Revolut a livré passeports et relevés bancaires à un faux service d'État

Revolut a prévenu par email une partie de ses clients qu’une violation de données les concerne. L’information est rapportée le 14 septembre 2026 par Bleeping Computer, seule source disponible à ce stade : ni le nombre de personnes touchées ni l’identité de l’agence usurpée ne sont publics. La fintech, qui revendique plus de 80 millions de clients dans plus de 160 pays et régions, dont 800 000 entreprises, n’a pas subi d’intrusion informatique. Elle a transmis les données elle-même.

Une demande d’autorité qui passait les contrôles techniques

La demande d’informations personnelles est arrivée par email, depuis le domaine d’une agence gouvernementale. Dans le message adressé aux clients concernés, Revolut explique que la communication portait des identifiants d’authentification de domaine valides, et qu’elle a donc été traitée dans la conviction raisonnable qu’il s’agissait d’une requête authentique.

C’est le point qui mérite l’attention. Les vérifications techniques d’usage — celles qui permettent à un serveur de mail de distinguer un expéditeur légitime d’une usurpation grossière — ont répondu comme prévu. Ce qui a cédé est le circuit par lequel un établissement financier traite les réquisitions des autorités : une procédure qui repose sur la confiance accordée à un expéditeur, et qu’un contrôle de domaine ne suffit pas à protéger. Il n’y a ici ni vulnérabilité logicielle à corriger ni correctif à déployer.

L’inventaire de ce qui est parti

La liste communiquée aux clients concernés est large. Elle comprend les éléments d’identité — nom complet, date de naissance, profession —, les coordonnées — adresse postale, adresse email, numéro de téléphone —, et les documents de vérification : les copies de vos pièces d’identité, passeport ou permis de conduire, ainsi que les images de vérification faciale, ces selfies demandés à l’ouverture d’un compte au titre de la connaissance client.

S’y ajoute le volet financier : relevés de compte incluant les numéros IBAN, historiques de retraits et intégralité de l’historique des transactions, transactions en bitcoins comprises. Des données de vérification d’identité ne se révoquent pas comme un mot de passe : une copie de passeport reste valable jusqu’à l’expiration du document.

Un nombre de personnes toujours inconnu

Revolut a déclaré à Bleeping Computer que l’incident touche un nombre limité de clients, sans accepter de communiquer de chiffre exact. L’enquêteur spécialisé dans la fraude crypto ZachXBT a estimé ce week-end que la fuite, probablement limitée en volume, semblait viser des utilisateurs à patrimoine élevé — une appréciation qui reste, en l’état, celle d’un observateur extérieur.

L’entreprise indique avoir bloqué l’adresse dès la détection et alerté l’agence gouvernementale concernée, les forces de l’ordre ainsi que les régulateurs de la protection des données et du secteur financier. Elle précise que ses systèmes et les fonds de ses clients ne sont pas affectés, ce qui est exact et ne dit rien du sort des documents transmis.

Le deuxième incident rendu public en quatre ans

Revolut avait déjà divulgué une violation de données en septembre 2022 : des attaquants y avaient dérobé les informations personnelles, de contact et financières de 50 150 clients. Le scénario était alors classique — des données prises. Cette fois, elles ont été demandées, et fournies.

Une banque peut chiffrer ses bases, segmenter ses réseaux et auditer son code : il restera toujours un guichet par lequel elle doit répondre à l’État. Ce guichet vient de démontrer qu’il constitue, lui aussi, une surface d’attaque.