Revolut a transmis des informations sensibles sur certains clients à un tiers non autorisé après avoir reçu de fausses demandes envoyées depuis le domaine de messagerie légitime d’une administration. La fintech assure que ses systèmes n’ont pas été piratés et que l’argent déposé sur les comptes n’a pas été touché.
Des pièces d’identité et des historiques de transactions exposés
L’incident ne correspond pas à une intrusion classique dans l’infrastructure informatique de Revolut. Un fraudeur a usurpé l’identité d’un interlocuteur officiel et utilisé une adresse appartenant réellement à un organisme public pour réclamer des informations. La demande a donc franchi les contrôles internes chargés de vérifier les sollicitations des autorités.
D’après une notification adressée aux personnes concernées et consultée par TechCrunch, les données divulguées peuvent comprendre la date de naissance, les adresses postale et électronique, le numéro de téléphone ainsi que des copies de passeports ou de permis de conduire. Pour certains dossiers, des selfies de vérification, des relevés de compte et des historiques de transactions ont également pu être communiqués.
Cette variété est particulièrement sensible. Un mot de passe peut être remplacé, mais une copie de pièce d’identité reste exploitable pendant des années pour préparer une usurpation, ouvrir un compte ou rendre une nouvelle tentative d’hameçonnage plus crédible. Nous avons récemment évoqué une affaire encore plus vaste portant sur la vente présumée de 153 millions de permis de conduire.
Revolut affirme avoir bloqué l’adresse utilisée dès la découverte de la fraude. L’entreprise dit aussi avoir prévenu l’administration concernée, les forces de l’ordre, les autorités chargées de la protection des données et les régulateurs financiers. Elle n’a pas nommé l’organisme dont le domaine a été utilisé.
Une fraude qui contourne la confiance accordée aux autorités
Les banques et services de paiement reçoivent régulièrement des demandes légales visant l’identité ou les opérations d’un client. Elles doivent à la fois coopérer rapidement lorsqu’une enquête le justifie et s’assurer que l’interlocuteur possède réellement le droit d’obtenir les informations. Dans le cas présent, la compromission ou l’utilisation abusive d’un domaine officiel a donné à la requête une apparence particulièrement convaincante.
Cette méthode déplace la cible. Le fraudeur n’a pas besoin de forcer la connexion d’un client ou de pénétrer directement dans les serveurs de la banque : il tente d’obtenir une divulgation volontaire en imitant une procédure administrative. L’authenticité de l’adresse ne suffit alors plus. Les équipes doivent également vérifier le service demandeur, le dossier invoqué, l’étendue des données réclamées et le canal de confirmation prévu avec l’autorité.
Revolut précise que les fonds, les mots de passe et son infrastructure bancaire sont restés intacts. Cette distinction est importante, mais elle ne réduit pas le risque d’exploitation ultérieure des documents déjà transmis. Les personnes averties par l’entreprise peuvent notamment recevoir des messages très personnalisés reprenant leur adresse, des mouvements de compte ou des éléments visibles sur leur pièce d’identité.
Le nombre de clients concernés reste inconnu
La fintech parle d’un nombre « limité » de clients et indique les avoir contactés directement. Elle n’a toutefois communiqué ni chiffre exact, ni pays concernés, ni période précise pendant laquelle les demandes frauduleuses ont été traitées. Revolut compte plus de 80 millions de clients et opère comme banque dans plus de 30 pays, ce qui rend la délimitation géographique importante.
L’incident intervient alors que Revolut étend rapidement ses services. La société a notamment participé au premier paiement réalisé par une IA en France avec Visa. Cette diversification augmente le nombre de données et de procédures sensibles qu’elle doit protéger, même lorsqu’aucune faille technique n’est directement exploitée.
Le chercheur spécialisé dans les cryptomonnaies ZachXBT estime que les demandes auraient visé des clients fortunés, mais Revolut n’a pas confirmé cette attribution. L’entreprise n’a pas davantage précisé si l’adresse gouvernementale avait été compromise ou simplement utilisée par une personne déjà autorisée à y accéder. Ces deux éléments font encore partie des points que les autorités saisies devront établir.
Un commentaire pour cet article :