Revolut semble avoir divulgué des informations sensibles sur ses clients après avoir répondu à une demande frauduleuse conçue pour donner l’impression qu’elle provenait d’une agence gouvernementale légitime.

L’enquêteur on-chain ZachXBT a révélé l’incident le 12 septembre. Selon son récit, la demande utilisait le domaine officiel de messagerie de l’agence et avait franchi les contrôles d’authentification du domaine. Revolut a ensuite déterminé que cette communication n’était pas autorisée.

Le nombre de clients concernés reste incertain. ZachXBT a déclaré que l’incident semblait limité par son ampleur et pouvait avoir ciblé des utilisateurs fortunés. Les informations potentiellement exposées comprenaient des documents d’identité, des adresses personnelles, des numéros de téléphone et des données financières.

Revolut aurait divulgué des adresses, des documents d’identité et des données financières

Un e-mail envoyé par Revolut aux utilisateurs concernés aurait indiqué que des informations sensibles et permettant d’identifier personnellement les clients avaient été divulguées. Ces données comprenaient les noms complets, dates de naissance, professions, informations de passeport et/ou de permis de conduire, selfies de vérification, adresses e-mail et adresses postales des clients.

L’e-mail indiquait également que la réponse de Revolut comprenait des informations financières telles que des relevés de compte, des numéros de compte bancaire internationaux (IBAN), des historiques de retraits et l’intégralité de l’historique des transactions, y compris les transactions en Bitcoin.

Revolut, une néobanque qui a récemment reçu une approbation conditionnelle pour une licence bancaire de l’Office of the Comptroller of the Currency (OCC) des États-Unis, a déclaré dans cet e-mail que les comptes des utilisateurs restaient sécurisés. L’entreprise n’a pas encore publié de communiqué officiel sur l’incident. Un nouveau communiqué de l’entreprise devrait permettre de préciser l’ampleur de l’incident et les mesures prises en réponse, mais ces détails n’ont pas été rendus publics dans les informations disponibles ici.

Les utilisateurs concernés soulèvent des préoccupations liées au KYC et à la sécurité physique

Certains utilisateurs concernés se sont depuis exprimés publiquement. L’entrepreneur du secteur des cryptomonnaies et fondateur de l’Aave Chan Initiative, Marc Zeller, a confirmé qu’il faisait partie des personnes touchées. Il a déclaré que Revolut lui avait initialement envoyé un e-mail lui demandant plusieurs informations personnelles et le menaçant de fermer son compte dans un délai de 20 jours. Zeller estime désormais que l’entreprise fintech agissait alors à la suite de la fausse demande gouvernementale.

Zeller a critiqué les exigences de connaissance du client (KYC), déclarant qu’elles “hasn’t produced meaningful upside and has put many in harm’s way.”

Cette exposition pourrait accroître le risque d’hameçonnage et d’autres escroqueries ciblées pour les clients concernés. La divulgation des adresses personnelles soulève également des inquiétudes concernant les attaques dites « wrench », au cours desquelles des criminels ciblent physiquement des utilisateurs de cryptomonnaies pour leur voler leurs actifs.

Selon CertiK, 52 attaques « wrench » vérifiées ont été recensées au cours du premier semestre 2026, dont 33 en France. Les autorités françaises ont fait état d’un chiffre plus élevé. Le ministre français de l’Intérieur, Laurent Nuñez, a déclaré que 77 affaires d’enlèvement et d’extorsion liées aux cryptomonnaies avaient été enregistrées au cours du premier semestre de l’année.

CertiK a indiqué que l’exposition financière liée à ces attaques avait atteint 124 millions de dollars, contre 10,5 millions de dollars au premier semestre 2025. L’entreprise a identifié les importantes fuites de données comme l’un des facteurs expliquant la forte concentration des attaques en France.

Sources : enquête de ZachXBT, Marc Zeller sur X, rapport de CertiK, The Market Periodical.