Revolut a reconnu le 12 septembre 2026 avoir subi une fuite de données touchant certains de ses clients. Dès le lendemain, des informations sensibles liées à ces clients ont commencé à apparaître sur un canal Telegram, rapporte TopTribune.
La néobanque britannique a déclaré qu’il s’agissait d’une escroquerie complexe impliquant une usurpation d’identité. Selon les détails fournis dans leur communiqué, des données confidentielles ont été communiquées sous la fausse impression de répondre à une demande légitime d’une administration. Les escrocs avaient utilisé une véritable adresse associée à une agence gouvernementale, permettant ainsi à leur requête de passer sans encombre les contrôles de la banque. Ce n’est qu’après avoir contacté l’administration concernée que Revolut a réalisé la supercherie.
Un groupe inconnu revendique l’attaque et exige une rançon
Le 14 septembre 2026, un groupe de cybercriminels non identifié, appelé Iamnotavillain, a revendiqué cette attaque. Les pirates demandent une rançon pour ne pas divulguer les données volées.
Selon Revolut, le nombre de clients concernés serait limité, bien que la banque n’ait pas fourni de chiffres précis en raison des enquêtes en cours et des devoirs de confidentialité. Cependant, le Financial Times a rapporté que 680 clients, dont une centaine de Français, auraient été touchés.
Avec 8 millions de clients en France et près de 70 millions à l’international, les malfaiteurs semblent avoir particulièrement étudié les comptes des clients les plus riches.
Les informations volées comprennent :
- des documents d’identité,
- des selfies de vérification demandés lors de l’ouverture de compte,
- des IBAN,
- des historiques de transactions, et
- des soldes de comptes en cryptomonnaies.
Une partie de ces données avait été collectée lors des processus de vérification d’identité, souvent appelés KYC (connaissance client). Des passeports, cartes d’identité et selfies ont d’ores et déjà circulé sur Telegram, bien qu’aucun lien formel avec ce vol spécifique n’ait été établi, comme l’indique Frandroid.
L’affaire a éclaté grâce à plusieurs destinataires des notifications de Revolut, incluant Mark Karpelès, l’ancien PDG de la plateforme d’échange de cryptomonnaies Mt. Gox. Le chercheur ZachXBT a également partagé des informations sur l’incident avant la confirmation de Revolut aux médias.
En réponse aux menaces, Revolut a bloqué l’adresse email utilisée par les escrocs et a informé le service gouvernemental concerné. La banque assure que « les systèmes de Revolut et les fonds des clients ne sont pas compromis ».
Les clients touchés ont été avertis par email et invités à faire preuve de vigilance face aux sollicitations reçues par courrier électronique ou SMS dans les semaines à venir, car certaines arnaques peuvent être particulièrement subtiles.
Le principal risque identifié réside dans l’exploitation de ces données pour faciliter de futures escroqueries : un faux conseiller, connaissant l’identité, la banque ainsi que les récentes transactions de sa cible, pourrait éveiller sa confiance, prétendre à une sécurisation de son compte après la fuite, puis demander un code de validation ou inciter à effectuer un virement.
Les documents d’identité volés pourraient également être utilisés pour essayer d’ouvrir des comptes ou de demander des crédits au nom des victimes, bien que le succès de ces démarches dépende des contrôles effectués par l’établissement sollicité. Un IBAN à lui seul ne donne pas accès à un compte bancaire mais peut être utilisé pour tenter des prélèvements frauduleux.
Christophe Mazzola, expert en cybersécurité et auteur du livre Être en Cybersécurité, a exprimé sur son blog que la vérification auprès de l’administration aurait dû être effectuée avant toute transmission de données. « Revolut a répondu à une réquisition sans confirmer l’identité de l’agence avant d’envoyer les informations, ce qui correspond exactement au comportement que ses homologues sanctionneraient lors d’un audit tiers », écrit-il.
Cet événement pourrait amener les régulateurs britanniques à se pencher sur l’adéquation des procédures de contrôle de Revolut par rapport à la sensibilité des données demandées. Le UK GDPR, équivalent britannique du RGPD européen, exige que les banques vérifient la légitimité de toute demande de transmission, même émanant d’autorités. En cas de manquement, Revolut pourrait faire face à des amendes pouvant atteindre plusieurs millions de livres sterling, voire un pourcentage de son chiffre d’affaires mondial.
Cette situation survient alors que Revolut poursuit son expansion internationale, avec le lancement de sa banque britannique en mars 2026, l’obtention d’une licence complète en France en août 2026, et un feu vert conditionnel pour les États-Unis début septembre 2026. Ces initiatives exigent de convaincre les régulateurs de la robustesse des contrôles internes du groupe.
