Il y a une règle non écrite dans les communiqués de crise : quand une entreprise dit « limité » sans donner de chiffre, c’est que le chiffre ne lui plaît pas. Revolut a tenu trois jours. Entre la fuite de données révélée ce week-end et ce mardi, le dossier a changé de dimension. On a un nombre, un régulateur et un chantage. On a aussi une avalanche d’affirmations sur X qu’il vaut mieux trier avant de les répéter.
Pour aller plus loin
Fuite Revolut : des passeports et données clients sont diffusés sur Telegram
Rappel des faits : un tiers a envoyé à Revolut des demandes d’informations depuis une adresse e-mail hébergée sur le vrai domaine d’une agence gouvernementale. L’e-mail passait les contrôles techniques, la banque l’a traité comme une réquisition légale et a transmis les dossiers : identité, adresse, copies de passeport, selfies de vérification, IBAN, relevés et historiques de transactions, bitcoin compris.
Selon le Financial Times, Revolut a contacté 680 personnes identifiées comme touchées après une première enquête. Sur 80 millions de clients, c’est une goutte d’eau. Pour chacune des 680, c’est l’intégralité de ce qu’une banque sait de vous, parti chez un inconnu.
Pour aller plus loin
Revolut confirme avoir transmis passeports, selfies et historiques bitcoin de clients à des escrocs usurpant une agence gouvernementale
Ce qui est confirmé : une enquête et un chantage
Lundi, l’Information Commissioner’s Office, l’équivalent britannique de la CNIL, a annoncé avoir ouvert une enquête.
Protégez votre vie numérique et vos appareils contre les virus, arnaques, ransomwares et menaces en ligne avec Bitdefender, primé pour sa protection et compatible avec Windows, Mac, Android et iOS.
Revolut s’était signalée elle-même quelques jours plus tôt, comme le RGPD britannique l’y oblige sous 72 heures. Une enquête ne préjuge de rien, mais le régulateur va regarder de près la nature des données, le nombre de personnes et surtout les garde-fous en place au moment de répondre à la demande. C’est précisément le point faible du dossier : il n’y a aucune faille technique, juste un processus de conformité qui a fait ce qu’on lui demandait.
Le Financial Times confirme aussi que des pirates revendiquant l’opération menacent de publier les données si Revolut ne paie pas. Mark Karpelès, l’ancien patron de Mt. Gox, fait partie des personnes notifiées. Il a reçu l’e-mail de Revolut à 5 h 25 le 12 septembre, a d’abord cru à une arnaque, et estime aujourd’hui que la banque n’aurait jamais dû transmettre ces informations, adresse vérifiée ou pas. Revolut, de son côté, maintient sa ligne : un porte-parole parle d’une « escroquerie sophistiquée par usurpation d’identité externe », affirme avoir bloqué l’adresse dès la détection et alerté l’agence concernée, la justice et les régulateurs, et répète que « les systèmes de Revolut et les fonds des clients ne sont pas affectés ». L’entreprise refuse toujours de commenter le nombre de clients touchés.
Ce que racontent les pirates, et pourquoi on ne le répète pas comme tel
Depuis dimanche, un groupe qui se fait appeler « IAmNotAVillain » a ouvert un site et parle à quelques comptes X spécialisés. Ses affirmations circulent vite, souvent sans le conditionnel qui s’impose. Le groupe dit avoir opéré pendant six mois, avoir compromis des services de la police italienne et utilisé leur infrastructure de messagerie certifiée pour envoyer les demandes, détenir 147 Go de documents internes italiens, et la majorité des clients touchés seraient en Suisse et en France.
Sur X, le montant de la rançon évoqué atteint 10 000 bitcoins, soit près de 800 millions de dollars. Ni Revolut, ni les autorités italiennes, ni aucune source indépendante n’a confirmé le moindre de ces éléments. Le Financial Times, qui a des sources dans le dossier, n’en reprend aucun.
Les pirates ont aussi commencé à publier des passeports et selfies présentés comme ceux de personnalités du sport et de la crypto. On ne les nommera pas : ce sont des données volées, invérifiables, et les relayer revient à faire le travail du maître chanteur.
Ce qu’on peut en retenir, c’est le profil visé. ZachXBT évoquait dès vendredi une attaque ciblant des clients fortunés, et les premières publications vont dans ce sens. Un passeport, une adresse et un historique bitcoin réunis, c’est le kit parfait pour une usurpation d’identité, un phishing sur mesure, ou pire, dans un pays qui a connu en 2025 une série d’enlèvements de détenteurs de cryptomonnaies.
Si vous êtes client Revolut, la consigne n’a pas changé. Sans e-mail de notification, vous n’êtes pas concernés par cette affaire, selon la banque qui nous a contacté en début de semaine. Avec, il faut surveiller ses comptes, se méfier de tout appel ou SMS se réclamant de Revolut, et sérieusement envisager de refaire sa pièce d’identité.
Revolut vient d’obtenir sa licence bancaire française, une autorisation conditionnelle pour une banque nationale aux États-Unis, a été valorisée 115 milliards de dollars lors d’une récente vente secondaire d’actions, et vise une introduction en Bourse autour de 200 milliards.
Pour aller plus loin
Revolut devient une vraie banque française : ce que ça change pour ses clients
Si vous voulez recevoir les meilleures actus Frandroid sur WhatsApp, rejoignez cette discussion.
Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Disqus.
Pour pouvoir le visualiser, vous devez accepter l'usage étant opéré par Disqus avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l'amélioration des produits d'Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l'audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.