Vol de données chez Revolut : passeports, RIB, selfies... Comment un faux mail gouvernemental a piégé la néobanque

Cette fois, les escrocs n’ont pas eu à forcer les défenses informatiques de leur cible. Elle leur a livré elle-même les données de ses clients, persuadée de répondre à une demande officielle. Depuis ce week-end, la banque en ligne britannique Revolut, qui compte près de 70 millions de clients dans le monde, dont 8 millions en France, est confrontée à une fuite de données confidentielles à l'ampleur encore incertaine qui risque de fragiliser la confiance de ses utilisateurs et devrait susciter des questions auprès des régulateurs.

Revolut a reconnu, samedi 12 septembre, avoir communiqué des informations personnelles et financières à des escrocs qui se faisaient passer pour une agence gouvernementale. Copies de passeports, selfies de vérification, coordonnées bancaires, historiques de transactions… Des documents confiés à l'établissement pour sécuriser l’ouverture et l’utilisation des comptes se retrouvent désormais entre de mauvaises mains.

L’affaire a émergé vendredi 11 septembre, lorsque Revolut a envoyé ses premières notifications aux clients concernés. Plusieurs destinataires ont alors rendu l’incident public, dont Mark Karpelès, ancien dirigeant de la plateforme d’échange de cryptomonnaies Mt. Gox. Le chercheur spécialisé dans les enquêtes sur les cryptomonnaies ZachXBT a lui aussi relayé l’affaire, avant que Revolut ne la confirme à la presse.

Pour tromper Revolut, les escrocs ont utilisé une adresse rattachée au domaine d’une véritable agence gouvernementale. Selon la banque, leurs messages ont passé les contrôles techniques d’authentification, donnant à la demande les apparences d’une requête légitime. Elle leur a alors communiqué les renseignements réclamés. Ce n’est qu’en contactant ensuite l’administration concernée qu’elle a découvert la supercherie.

L’entreprise assure depuis avoir depuis bloqué l’adresse et alerté les autorités compétentes. "Les systèmes de Revolut et les fonds des clients ne sont pas affectés", selon elle. Mais les craintes ne sont pas retombées lundi, alors que des pirates ont commencé à diffuser sur Telegram des documents présentés comme provenant de clients, dont des copies de passeports.

Des données sensibles, mais l'ampleur de la fuite reste incertaine

Un groupe de cybercriminels jusqu’ici inconnu, baptisé "Iamnotavillain", a revendiqué le vol de données lundi soir. Selon International Cyber Digest, qui indique avoir échangé avec ses membres, les pirates affirment que les informations dérobées concernent principalement des clients en Suisse et en France, et, dans une moindre mesure, dans d’autres pays européens. Ils prétendent également avoir obtenu les données de personnalités, dont le footballeur Georges Mikautadze.

Revolut est resté évasif sur l'ampleur de la fuite jusqu'ici. La banque évoque un nombre "très limité" de personnes touchées, sans avancer de chiffre, ni préciser leur répartition géographique, invoquant les enquêtes en cours et ses obligations de confidentialité. La présence de figures des cryptomonnaies parmi les premiers témoignages a d'abord nourri l’hypothèse d’un ciblage de gros détenteurs d’actifs numériques. Mais rien ne permet, à ce stade, de le confirmer.

Les notifications donnent, en revanche, la mesure des informations exposées : identité, date de naissance, adresse, numéro de téléphone, copies de passeports et selfies de vérification, mais aussi IBAN, relevés bancaires et historiques de transactions en monnaie fiduciaire et en cryptomonnaies. Une partie avait été recueillie dans le cadre des procédures de vérification d’identité et de connaissance client, dites KYC. Revolut affirme avoir directement prévenu les personnes concernées par mail.

Pour les victimes, le danger le plus immédiat est de voir ces informations utilisées pour rendre des escroqueries plus convaincantes. Un faux conseiller qui connaît l’identité de sa cible, sa banque et ses dernières transactions dispose d’arguments pour gagner sa confiance. Il peut notamment prétexter une intervention après la fuite pour "sécuriser" son compte, puis réclamer un code de validation ou lui faire effectuer un virement.

Les documents d’identité peuvent aussi servir à tenter d’ouvrir des comptes, de souscrire des abonnements ou de demander des crédits au nom des victimes. Même si un passeport et un selfie ne permettent pas automatiquement de franchir tous les contrôles. La réussite de ces démarches dépend surtout des vérifications de l’organisme sollicité. Un IBAN seul ne donne pas non plus accès au compte bancaire, mais peut être utilisé pour tenter des prélèvements frauduleux.

Revolut convaincu par une adresse électronique certifiée italienne ?

La chronologie de l'affaire soulève une question centrale : pourquoi Revolut a-t-elle vérifié l’authenticité de la demande seulement après avoir transmis les données ? Les messages provenaient bien du domaine d’une véritable administration et avaient franchi les contrôles techniques d’authentification. La banque les a donc considérés comme légitimes avant de découvrir la fraude en contactant directement l’agence concernée.

Selon ZachXBT, l’un des premiers à avoir documenté l’affaire, les pirates auraient utilisé une adresse électronique certifiée italienne, ou PEC. Encadré par la loi italienne, ce dispositif donne au courriel la même valeur juridique qu’une lettre recommandée avec accusé de réception. Il certifie l’envoi, la réception et l’intégrité du message, mais ne garantit ni l’identité de la personne derrière le clavier ni son habilitation à réclamer des données confidentielles.

Cette information n'a pas été confirmée par Revolut. Mais le site International Cyber Digest assure que les cybercriminels auraient exploité les systèmes informatiques des forces de l’ordre italiennes pour adresser de fausses demandes officielles à la banque. Les pirates publient également sur leur site des captures d’écran suggérant l’utilisation d’une adresse PEC italienne.

Sur son blog, l’expert en cybersécurité Christophe Mazzola, auteur du livre Être en Cybersécurité, explique que la vérification auprès de l'administration aurait dû intervenir avant toute transmission, comme il le recommande à ses clients (des banques, des assureurs, des administrations et des opérateurs de l'énergie) face à toute requête réglementaire. 

"L'exigence est toujours formulée dans les mêmes termes : ne rient transmettre dans l'immédiat, les contacter avant tout envoi, et vérifier par ses propres moyens que la demande est fondée. Revolut a répondu à une réquisition sans appeler l’agence avant d’envoyer, ce qui est exactement le comportement que ses homologues sanctionneraient chez un prestataire lors d’un audit tiers", déplore-t-il.

Une banque en pleine expansion internationale

L’affaire pourrait conduire les régulateurs britanniques à examiner si les procédures de contrôle de Revolut étaient adaptées à la sensibilité des données réclamées. Car si les banques doivent répondre aux demandes légales des autorités, le UK GDPR (la transposition britannique du RGPD européen) leur impose aussi de protéger les données des clients et de vérifier la légitimité de leur transmission. En cas de manquement, Revolut pourrait s’exposer à des amendes pouvant atteindre plusieurs millions de livres, voire un pourcentage de son chiffre d’affaires mondial.

Au-delà du risque de sanctions, cet incident vient fragiliser la banque en pleine expansion internationale. Le groupe a lancé sa banque britannique en mars 2026, obtenu une licence complète en France en août et reçu un feu vert conditionnel aux États-Unis début septembre. Autant d’étapes qui exigent de convaincre les régulateurs de la solidité de ses contrôles et de sa gouvernance, aujourd’hui mis à l’épreuve par cette affaire.

Sollicitée par RTL, Revolut n’avait pas répondu à nos questions à l’heure de la publication de cet article.

L’actualité par la rédaction de RTL dans votre boîte mail.

Grâce à votre compte RTL abonnez-vous à la newsletter RTL info pour suivre toute l'actualité au quotidien

Je créé mon compte Se connecter

S’abonner à la Newsletter RTL Info