Revolut a livré des données clients à de faux agents de l’État

Le site FrenchBreaches a révélé samedi 12 septembre que Revolut avait transmis des données de clients à des personnes se présentant comme des agents gouvernementaux. Les intéressés avaient commencé à recevoir une notification dès la veille.

Le mécanisme, d’une simplicité redoutable

La demande est arrivée depuis une adresse appartenant réellement à un domaine gouvernemental. Les contrôles automatiques de la banque n’ont donc rien vu d’anormal : l’expéditeur était authentique, la requête a été traitée comme légitime. Ce canal porte un nom dans le métier, la demande de données en urgence. Il existe pour permettre à une autorité d’obtenir vite des informations sans attendre une réquisition judiciaire. Sa rapidité est précisément ce qui en fait une porte.

Ce qui est parti

La liste est longue : nom, prénom, date de naissance, profession, numéro de téléphone, adresse électronique, adresse postale, copie de passeport ou de permis de conduire, IBAN, selfie de vérification d’identité, relevés de compte, historique des retraits et historique complet des transactions. Toutes ces catégories ne concernent pas chaque victime. Prises ensemble, elles forment le dossier d’identification complet d’une personne, c’est-à-dire exactement ce qu’il faut pour ouvrir un compte ailleurs en son nom.

Ce que la banque a dit, et ce qu’elle n’a pas dit

Revolut confirme une usurpation d’identité sophistiquée, indique avoir bloqué l’adresse frauduleuse et prévenu les autorités, les régulateurs et les autorités de protection des données. Elle évoque un groupe très limité de personnes et refuse de donner un nombre. Trois questions restent sans réponse : quelle administration a été usurpée, comment les attaquants ont obtenu l’accès à un domaine légitime, et combien de comptes sont concernés.

Si vous êtes client, trois réflexes

• Aucun service de sécurité bancaire ne vous appellera pour vous demander un code ou un mot de passe. Raccrochez et rappelez le numéro figurant dans l’application.
• Vérifiez que la double authentification est active, et qu’elle ne repose pas sur le seul SMS.
• Surveillez les courriers annonçant l’ouverture d’un compte ou d’un crédit que vous n’avez pas demandé : c’est l’usage typique d’un dossier d’identité complet.

Ce que ce silence ne prouve pas

Le périmètre est communiqué par l’établissement lui-même, et rien ne permet aujourd’hui de le vérifier de l’extérieur. Un groupe très limité n’est pas une donnée, c’est une formule. Surtout, l’affaire dépasse largement cette banque : toutes utilisent le même canal d’urgence, aucune ne publie le nombre de requêtes qu’elle honore chaque année, et aucune n’a le moindre intérêt à le faire. (Le jour où ce chiffre sera public, il y aura beaucoup de curieux et peu de volontaires ! 🙂)

En bref

• FrenchBreaches a révélé l’affaire le samedi 12 septembre 2026, les clients ont été notifiés dès la veille.
• Les demandes provenaient d’une adresse appartenant réellement à un domaine gouvernemental.
• Données concernées : identité complète, copie de pièce d’identité, IBAN, selfie de vérification, relevés et historique des transactions.
• Revolut parle d’un groupe très limité de personnes et refuse de donner un nombre.
• Ni l’administration usurpée ni le mode d’obtention de l’adresse légitime ne sont connus.

Sources : FrenchBreaches, communications de Revolut à ses clients, presse spécialisée du 12 septembre 2026.

Le Bien Heureux · Redaction Capibara · Dimanche 13 septembre 2026