Revolut a remis passeports, selfies et historiques bitcoin de clients sur une fausse demande d'une administration

Revolut a informé un groupe de clients qu'il avait remis leurs pièces d'identité, leurs selfies de vérification, leurs relevés de compte et l'intégralité de leur historique de transactions, bitcoin compris, à quelqu'un qui les avait demandés au nom d'une administration. Personne n'a forcé la porte. La demande venait d'une boîte mail sur le vrai domaine de l'administration, a passé les contrôles qui confirment le domaine de l'expéditeur, et a été satisfaite « dans la conviction raisonnable qu'il s'agissait d'une demande authentique d'une administration ». Les courriels d'alerte sont partis le 11 septembre 2026.

Ce que Revolut a dit aux clients concernés

La notification, publiée en capture d'écran par ZachXBT le 12 septembre, est courte et inhabituellement précise sur ce qui est parti. Revolut « a reçu une demande d'informations sur des clients qui semblait provenir d'une administration légitime ». La demande « provenait d'un compte e-mail non autorisé, envoyée directement depuis le domaine e-mail officiel de l'administration ». Parce qu'elle « comportait des identifiants d'authentification de domaine valides, elle a été satisfaite dans la conviction raisonnable qu'il s'agissait d'une demande authentique d'une administration ». L'entreprise dit avoir informé les régulateurs compétents et pris des mesures de protection préventives ; son compte d'assistance a seulement ajouté qu'elle prend la protection des données « très au sérieux ».

La liste des données divulguées mérite deux lectures. Données d'identité : nom complet, date de naissance, profession. Coordonnées : adresse postale, e-mail, téléphone. Documents et vérification : une copie du passeport ou du permis de conduire et l'image de vérification faciale, le selfie fourni à l'inscription, avec la précision qu'« aucune donnée biométrique de télémétrie faciale » n'était concernée. Données financières : relevés de compte avec IBAN, statut du compte, date d'ouverture et numéro de référence du portefeuille, historique des retraits et historique complet des transactions, bitcoin compris. La notification énumère des catégories susceptibles d'avoir été divulguées, pas un inventaire par client, et ne mentionne ni mots de passe, ni numéros de carte, ni clés privées.

Comment une fausse demande passe les contrôles

L'expression « identifiants d'authentification de domaine valides » explique l'échec mieux que Revolut ne le voulait sans doute. L'authentification des e-mails, c'est-à-dire les enregistrements SPF, DKIM et DMARC que vérifient les serveurs de messagerie, prouve qu'un message vient bien du domaine qu'il annonce. Elle ne prouve rien sur la personne assise au clavier. Si l'expéditeur a utilisé un compte sur le domaine réel de l'administration, tous les contrôles techniques passent, parce que techniquement le courriel est authentique. Il ne reste que la défense procédurale : rappeler l'administration à un numéro connu, exiger une décision de justice ou un formulaire signé, refuser de considérer un e-mail comme suffisant pour livrer un passeport et un grand livre complet.

Le procédé n'est pas nouveau. En 2022, on a appris qu'Apple et Meta avaient remis des données d'utilisateurs à des criminels qui envoyaient de fausses demandes d'urgence depuis des comptes e-mail piratés de forces de l'ordre. Ces demandes fonctionnaient parce qu'elles paraissaient urgentes et arrivaient du bon domaine, les deux mêmes propriétés visibles ici. Ce qui a changé, c'est le butin. Un réseau social détient une adresse IP et un numéro de téléphone. Une fintech régulée détient le dossier complet de connaissance du client, exactement le jeu de documents qui permet d'ouvrir des comptes, de passer des vérifications et de convaincre un opérateur de transférer un numéro.

Ce que ce dossier permet

Assemblez les catégories et le destinataire dispose de ce qu'exige une attaque ciblée. Nom, date de naissance, adresse et copie de document suffisent pour une usurpation d'identité et pour passer la vérification de nombreux prestataires. Numéro de téléphone plus pièces d'identité, c'est le kit de départ d'un SIM swap, et le SIM swap est le moyen par lequel les codes à deux facteurs envoyés par SMS finissent chez quelqu'un d'autre. L'historique des transactions, avec des retraits de bitcoin vers des portefeuilles précis, dit au destinataire qui détient des cryptomonnaies, combien a bougé et vers où, et c'est pourquoi la remarque de ZachXBT sur les utilisateurs fortunés compte : les mêmes données qui permettent la fraude en ligne permettent aussi de se présenter à une adresse. Revolut n'était pas la seule entreprise à remettre des données bancaires et crypto ce mois-ci ; c'est la première à l'avoir fait pour une demande qui s'est révélée fausse.

Si vous avez reçu le courriel

1. Vérifiez uniquement via l'application. Les consignes de Revolut elles-mêmes disent d'utiliser le chat d'assistance dans l'application pour contrôler l'authenticité d'un contact ; attendez-vous à des appels et messages de gens qui connaissent désormais votre nom, votre banque et votre solde et se feront passer pour Revolut, la police ou le fisc.
2. Verrouillez votre numéro de téléphone. Demandez à votre opérateur un code PIN pour la portabilité et le changement de SIM, et déplacez les codes à deux facteurs hors du SMS partout où le service accepte une application d'authentification ou une clé matérielle.
3. Considérez la copie du document comme définitivement sortie. Demandez à l'autorité émettrice si un passeport ou un permis peut être réédité avec un nouveau numéro ; là où c'est impossible, une alerte à la fraude ou un gel de crédit auprès des organismes de votre pays est la solution de repli.
4. Traitez chaque plateforme et chaque portefeuille lié à l'historique divulgué comme une cible connue. Changez les mots de passe, vérifiez les listes blanches de retrait et les alertes de connexion, et demandez-vous si des fonds à une adresse désormais liée à votre nom doivent y rester.
5. Demandez à Revolut, par écrit, le compte rendu complet : ce qui a été envoyé, quand, à qui, et quel régulateur a été informé. Le droit britannique et européen de la protection des données vous y autorise, et la réponse détermine ce qu'il vous reste à faire.