Des pirates obtiennent les données de 680 clients Revolut via un email gouvernemental italien compromis

Demandes trompeuses et transferts internes

Les cybercriminels opérant sous le pseudonyme "iamnotavillain" ont obtenu des données sensibles de 680 clients Revolut dans plusieurs pays européens en se faisant passer pour des agents des forces de l'ordre italiennes. Pendant plusieurs mois, les auteurs ont transmis des demandes frauduleuses de dossiers via une adresse de messagerie électronique certifiée (PEC) enregistrée à la Préfecture de Reggio de Calabre. Les demandes étaient adressées à l'entité bancaire lituanienne de Revolut plutôt qu'à son bureau italien, citant des procédures pénales fabriquées liées au Parquet de Milan et faisant référence à des ordres d'enquête européens.

La correspondance entre les auteurs et Revolut a révélé plusieurs divergences structurelles dans les demandes. Les documents frauduleux associaient une adresse de préfecture du sud de l'Italie à une enquête judiciaire milanaise et affichaient des numéros de protocole incorrects liés au Parquet de Rome. Le 24 mars 2026, le personnel de conformité de Revolut a demandé aux escrocs d'ajuster les en-têtes de leurs documents pour répondre aux exigences standard de traitement. Après des retards en mai 2026 attribués à un audit interne, Revolut a confirmé le 24 juillet 2026 avoir transmis les fichiers, les clés de déchiffrement étant fournies séparément. Les documents transférés comprenaient des passeports, des cartes d'identité nationales, des photographies certifiées, des adresses personnelles, des relevés bancaires et des enregistrements de transactions Bitcoin. Revolut a noté lors du traitement que 169 comptes demandés relevaient de la juridiction du Royaume-Uni, nécessitant des demandes judiciaires séparées.

Enquêtes réglementaires et judiciaires

Le Parquet de Reggio de Calabre a ouvert une enquête pénale en vertu de l'article 615 ter, paragraphe 3, du code pénal italien, couvrant l'accès non autorisé à des systèmes informatiques d'intérêt public. Les enquêteurs de la police postale examinent si le compte de messagerie certifiée a été infiltré directement ou cloné par les attaquants. Les autorités italiennes ont noté que les enquêteurs ne disposent d'aucune confirmation que des ordinateurs physiques à la préfecture ou au siège du Viminale du ministère de l'Intérieur aient été compromis.

La Direction nationale antimafia et antiterrorisme a pris en charge l'affaire dans le cadre des protocoles activés lorsque des organes gouvernementaux sont confrontés à des intrusions numériques. Le collectif de pirates a contacté le Financial Times via Telegram et a partagé des captures d'écran d'e-mails, affirmant détenir 147 gigaoctets de données internes de la police italienne, de discussions d'agences et de documents administratifs. Le groupe a exigé une rançon financière de Revolut sous la menace de publier les dossiers des clients, ce qui a déclenché une surveillance du dark web par les forces de l'ordre européennes. Au Royaume-Uni, le Bureau du Commissaire à l'information a ouvert une enquête formelle après que Revolut se soit déclaré aux autorités britanniques.

Dès la détection, nous avons immédiatement bloqué l'adresse et alerté l'agence gouvernementale concernée ainsi que les autorités de poursuite, de protection des données et les régulateurs financiers.

Vulnérabilités systémiques et mesures de protection bancaires

L'autorité italienne de protection des données, le Garante, a lancé une inspection des protocoles d'accès dans les institutions financières nationales pour identifier les vulnérabilités potentielles du système. Le régulateur a envoyé des avis formels aux délégués à la protection des données des banques, leur demandant de procéder à des audits internes immédiats et de signaler rapidement toute violation détectée. L'agence a également coordonné avec les régulateurs lituaniens de la protection des données supervisant la licence européenne principale de Revolut et a sollicité le ministère de l'Intérieur pour évaluer les faiblesses de l'infrastructure PEC officielle.

Cette initiative fait suite aux travaux d'un groupe de travail conjoint existant du Garante, créé après des milliers d'accès non autorisés à des comptes clients à Intesa Sanpaolo. L'association italienne de consommateurs Codacons a demandé aux organes gouvernementaux de déterminer le nombre exact de comptes de messagerie certifiée institutionnelle compromis dans tout le pays. Revolut a maintenu que son infrastructure informatique centrale et ses avoirs financiers n'ont subi aucune violation opérationnelle directe.

Les systèmes et les fonds des clients de Revolut ne sont pas affectés.