Fuite de données chez Revolut : une attaque par ingénierie sociale expose des clients fortunés

L’habit ne fait pas le moine. Personne n’a forcé la moindre porte. Personne n’a injecté le moindre virus. Entre le 11 et le 12 septembre, quelqu’un a simplement écrit à Revolut depuis une adresse qui avait toutes les apparences de la légitimité. La néobanque a répondu comme on répond à une autorité qu’on ne songe pas à contredire. Résultat : passeports, selfies de vérification et historiques de transactions Bitcoin de clients fortunés se sont retrouvés entre les mains d’inconnus. Aucun pare-feu n’a eu son mot à dire.

Revolut a cru parler à l’État, et l’État n’y était pour rien

Qu’est ce que l’ingénierie sociale ?

L’ingénierie sociale, c’est l’art de pirater une personne plutôt qu’une machine. Au lieu de forcer un mot de passe ou d’exploiter une faille logicielle, l’attaquant manipule la confiance. Il se fait passer pour une autorité légitime comme un service client, une banque, ici carrément une agence gouvernementale. L’objectif ? Convaincre sa cible de lui livrer elle-même l’information ou l’accès recherché.

Le principe existe depuis bien avant l’informatique. Mais le numérique l’a rendu redoutablement efficace : un e-mail bien construit, envoyé au bon moment depuis la bonne adresse, coûte infiniment moins cher qu’un audit de sécurité pour percer les défenses techniques d’une entreprise.

Revolut, victime d’un accès jugé légitime

Dans le cas Revolut, l’ingénierie sociale a pris une forme particulièrement vicieuse. L’attaquant n’a même pas eu besoin d’imiter une adresse : il disposait d’un accès réel à l’intérieur du domaine mail d’une agence gouvernementale. Conséquence : une demande frauduleuse jugée indiscernable d’une vraie réquisition légale par les équipes de conformité de Revolut.

L’incident tombe à un moment particulièrement sensible pour la néobanque. Revolut a obtenu en août 2026 son agrément bancaire complet en France, quelques mois après celui décroché au Royaume-Uni. La néobanque explorerait par ailleurs une entrée en bourse à une valorisation comprise entre 150 et 200 milliards de dollars selon TechCrunch, contre 75 milliards lors de sa dernière levée privée. Une trajectoire financière que ce genre de fuite de données n’aide certainement pas à sécuriser.

Un mécanisme qui a berné tous les contrôles

Le mécanisme mérite qu’on s’y attarde, parce qu’il ne ressemble à aucune fuite classique. L’attaquant n’a pas usurpé un nom de domaine ni bricolé un en-tête falsifié. Il disposait d’un accès à une boîte mail non autorisée, mais logée à l’intérieur de l’infrastructure réelle d’une agence gouvernementale.

Le mail passait donc tous les contrôles d’authenticité, au sens le plus strict du terme. Le protocole SPF vérifie que le serveur expéditeur est bien habilité à envoyer au nom du domaine. DKIM garantit, de son côté, que le contenu n’a pas été modifié en chemin. DMARC, enfin, arbitre les deux.

Les trois ont donné leur feu vert, comme le détaille The Block. Le message venait en effet authentiquement de l’intérieur du domaine visé. Revolut n’a flairé l’entourloupe qu’après coup, en recontactant l’agence elle-même, qui a répondu, gênée, n’avoir rien demandé. Contactée par la presse, la néobanque n’a pas cherché à minimiser l’affaire :

« Une escroquerie sophistiquée par usurpation externe. »

Revolut à TechCrunch

La riposte de Revolut face à l’ampleur du vol

Rien de plus, rien de moins. Revolut assure avoir bloqué l’adresse compromise, alerté dans la foulée l’agence visée, la police ainsi que les régulateurs financiers. La néobanque affirme par ailleurs que les systèmes et les fonds des clients restent intacts.

Ni le nom de l’agence usurpée ni le nombre exact de clients touchés n’ont filtré. Revolut parle d’un périmètre limité. Le chercheur en sécurité ZachXBT, qui a le premier diffusé la notice client sur son canal Telegram, livre toutefois une lecture plus inquiétante. Selon lui, l’attaque semble avoir ciblé en priorité des utilisateurs fortunés, et non une liste de clients au hasard.

« Ce qui s’est passé ?

Revolut a reçu une demande d’informations clients qui semblait provenir d’une agence gouvernementale légitime. La demande émanait d’un compte e-mail non autorisé, envoyée directement depuis le domaine e-mail officiel de l’agence gouvernementale.

Comme la communication portait des identifiants d’authentification de domaine valides, elle a été traitée en toute bonne foi, dans la conviction raisonnable qu’il s’agissait d’une demande authentique émanant d’une agence gouvernementale.

Détails d’identité : nom complet, date de naissance, profession

Coordonnées : adresse postale, adresse e-mail et numéro de téléphone

Documents et données de vérification : une copie du document d’identité (passeport et/ou permis de conduire) et l’image de vérification faciale (le selfie fourni pour la vérification). À noter qu’aucune donnée de télémétrie faciale biométrique n’a été impliquée ni compromise

Données financières : relevés de compte (dont IBAN, statut du compte, date d’ouverture, numéro de référence du wallet), historiques de retraits et historique complet des transactions (y compris Bitcoin).»

Un butin en Bitcoin taillé sur mesure pour l’extorsion physique

Le tiroir ouvert par ce faux e-mail n’a rien d’anodin dans son contenu. Il contient :

des copies de passeport ou de permis de conduire,

des selfies de vérification d’identité,

des relevés de compte,

un IBAN,

les historiques de retraits et de transactions au comptant, dont l’activité Bitcoin des clients concernés.

Mark Karpelès, ancien patron de Mt. Gox, a publié dès le 12 septembre des extraits de la notification qu’il avait reçue en tant que client touché. Il confirme que son propre historique de transactions figurait dans le lot. Une adresse postale, une identité vérifiée et un solde en Bitcoin connu : voilà de quoi construire un dossier presque complet sur une cible.

C’est bien là que le dossier prend une tournure différente d’une fuite de données ordinaire. Un cours qui plonge se corrige en quelques séances. En revanche, une donnée d’identité, non. Couplée à un solde en Bitcoin avéré, elle reste vraie pour toujours, sans date de péremption. Marc Zeller, fondateur de l’Aave Chan Initiative, lui-même touché, a résumé l’ironie du dossier en une phrase sur X :

« Réveil difficile, toutes mes données ont fuité chez Revolut. Un rappel cinglant que le KYC n’a jamais produit le moindre bénéfice tangible, et qu’il a mis beaucoup de monde en danger. »

Rien n’a été confirmé, en revanche, sur une éventuelle indemnisation ou sur la liste précise des personnes prévenues.

En France, ce genre de fuite ne reste jamais théorique

Exposer une activité Bitcoin, ce n’est pas juste embêtant. C’est un problème de sécurité physique immédiat, et la France en sait quelque chose. Le pays concentre à lui seul l’écrasante majorité des cas mondiaux d’agressions violentes visant des détenteurs de cryptomonnaies, ce qu’on appelle par euphémisme les « wrench attacks ». Le Journal du Coin en avait déjà chiffré la hausse de 33 % au premier semestre 2026.

Le ministre de l’Intérieur Laurent Nuñez a chiffré le phénomène fin juin : 77 enlèvements et extorsions liés aux cryptoactifs recensés en France depuis janvier 2026, contre 45 sur l’ensemble de 2025. Un dispositif d’alerte lancé au printemps a déjà permis près de 200 interpellations, préventives ou après les faits. Le rythme s’accélère, et chaque fuite de données comme celle de Revolut vient nourrir un peu plus le vivier de cibles potentielles.

Des enlèvements bien réels, pas une hypothèse

Des séquestrations, parfois des amputations de doigts filmées pour forcer un virement, menées contre des gens dont l’adresse et le patrimoine numérique avaient fuité quelque part. Rien d’hypothétique. Un couple ligoté à Alès en présence d’un enfant, une famille tuée au Mexique pour un wallet supposé contenir des millions : la mécanique est toujours la même, une donnée volée devient une adresse à visiter.

Et ce scénario ne demande pas un piratage spectaculaire pour s’enclencher. Il se nourrit justement de fuites comme celle-ci, où l’identité complète d’un client rejoint son historique de transactions dans un même document. Le précédent le plus cité par les chercheurs reste la fuite Ledger de 2020, qui avait exposé plus de 270 000 clients dans le monde. Pendant des années, ces données ont servi de vivier pour des listes vendues quelques centaines de dollars sur le dark web. Leurs acheteurs pouvaient ainsi cibler de vrais détenteurs de cryptomonnaies plutôt que des inconnus au hasard.

Coinbase avait déjà trébuché sur la même faille

Revolut n’invente rien de nouveau dans le genre de défaillance qu’elle vient d’essuyer. En mai 2025, Coinbase reconnaissait que des agents de support corrompus, en Inde, avaient vendu les données de près de 70 000 clients pour quelques centaines de dollars pièce. Une tentative d’extorsion a même suivi, à hauteur de 20 millions de dollars.

La facture totale, procès et remboursements compris, a dépassé les 400 millions de dollars. En comparaison, Coinbase avait perdu des clients par la corruption d’un sous-traitant, Ledger par une base mal protégée. Rien de tel chez Revolut. Il n’y a eu ni employé corrompu ni serveur mal configuré, seulement un mail qui avait l’air vrai, envoyé depuis un endroit qui, techniquement, l’était.

Le vrai maillon faible reste humain

C’est peut-être le vrai enseignement de l’histoire. Le maillon faible du secteur n’a jamais été la blockchain elle-même, ni même les protocoles d’authentification des e-mails : ceux-ci ont fonctionné exactement comme prévu, du premier au dernier octet. Le maillon faible, c’est l’humain de l’autre bout — celui qui reçoit une requête cochant toutes les cases officielles. Il n’a, au fond, aucun moyen simple de savoir si la personne qui l’envoie a réellement le droit d’être là. Face à ce genre d’attaque, aucun audit de sécurité informatique ne remplace un simple coup de fil de vérification, passé avant d’ouvrir le dossier KYC plutôt qu’après.