmes l’application officielle Revolut ou utiliser les canaux d’assistance habituels plutôt que de suivre des liens présents dans des messages non sollicités. Ils doivent également surveiller leurs comptes afin de détecter toute activité non autorisée et rester attentifs aux tentatives d’ouverture de produits financiers à leur nom.

Le danger le plus probable n’est pas une répétition de la demande initiale. Il réside dans l’utilisation de données KYC authentiques pour donner à la prochaine tentative de fraude une apparence légitime.