Ce qu’il faut retenir :
- Un tiers non autorisé a utilisé une adresse sur un domaine officiel pour réclamer des dossiers clients.
- Les données concernées incluent les pièces d’identité, les IBAN et l’historique complet des transactions.
- L’entreprise n’a communiqué ni le nombre de personnes touchées ni l’administration concernée.
Revolut a transmis des informations sensibles sur ses clients à un tiers non autorisé, qui adressait de fausses demandes depuis une adresse électronique hébergée sur le domaine légitime d’une administration. Un porte-parole décrit une escroquerie externe sophistiquée par usurpation d’identité, et indique que l’adresse a été bloquée après identification.
Les systèmes de l’entreprise et les fonds de ses clients n’ont pas été affectés.
Un canal légitime détourné
Le mode opératoire mérite d’être expliqué, car il ne relève pas du piratage informatique.
Toute institution financière est tenue de répondre aux demandes d’informations émanant des autorités, qu’il s’agisse d’enquêtes judiciaires, fiscales ou de lutte contre le blanchiment. Ce canal existe par obligation légale, et les équipes de conformité le traitent quotidiennement.
C’est précisément cette procédure qui a été détournée. L’auteur des demandes disposait d’une adresse sur un domaine officiel, ce qui a suffi à conférer à ses requêtes l’apparence de la légitimité.
Aucune faille technique n’a donc été exploitée. L’attaque a visé un processus humain, en s’appuyant sur la confiance qu’inspire une adresse gouvernementale.
L’étendue des données concernées
La notification envoyée aux clients touchés dresse une liste longue.
Y figurent les noms, dates de naissance, adresses postales et électroniques, numéros de téléphone, ainsi que des copies de pièces d’identité, passeports et permis de conduire compris. Les selfies de vérification exigés lors de l’ouverture de compte peuvent également avoir été transmis.
Le volet financier est tout aussi complet. Mark Karpelès, ancien dirigeant de Mt. Gox qui indique figurer parmi les personnes concernées, a rendu publique une copie de cette notification. Le document mentionne les relevés de compte, les IBAN, les enregistrements de retraits et l’historique complet des transactions, transactions en bitcoin comprises.
Pourquoi ce jeu de données est plus dangereux que les précédents
La comparaison avec les fuites récentes du secteur éclaire la gravité de cet épisode.
Les incidents survenus chez les fabricants de portefeuilles matériels révélaient qu’une personne avait acheté un tel appareil, avec son nom et son adresse. Information déjà préoccupante, puisqu’elle suggère la détention de cryptomonnaies.
Ce cas va beaucoup plus loin. Un historique complet de transactions ne suggère pas une détention, il la chiffre. Il indique les montants, les dates, les mouvements entrants et sortants, et permet de reconstituer le patrimoine d’une personne avec une précision que ses proches n’ont pas.
Cette précision compte au regard du contexte français. Le ministre de l’Intérieur recensait fin juin 77 faits de séquestration, enlèvement ou extorsion liés aux cryptomonnaies depuis le début de l’année, contre 45 sur l’ensemble de 2025. Une société d’analyse de sécurité plaçait par ailleurs la France en tête des pays concernés l’an dernier.
Dans les affaires documentées ces dernières semaines, aux Yvelines puis au Mexique, les auteurs de ces agressions ciblaient à partir d’une richesse supposée, rarement vérifiée. Un document qui la vérifie change la nature du risque.
Trois questions restées sans réponse
L’entreprise a refusé de préciser plusieurs éléments.
Le nombre de personnes concernées, d’abord, qualifié de limité sans être chiffré. Les clients touchés ont été contactés directement, certains ayant reçu ces messages vendredi.
L’existence ou non d’une limitation à un seul marché ensuite, question qui détermine si les clients français sont concernés.
L’identité de l’administration dont le domaine a été utilisé enfin.
Revolut indique avoir alerté l’agence gouvernementale concernée, les forces de l’ordre, les autorités de protection des données et les régulateurs financiers.
La piste des clients fortunés
L’enquêteur on-chain ZachXBT a relayé l’information auprès de ses abonnés en avançant une hypothèse sur le ciblage.
“Bien que l’incident soit vraisemblablement limité en taille, il semble avoir visé des utilisateurs à forte valeur nette”, écrit-il.
Cette lecture est cohérente avec le mode opératoire. Obtenir des dossiers par une fausse réquisition administrative suppose un effort ciblé, incompatible avec une collecte de masse.
Le même schéma pour la deuxième fois en une semaine
Le secteur enregistre une série d’incidents dont celui-ci constitue le dernier épisode.
Le fabricant de portefeuilles SafePal avait signalé en août l’exposition des données de quelque 39 798 clients, par une faille dans un système de suivi de commandes. Trezor a annoncé la semaine dernière que la fuite survenue chez son prestataire logistique concernait 67 000 clients américains supplémentaires.
Le même fabricant a révélé cette semaine un second incident dont la ressemblance avec le cas Revolut mérite d’être notée : une compromission chez un prestataire de messagerie a permis l’envoi de messages d’hameçonnage depuis son domaine légitime.
Deux attaques en une semaine exploitent donc le même ressort, l’abus d’un domaine de confiance plutôt que la recherche d’une faille technique.
Que faire si vous êtes concerné
Trois réflexes s’imposent aux personnes notifiées.
Traiter avec méfiance tout contact non sollicité faisant référence à un compte, une transaction ou une procédure administrative. Un attaquant disposant de l’historique complet des opérations peut se montrer convaincant en citant des montants et des dates exacts.
Ne jamais communiquer de phrase de récupération, de code d’authentification ou d’identifiant, quel que soit le prétexte invoqué.
Considérer enfin que le risque relève désormais autant de la sécurité physique que de la sécurité informatique, et éviter toute exposition publique supplémentaire d’un patrimoine en actifs numériques.
Et maintenant ?
L’incident survient à un moment chargé pour l’entreprise, qui a obtenu ce mois-ci une approbation conditionnelle du régulateur bancaire américain et déployé son stablecoin en euro dans trois pays européens en août.
Cet article vous a plu ? Recevez les prochains par email
Rejoignez +40 000 abonnés. L'essentiel du marché crypto dans votre boîte mail, tous les 2 jours.
