# Revolut a remis passeports et relevés de clients à de fausses autorités

> Les demandes provenaient d'une véritable adresse e-mail d'une administration, détournée. La néobanque parle d'un nombre « limité » de victimes, sans chiffre, sans pays et sans nommer l'agence usurpée.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/revolut-donnees-clients-transmises-fausses-requisitions-gouvernementales
- Auteur : Kelvyn
- Publié le : 12 septembre 2026 (2026-09-12T22:27:50.767Z)
- Rubrique : Cybersécurité
- Sujets : Fuite de données, Ingénierie sociale, Revolut, Banque en ligne, KYC
- Langue : français

Revolut a confirmé le 12 septembre avoir communiqué des données sensibles de clients à un tiers non autorisé. L'affaire a d'abord été signalée la veille par le chercheur en sécurité ZachXBT, détaillée par le site [FrenchBreaches](https://frenchbreaches.com/blog/revolut-des-donnees-sensibles-de-clients-transmises-apres-de-fausses-demandes-gouvernementales), puis confirmée par la néobanque auprès de TechCrunch. Des clients ont commencé à recevoir des notifications le 11 septembre.

## Un piège administratif, pas une intrusion

Il n'y a pas eu d'intrusion dans les systèmes de Revolut. L'escroc a envoyé des **demandes d'informations officielles** depuis une adresse e-mail appartenant au domaine d'une vraie agence gouvernementale. Le message venant d'un expéditeur légitime en apparence comme en technique, il a passé les contrôles habituels et la banque a répondu comme à une réquisition authentique.

Revolut parle d'une escroquerie élaborée reposant sur l'usurpation d'identité, indique avoir bloqué l'adresse, prévenu les clients concernés, l'agence dont le domaine a été utilisé, les forces de l'ordre et les régulateurs. L'entreprise affirme que ses systèmes et les fonds de ses clients ne sont pas touchés.

## Ce qui a été transmis

Selon les notifications, et avec des variations d'un client à l'autre :

- identité et coordonnées : nom, date de naissance, profession, adresse, e-mail, téléphone ;
- **copies de passeport ou de permis de conduire** ;
- selfies réalisés lors de la vérification d'identité ;
- IBAN, relevés de compte, historiques de retraits et de transactions, y compris en bitcoin.

> Contrairement à un mot de passe, un passeport et un selfie ne se changent pas. Ce type de lot permet d'ouvrir des comptes au nom de la victime, de réussir des vérifications d'identité ailleurs ou de monter une arnaque très crédible. Les historiques de transactions en cryptomonnaie ajoutent un risque physique : ils désignent des cibles solvables. Le chercheur ZachXBT estime d'ailleurs que l'opération visait des clients fortunés — une hypothèse, pas un fait établi.

## Ce que Revolut ne dit pas

Beaucoup de choses. La banque parle d'un nombre « limité » de victimes sans le chiffrer. Elle ne précise ni les pays concernés, ni l'administration dont l'adresse a servi, ni la date des faits, ni la manière dont l'escroc a obtenu l'accès à cette boîte. Qu'un média français ait révélé l'affaire ne suffit pas à conclure que des clients français sont touchés.

## Une technique déjà éprouvée

Le procédé n'est pas nouveau. En 2022, Brian Krebs documentait [des « demandes de données d'urgence » falsifiées](https://krebsonsecurity.com/2022/03/hackers-gaining-power-of-subpoena-via-fake-emergency-data-requests/) envoyées à de grandes plateformes depuis des comptes de policiers piratés. Le mécanisme exploite une contrainte réelle : une entreprise qui tarde à répondre à une autorité s'expose elle aussi.

La faiblesse est donc organisationnelle. Vérifier qu'un e-mail vient bien d'un domaine public ne suffit plus quand ce domaine a été compromis ; la parade passe par un contre-appel vers un contact connu, un portail dédié aux réquisitions, ou une validation par un second canal avant toute transmission de pièces d'identité.

## Si vous êtes client

- Lisez les messages reçus dans l'application Revolut plutôt que les e-mails ou SMS, que des escrocs peuvent imiter.
- Méfiez-vous des appels se réclamant de Revolut ou d'une autorité et citant vos transactions : ces détails ont pu fuiter.
- Surveillez l'ouverture de comptes ou de crédits à votre nom.

## À retenir

- Revolut a transmis des données de clients en réponse à de fausses demandes gouvernementales.
- Les e-mails venaient d'une adresse réelle d'un domaine public, compromise.
- Pièces d'identité, selfies, IBAN et historiques de transactions, y compris crypto, font partie des données.
- Nombre de victimes, pays et administration usurpée n'ont pas été communiqués.
- La technique des fausses réquisitions est connue depuis au moins 2022.

## Sources

- FrenchBreaches, [« Revolut : des données sensibles de clients transmises après de fausses demandes gouvernementales »](https://frenchbreaches.com/blog/revolut-des-donnees-sensibles-de-clients-transmises-apres-de-fausses-demandes-gouvernementales), 12 septembre 2026.
- TechCrunch, [« Revolut confirms customer data breach through fake government requests »](https://techcrunch.com/2026/09/12/revolut-confirms-customer-data-breach-through-fake-government-requests/), 12 septembre 2026.
- Clubic, [« Gros couac pour Revolut, qui a transmis des données sensibles de clients à de faux agents gouvernementaux »](https://www.clubic.com/actualite-629401-gros-couac-potentiel-pour-revolut-qui-aurait-transmis-des-donnees-sensibles-de-clients-a-de-faux-agents-gouvernementaux.html), 12 septembre 2026.
- Krebs on Security, [« Hackers Gaining Power of Subpoena Via Fake ‘Emergency Data Requests’ »](https://krebsonsecurity.com/2022/03/hackers-gaining-power-of-subpoena-via-fake-emergency-data-requests/), mars 2022.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/revolut-donnees-clients-transmises-fausses-requisitions-gouvernementales