Revolut divulgue des données clients à des escrocs via un e-mail gouvernemental authentifié

Demandes gouvernementales frauduleuses

La société britannique de technologie financière Revolut a confirmé le 12 septembre 2026 que des données sensibles de clients avaient été divulguées à un tiers non autorisé à la suite d'une escroquerie par usurpation. Les attaquants ont soumis des demandes frauduleuses d'informations en utilisant un domaine e-mail authentique appartenant à une agence gouvernementale légitime. Les messages portaient une authentification technique valide du domaine, ce qui a conduit le personnel de l'entreprise à traiter ces demandes comme des ordres légaux de divulgation et à transmettre les fichiers demandés.

Un porte-parole de l'entreprise a détaillé la nature de l'attaque :

Revolut a récemment identifié une escroquerie sophistiquée par usurpation externe où un tiers non autorisé a utilisé un e-mail de domaine d'agence gouvernementale légitime pour soumettre des demandes frauduleuses d'informations.

Étendue et enregistrements compromis

Les enregistrements compromis comprenaient des informations d'identité et de contact des clients, notamment les noms complets, dates de naissance, adresses postales, adresses e-mail et numéros de téléphone. Les fichiers transmis contenaient également des copies de documents d'identité officiels, tels que des permis de conduire et des passeports. Les clients concernés ont reçu des e-mails de notification indiquant que les relevés de compte, les selfies de vérification, les historiques de transactions et les numéros de compte bancaire internationaux avaient également été potentiellement exposés lors de l'incident.

L'enquêteur indépendant en cryptomonnaies ZachXBT a rapporté vendredi soir que l'escroquerie semblait spécifiquement conçue pour cibler les personnes à haut patrimoine détenant des comptes auprès de la banque numérique. Revolut a déclaré qu'un nombre limité de clients étaient concernés et que toutes les personnes impactées avaient été contactées directement. Invoquant des enquêtes en cours et des exigences de confidentialité, l'entreprise a refusé de divulguer le nombre exact d'utilisateurs concernés, l'identité de l'agence gouvernementale usurpée ou les juridictions nationales spécifiques impliquées.

Endiguement et notifications officielles

Revolut a identifié la nature frauduleuse de la demande seulement après avoir contacté les responsables de l'agence concernée, après quoi les équipes de sécurité internes ont bloqué l'adresse de l'expéditeur. L'entreprise basée à Londres a souligné que son infrastructure bancaire centrale, ses systèmes administratifs et les soldes des clients étaient restés intacts tout au long de la brèche de sécurité.

Un porte-parole de l'entreprise a décrit les divulgations ultérieures aux autorités étatiques :

Dès que nous avons détecté l'incident, nous avons immédiatement bloqué l'adresse et alerté l'agence gouvernementale concernée, ainsi que les forces de l'ordre, les autorités de protection des données et les régulateurs financiers.

Position sur le marché et expansion

Fondée en 2015 en tant que prêteur numérique sans agence, Revolut maintient une base de clients mondiale de plus de 80 millions d'utilisateurs dans plus de 30 pays. La France représente environ 10 % du total des utilisateurs, tandis que la Roumanie compte entre 4,5 et 5 millions de clients, ce qui en fait le troisième marché de la banque après le Royaume-Uni et la France. L'entreprise a étendu ses opérations en Inde, au Mexique et aux Émirats arabes unis.

Plus tôt en septembre 2026, le Bureau du contrôleur de la monnaie des États-Unis a accordé une approbation conditionnelle à Revolut pour établir une banque nationale, avec un lancement opérationnel prévu pour le premier semestre 2027. La brèche est survenue alors que l'entreprise évaluait une éventuelle introduction en bourse visant une valorisation de 200 milliards de dollars, contre sa valorisation privée de 75 milliards de dollars enregistrée en novembre.