Revolut a remis passeports et relevés de clients à de fausses autorités

Revolut a confirmé le 12 septembre avoir communiqué des données sensibles de clients à un tiers non autorisé. L'affaire a d'abord été signalée la veille par le chercheur en sécurité ZachXBT, détaillée par le site FrenchBreaches, puis confirmée par la néobanque auprès de TechCrunch. Des clients ont commencé à recevoir des notifications le 11 septembre.

Un piège administratif, pas une intrusion

Il n'y a pas eu d'intrusion dans les systèmes de Revolut. L'escroc a envoyé des demandes d'informations officielles depuis une adresse e-mail appartenant au domaine d'une vraie agence gouvernementale. Le message venant d'un expéditeur légitime en apparence comme en technique, il a passé les contrôles habituels et la banque a répondu comme à une réquisition authentique.

Revolut parle d'une escroquerie élaborée reposant sur l'usurpation d'identité, indique avoir bloqué l'adresse, prévenu les clients concernés, l'agence dont le domaine a été utilisé, les forces de l'ordre et les régulateurs. L'entreprise affirme que ses systèmes et les fonds de ses clients ne sont pas touchés.

Ce qui a été transmis

Selon les notifications, et avec des variations d'un client à l'autre :

• identité et coordonnées : nom, date de naissance, profession, adresse, e-mail, téléphone ;

• copies de passeport ou de permis de conduire ;

• selfies réalisés lors de la vérification d'identité ;

• IBAN, relevés de compte, historiques de retraits et de transactions, y compris en bitcoin.

Ce que Revolut ne dit pas

Beaucoup de choses. La banque parle d'un nombre « limité » de victimes sans le chiffrer. Elle ne précise ni les pays concernés, ni l'administration dont l'adresse a servi, ni la date des faits, ni la manière dont l'escroc a obtenu l'accès à cette boîte. Qu'un média français ait révélé l'affaire ne suffit pas à conclure que des clients français sont touchés.

Une technique déjà éprouvée

Le procédé n'est pas nouveau. En 2022, Brian Krebs documentait des « demandes de données d'urgence » falsifiées envoyées à de grandes plateformes depuis des comptes de policiers piratés. Le mécanisme exploite une contrainte réelle : une entreprise qui tarde à répondre à une autorité s'expose elle aussi.

La faiblesse est donc organisationnelle. Vérifier qu'un e-mail vient bien d'un domaine public ne suffit plus quand ce domaine a été compromis ; la parade passe par un contre-appel vers un contact connu, un portail dédié aux réquisitions, ou une validation par un second canal avant toute transmission de pièces d'identité.

Si vous êtes client

• Lisez les messages reçus dans l'application Revolut plutôt que les e-mails ou SMS, que des escrocs peuvent imiter.

• Méfiez-vous des appels se réclamant de Revolut ou d'une autorité et citant vos transactions : ces détails ont pu fuiter.

• Surveillez l'ouverture de comptes ou de crédits à votre nom.

Sources

• FrenchBreaches, « Revolut : des données sensibles de clients transmises après de fausses demandes gouvernementales », 12 septembre 2026.

• TechCrunch, « Revolut confirms customer data breach through fake government requests », 12 septembre 2026.

• Clubic, « Gros couac pour Revolut, qui a transmis des données sensibles de clients à de faux agents gouvernementaux », 12 septembre 2026.

• Krebs on Security, « Hackers Gaining Power of Subpoena Via Fake ‘Emergency Data Requests’ », mars 2022.