- Revolut a divulgué des informations après avoir reçu une demande frauduleuse provenant d'une boîte aux lettres non autorisée fonctionnant dans le domaine d'une véritable agence gouvernementale.
- Le matériel exposé peut inclure des documents d’identité, des selfies de vérification, des adresses, des relevés de compte et des historiques complets de transactions Bitcoin.
- Revolut affirme avoir vérifié par la suite que la demande n'était pas autorisée, bloqué l'adresse, alerté l'agence et commencé à informer les régulateurs.
- La société n'a pas divulgué l'agence concernée, le nombre de clients impliqués ni la manière dont la boîte aux lettres non autorisée a été créée.
Revolut a divulgué des informations personnelles et financières appartenant à certains clients après avoir traité une demande d'information gouvernementale frauduleuse comme légitime, révélant ainsi une faiblesse dans la manière dont les demandes de données licites sont authentifiées lorsque la propre infrastructure de messagerie de l'autorité requérante est compromise.
La demande provenait d'un véritable domaine gouvernemental
L’incident diffère d’une attaque de phishing classique car la demande malveillante n’a pas simplement été envoyée à partir d’une adresse e-mail similaire.
Selon des extraits d'un avis de sécurité envoyé aux clients concernés, la demande provenait d'un compte de messagerie non autorisé créé au sein de l'infrastructure de domaine d'une autorité gouvernementale officielle. Il contenait également de véritables informations d’authentification de domaine.
Cette distinction est au cœur de l’affaire. Les contrôles de messagerie tels que SPF, DKIM et DMARC sont conçus pour aider les destinataires à déterminer si un message est autorisé par le domaine qu'il prétend représenter. Dans ce cas, ces contrôles auraient réussi parce que l’expéditeur opérait à partir d’une infrastructure associée au domaine gouvernemental plutôt que de simplement usurper son identité de l’extérieur.
Revolut a déclaré avoir répondu à la demande en pensant qu'elle provenait d'une agence gouvernementale légitime. L'entreprise a ensuite contacté les autorités pour vérifier et a conclu que la boîte aux lettres n'était pas autorisée.
Revolut a ensuite bloqué l'adresse dans ses systèmes internes, alerté l'agence du compte non autorisé et informé les régulateurs concernés, selon la communication du client.
Des passeports, des selfies et des historiques Bitcoin pourraient avoir été divulgués
L’exposition potentielle s’étend bien au-delà des informations de base sur le compte.
Selon l'avis, les informations fournies à la partie non autorisée peuvent inclure :
- Données d'identité : nom complet, date de naissance et profession
- Coordonnées : adresse personnelle, adresse e-mail et numéro de téléphone
- Enregistrements KYC : copies des passeports ou des permis de conduire et images de vérification faciale soumises lors de l'intégration
- Informations financières : IBAN, statut du compte, date d'ouverture, numéros de référence du portefeuille, enregistrements de retrait, relevés de compte et historiques complets des transactions, y compris l'activité Bitcoin.
Revolut a déclaré que la télémétrie faciale biométrique n'était pas compromise, distinguant l'image de vérification elle-même des informations biométriques dérivées de l'analyse faciale.
Il n’existe actuellement aucune indication que des mots de passe, des codes PIN de carte ou des clés privées cryptographiques aient été inclus, et aucune preuve publique que les fonds des clients ont été volés dans le cadre de l’incident.
Les enregistrements Bitcoin rendent l'exposition plus difficile à contenir
L’inclusion d’historiques complets de transactions Bitcoin modifie le profil de risque de la divulgation.
Un mot de passe divulgué peut être remplacé. Une carte de paiement peut être annulée. Les enregistrements historiques liant l’identité juridique d’une personne à l’activité cryptographique ne peuvent pas être réinitialisés de la même manière.
Si les enregistrements divulgués associent le nom, l'adresse résidentielle et les documents d'identité d'un client à des transactions Bitcoin ou à une activité de portefeuille identifiable, un attaquant pourrait potentiellement créer un profil beaucoup plus détaillé de cette personne.
Cette combinaison est particulièrement utile pour l’ingénierie sociale ciblée. Une personne détenant déjà une image de passeport, un selfie, un numéro de téléphone, une adresse et des informations authentiques sur la transaction peut créer des messages ou des appels contenant des détails qu'une victime s'attendrait normalement à ce que seule une institution financière ou une autorité gouvernementale connaisse.
Cela peut également réduire l’anonymat entourant l’activité historique de la blockchain si les enregistrements divulgués fournissent suffisamment d’informations pour associer les transactions à une personne connue.
C’est pourquoi la portée compte autant que le nombre de comptes concernés. Une violation relativement petite contenant des informations d’identité et financières très concentrées peut créer un risque différent de celui d’une base de données beaucoup plus volumineuse contenant uniquement des adresses e-mail ou des mots de passe.
ZachXBT affirme que les utilisateurs fortunés pourraient avoir été ciblés
L'incident a attiré une plus grande attention après que l'enquêteur en chaîne ZachXBT ait diffusé des informations sur les avis des clients.
ZachXBT a déclaré que l'incident semblait être de taille limitée et potentiellement destiné aux utilisateurs fortunés.
Je ne sais pas pourquoi je suis bloqué par les deux comptes Revolut. pic.twitter.com/wLd3IdmSF9
– ZachXBT (@zachxbt) 12 septembre 2026
Cette évaluation n’a pas été confirmée par Revolut et doit donc être considérée comme son interprétation des preuves disponibles plutôt que comme un fait établi.
Ancien PDG de Mt. Gox Mark Karpelès également publiquement a partagé des extraits substantiels d'un avis qu'il dit avoir reçu de Revolut le 11 septembre, aidant à établir le contenu de la communication client.
Au 12 septembre, la page d'information publique de Revolut ne contenait pas d'annonce dédiée détaillant l'incident.
L’échec de l’authentification va au-delà du courrier électronique usurpé
Le problème de sécurité non résolu n’est pas de savoir si Revolut pourrait détecter un domaine gouvernemental mal orthographié. Le compte disponible indique que l'e-mail a réussi les contrôles techniques normalement utilisés pour établir qu'un message appartient à son domaine indiqué.
Cela laisse une question distincte : quelle vérification supplémentaire est requise avant qu’une institution financière ne divulgue les dossiers clients sensibles en réponse à une demande officielle ?
Un processus de confirmation hors bande, par exemple, tenterait d'établir la légitimité de la demande individuelle via un canal indépendant de la boîte aux lettres d'origine. L'incident suggère que l'authentification de domaine ne peut à elle seule établir que la personne contrôlant un compte gouvernemental authentifié est autorisée à demander les données.
Ce problème peut s’étendre au-delà de Revolut. Si la boîte aux lettres non autorisée était capable d'envoyer des demandes authentifiées à une institution financière, l'identification de l'agence gouvernementale et la période pendant laquelle le compte était actif pourrait permettre à d'autres banques, bourses et sociétés de paiement de vérifier si elles ont reçu des demandes provenant de la même adresse.
Revolut n'a pas publiquement nommé l'agence, expliqué comment la boîte aux lettres a été obtenue ou créée, ni révélé combien de clients ont été concernés.
Ces détails déterminent désormais si l’incident reste une divulgation étroitement ciblée ou s’il révèle une faiblesse plus large dans le traitement des demandes d’informations gouvernementales authentifiées.