Revolut a confirmé une fuite de données au cours de laquelle un tiers inconnu a soumis une fausse demande d’informations concernant des clients. L’attaquant a utilisé un compte e-mail rattaché à un domaine gouvernemental légitime pour obtenir des copies de documents d’identité et l’historique complet des transactions en Bitcoin.

Revolut, une banque numérique britannique, regroupe les comptes courants, les paiements, le trading de titres et les services liés aux cryptomonnaies dans une seule application. Son activité crypto comprend également la plateforme de trading autonome Revolut X et le stablecoin en euros EURR. L’entreprise a indiqué avoir servi 80 millions de clients dans le monde en août 2026.

La fuite intervient alors que Revolut développe ses activités bancaires et crypto réglementées. Début septembre 2026, le régulateur bancaire américain, l’Office of the Comptroller of the Currency (OCC), a accordé à l’entreprise une approbation conditionnelle pour une charte bancaire nationale. En août, Revolut avait commencé à lancer son stablecoin EURR au Danemark, en Pologne et au Portugal.

Les clients concernés ont reçu des e-mails de notification en septembre 2026. Revolut n’a pas précisé combien de comptes étaient impliqués ni quelle autorité l’attaquant avait usurpée.

Comment la fausse demande a trompé Revolut

Les chercheurs en sécurité documentent depuis 2021 des demandes frauduleuses de données utilisateurs formulées dans le cadre de dispositions d’urgence. Ce procédé est connu dans le secteur sous le nom de Fraudulent Emergency Data Request. Les criminels prennent généralement le contrôle d’un compte e-mail associé à un véritable domaine de police ou gouvernemental, ou usurpent cette adresse. Ils utilisent ensuite ce compte pour demander des données utilisateurs en affirmant qu’une situation d’urgence exige une réponse immédiate.

L’exception liée aux urgences contourne la procédure habituelle de vérification, qui implique généralement une ordonnance judiciaire. Les entreprises peuvent ainsi répondre dans un délai de 30 à 60 minutes. Cette rapidité rend le processus attrayant pour les attaquants. Apple, Meta, Discord et Verizon ont déjà été victimes de cette méthode, initialement associée aux groupes Lapsus$ et Recursion Team. En 2024, le FBI a officiellement mis en garde contre ce procédé.

Dans le cas de Revolut, l’attaquant a utilisé un compte rattaché à un domaine gouvernemental légitime. Un porte-parole de l’entreprise a décrit l’incident à TechCrunch comme une escroquerie sophistiquée d’usurpation d’identité externe. La banque numérique a ensuite bloqué l’adresse frauduleuse. Selon Revolut, l’incident n’a affecté ni ses systèmes ni les fonds des clients. Au moment du rapport, l’entreprise n’avait pas publié de déclaration distincte à ce sujet. TechCrunch a rapporté l’incident ici :

« Revolut a récemment identifié une escroquerie sophistiquée d’usurpation d’identité externe dans laquelle un tiers non autorisé a utilisé une adresse e-mail d’un domaine gouvernemental légitime pour formuler des demandes d’informations frauduleuses. » — Porte-parole de Revolut auprès de TechCrunch

Revolut a indiqué avoir informé l’autorité concernée, les services répressifs, les régulateurs chargés de la protection des données et les autorités de supervision financière. Toutefois, l’entreprise n’a pas identifié l’autorité que les attaquants avaient usurpée. Il n’est pas non plus établi si l’attaquant avait compromis le compte e-mail gouvernemental ou s’il avait techniquement usurpé le domaine. Des cas précédents ont impliqué les deux méthodes.

Cette méthode représente un défi particulier pour les institutions financières, qui répondent régulièrement à des demandes officielles d’informations. Vérifier une demande urgente par un second canal de communication peut prendre plus de temps que ne le permet la procédure d’urgence.

Quelles informations pourraient avoir été exposées

La notification adressée aux clients énumère un large éventail d’informations potentiellement exposées. Elle comprend les noms, les dates de naissance, les adresses postales et e-mail ainsi que les numéros de téléphone. La notification mentionne également des copies de documents d’identité, notamment des passeports et des permis de conduire, ainsi que des selfies de vérification recueillis dans le cadre de la procédure Know Your Customer (KYC), des relevés de compte et l’historique complet des transactions.

Ces informations couvrent donc une grande partie des données recueillies lors de l’intégration et de l’historique des comptes d’une banque réglementée. Revolut a néanmoins décrit comme limité le nombre de clients directement informés. L’entreprise a déclaré que les fonds des clients n’avaient pas été affectés.

Mark Karpelès, l’ancien directeur général de la plateforme crypto Mt. Gox, a publié une copie de la notification et indiqué qu’il faisait partie des clients concernés. Sa version mentionnait en outre les IBAN, les journaux de retraits et l’historique complet des transactions, y compris les transactions en Bitcoin. Cela pourrait exposer les liens entre les comptes bancaires de certains clients et leur activité en Bitcoin.

L’enquêteur on-chain ZachXBT a estimé que l’ampleur de l’incident était limitée, mais soupçonné que les attaquants avaient pu sélectionner des utilisateurs relativement fortunés. Il reste également incertain que l’incident ait concerné plus d’un marché.

En vertu des articles 33 et 34 du Règlement général sur la protection des données (RGPD), un incident impliquant des documents d’identité, des selfies biométriques et un historique financier complet peut constituer une violation à haut risque nécessitant d’informer les personnes concernées. L’Inspection nationale lituanienne de la protection des données (VDAI) est compétente, car Revolut détient sa licence bancaire européenne par l’intermédiaire de Revolut Bank UAB. Cette entité relève également de la supervision de la Banque de Lituanie et de la Banque centrale européenne (BCE). Les déclarations du porte-parole ne permettent pas d’établir quand Revolut a informé les autorités de supervision pour la première fois.

La combinaison des données KYC et Bitcoin crée des risques de sécurité

Un ensemble de données comprenant un document d’identité, une adresse personnelle et des avoirs en Bitcoin visibles représente davantage qu’un problème de confidentialité. Il peut servir de liste de cibles. Dans le secteur crypto, ce type de combinaison est considéré comme un facteur facilitant les « wrench attacks », au cours desquelles des criminels recourent à la coercition physique pour forcer leurs victimes à leur remettre l’accès à leurs actifs crypto.

Une personne qui connaît la quantité de Bitcoin détenue par quelqu’un et son lieu de résidence peut ne pas avoir besoin de lancer une attaque technique. Les copies de documents d’identité et les selfies peuvent également faciliter la prise de contrôle d’autres comptes. Une banque peut remplacer un numéro de carte volé, mais une identité exposée ne peut pas être remplacée.

Le nombre de cas signalés a fortement augmenté. Un rapport de CertiK a recensé 52 « wrench attacks » vérifiées au cours du premier semestre 2026, pour des pertes d’environ USD 124.1 millions. Au cours de la même période un an plus tôt, le rapport avait enregistré 39 incidents, soit une hausse de 33% du nombre de cas. Les pertes précédentes s’élevaient à un peu plus de USD 10 millions. L’augmentation des dommages financiers a donc été nettement supérieure à celle du nombre d’incidents. Les documents d’identité et les adresses personnelles peuvent également rester exploitables par des criminels pendant des années.

Revolut rejoint une série de fuites de données dans le secteur crypto

L’incident chez Revolut fait suite à plusieurs autres fuites de données touchant des entreprises crypto. En août 2026, une fuite chez le fournisseur de portefeuilles SafePal a affecté environ 39,798 clients, même si les clés privées et les soldes n’ont pas été exposés. Chez Trezor, les informations d’environ 67,000 clients américains ont fuité par l’intermédiaire du prestataire d’expédition ShipMonk. Une autre fuite chez le fournisseur de messagerie du fabricant de portefeuilles matériels a également permis l’envoi de messages d’hameçonnage via le domaine Trezor légitime. Dans les deux cas, la surface d’attaque se situait chez un prestataire utilisé par le fabricant.

Le précédent récent le plus important concerne Coinbase en mai 2025. Des employés du support à l’étranger, soudoyés, ont fourni des informations sur environ 70,000 clients. Les données comprenaient les noms, les adresses, des images de documents d’identité, l’historique des transactions et les soldes des comptes. Les maîtres chanteurs exigeaient USD 20 millions, mais Coinbase n’a pas payé. Les coûts de remédiation estimés par l’entreprise ont finalement atteint entre USD 180 millions et USD 400 millions, ce qui signifie que les coûts ultérieurs ont été plusieurs fois supérieurs à la demande. Un incident interne de moindre ampleur, concernant environ 30 clients touchés, a ensuite eu lieu chez Coinbase début 2026.

Dans ces incidents, les attaquants ont ciblé l’accès aux bases de données clients plutôt que la conservation directe des actifs crypto. Les prestataires liés aux cryptomonnaies recueillent des informations d’identité particulièrement complètes pour des raisons réglementaires. L’auto-conservation n’offre donc qu’une protection partielle contre ce type d’exposition, car une grande partie des informations permettant d’identifier les clients est recueillie lors de l’inscription.

Pour Revolut, le calendrier renforce la surveillance réglementaire. L’approbation conditionnelle de l’OCC et le lancement d’EURR interviennent alors que l’examen de la fuite de données ne fait que commencer. Les questions factuelles encore en suspens portent notamment sur le nombre de comptes consultés, la possibilité que l’incident ait concerné plusieurs marchés, la manière dont l’identité gouvernementale frauduleuse a été obtenue ou imitée, ainsi que les conclusions des autorités compétentes concernant la réponse de Revolut et sa procédure de notification.