Pendant six mois, selon la reconstitution apparue ces derniers jours, quelqu'un a utilisé la boîte de réception certifiée d'un des bureaux périphériques du ministère de l'Intérieur pour convaincre Revolut de transmettre des données confidentielles sur des centaines de clients fortunés dans la moitié de l'Europe. Il ne s'agit pas d'une cyberattaque contre les systèmes Revolut, qui, selon l'entreprise, sont restés « entièrement sécurisés », mais de quelque chose de plus insidieux : l'abus systématique d'un canal que les banques et les bourses sont tenues par la loi de considérer comme fiable. L’histoire, qui implique un acteur du nom de IAmNotAVillain, une rançon qui est passée de 780 millions de dollars en Bitcoin à 3 millions de dollars en Monero au cours d’un week-end, et une menace – non confirmée – d’avoir volé 147 Go de documents aux forces de l’ordre italiennes, est probablement le cas d’ingénierie sociale institutionnelle le plus élaboré jamais signalé sur une bourse européenne de technologie financière.
Anatomie de l’attaque : un PEC de Préfecture en guise de crochetage
Le point déclencheur identifié par les enquêteurs est un compte de messagerie certifié attribuable à la préfecture de Reggio de Calabre, sur le domaine institutionnel pec.interno.it. À partir de cette boîte aux lettres compromise, les attaquants se sont fait passer pour des agents de la police postale italienne et ont commencé à envoyer à Revolut des demandes formelles d'obtention de données sur des clients individuels, soumises dans le cadre d'enquêtes en cours. Selon la reconstitution d'un analyste qui a suivi de près l'affaire (identifié publiquement sous le pseudonyme de Korra), la technique utilisée a été décrite comme « pulvériser et prier » : des centaines d'identifiants de transaction envoyés séquentiellement à Revolut, chacun accompagné d'une demande de détails sur le titulaire du compte, profitant des obligations de coopération avec les forces de l'ordre européennes (les ordonnances de production de données transfrontalières prévues par le cadre de preuve électronique de l'UE).
Revolut, pour sa part, a qualifié l'incident de « fraude d'usurpation d'identité externe sophistiquée », soulignant que les demandes frauduleuses transitaient par un canal de communication gouvernemental réglementé et contournaient les contrôles d'authentification des e-mails – SPF, DKIM et DMARC – précisément parce qu'elles provenaient d'un véritable domaine gouvernemental et non d'un domaine secret facilement bloqué. C’est le paradoxe qui est au cœur de cet incident : plus la chaîne est institutionnellement fiable, moins les défenses techniques standards sont capables d’intercepter ses abus.
Chasse aux « crypto-baleines » : une sélection ciblée et non aléatoire
Ce qui distingue ce cas d'un vol de données générique, c'est la méthodologie de sélection des victimes. Les attaquants n'ont pas demandé de données aléatoires : selon des reconstitutions journalistiques, ils ont d'abord mené une activité d'analyse de blockchain pour identifier, parmi les utilisateurs de Revolut, des portefeuilles contenant des actifs de crypto-monnaie de valeur significative – les soi-disant « crypto-baleines » – puis ont utilisé le canal PEC compromis pour obtenir la véritable identité derrière ces portefeuilles. Environ 680 clients sont concernés, la majorité résidant en Suisse et en France, mais les victimes sont réparties dans plus de 30 pays européens.
Il s'agit d'un modèle opérationnel qui renverse la séquence classique des violations de données : vous ne commencez pas par accéder au système pour voir ensuite ce que vous trouvez, vous commencez par une analyse publique en chaîne pour construire une liste de cibles de grande valeur, et ensuite seulement vous recherchez l'outil – dans ce cas un canal institutionnel abusé – pour transformer ces informations publiques (une adresse de portefeuille) en informations privées et monétisables (nom, document, adresse personnelle).
Ce qui a été pris
Le paquet de données que l'attaquant prétend détenir, et qu'il a commencé à montrer comme preuve sur un site de fuite avec un compte à rebours public, comprend des copies de passeports et de permis de conduire, des selfies de vérification d'identité (les « vérifications d'activité » classiques requises lors de la phase d'intégration KYC), des adresses de résidence, des IBAN, des relevés bancaires et des historiques de transactions détaillés, y compris ceux dans les crypto-monnaies, avec les contreparties impliquées. C'est exactement le type d'ensemble de données qui, entre de mauvaises mains, permet des fraudes d'identité, des tentatives ciblées d'échange de cartes SIM et des attaques d'ingénierie sociale sur mesure contre les victimes, qui peuvent ensuite être contactées avec de véritables informations financières pour accroître la crédibilité de l'arnaque.
De 780 millions en Bitcoin à 3 millions en Monero : l’évolution du rachat
La chronologie de la demande de rançon raconte à elle seule l’incertitude et peut-être l’inexpérience de ceux qui gèrent l’extorsion. Le week-end précédant la publication de la nouvelle, une première demande circulait pour environ 10 000 Bitcoins, soit environ 780 millions de dollars à l'époque – un chiffre si disproportionné qu'il ressemblait plus à une déclaration d'intention médiatique qu'à une véritable base de négociations. En quelques heures, la demande a été drastiquement revue à la baisse : environ 6 000 XMR (Monero), soit environ 3 millions de dollars, avec un délai obligatoire de 24 heures avant de vendre les données des 680 clients à d'autres groupes criminels.
Le passage de Bitcoin à Monero est en soi un indicateur opérationnel intéressant : Bitcoin reste traçable sur une blockchain publique, et le recours à l’analyse de la blockchain pour identifier les victimes démontre que l’attaquant connaît bien ces outils – il sait donc qu’accepter un paiement en BTC reviendrait à laisser une trace visible aux mêmes enquêteurs qui utiliseront ses techniques contre lui. Monero, grâce à sa confidentialité cryptographique native, élimine ce risque. Au moment de la rédaction de cet article, selon des sources journalistiques, Revolut ne semble avoir reçu aucune demande de rançon via des canaux de négociation directe : le compte à rebours se déroule publiquement sur le site de la fuite, et non dans le cadre d'une négociation privée.
Les 147 Go non confirmés : une attaque plus large contre l’AP italienne ?
La partie la plus délicate et la moins vérifiable de l’histoire concerne les déclarations de IAmNotAVillain lui-même sur un compromis beaucoup plus large des subdivisions de la police italienne. L'acteur affirme avoir maintenu un accès persistant pendant environ six mois à diverses boîtes aux lettres institutionnelles, volant un total d'environ 147 Go de matériel qui comprendrait des documents internes, des calendriers opérationnels, des dossiers personnels de fonctionnaires et de la correspondance officielle. Aucune source indépendante n'a pour l'instant confirmé l'ampleur de cette exfiltration, et elle doit être traitée avec la prudence due à toute revendication d'un acteur criminel qui a tout intérêt à gonfler sa propre image pour renforcer le levier d'extorsion. Cela dit, la police postale, la police d'État, le ministère de l'Intérieur et l'Agence nationale de cybersécurité ont confirmé que les enquêtes étaient en cours, sans toutefois commenter officiellement le fond, et un député européen a qualifié l'épisode d' »alarmant à un niveau inimaginable ».
Deux lignes pour les défenseurs
Cette affaire est un rappel inconfortable pour quiconque gère la conformité fintech, le KYC ou les processus d'application de la loi : l'authenticité technique d'un domaine référent (PEC gouvernemental valide, SPF/DKIM/DMARC) n'équivaut pas à l'authenticité de la demande qu'il véhicule. Les équipes de confiance et de sécurité devraient fournir des canaux de vérification secondaires hors bande pour toute demande de données sensibles émanant des autorités, en particulier lorsque le volume des demandes augmente anormalement sur une courte période – le modèle « pulvériser et prier » décrit dans ce cas aurait dû, en théorie, sonner l'alarme sur le nombre de demandes émanant d'un seul expéditeur. Pour les administrations publiques, l'affaire confirme à quel point les boîtes mail PEC, souvent traitées comme une infrastructure de « seconde classe » par rapport au courrier électronique ordinaire, méritent le même niveau de durcissement, d'authentification multifacteur et de surveillance des accès réservé aux systèmes considérés comme critiques.
Détails techniques et calendrier
Attore: IAmNotAVillain
Canale d'accesso: casella PEC istituzionale (dominio pec.interno.it),
riconducibile alla Prefettura di Reggio Calabria: entilocali.prefrc@pec.interno.it
Tecnica: impersonificazione di autorità di polizia via canale statale
verificato (bypass SPF/DKIM/DMARC per dominio legittimo)
Metodo di selezione vittime: blockchain analysis per individuare
wallet Revolut ad alto controvalore ("crypto whales")
Vittime: ~680 clienti, prevalenza Svizzera/Francia, ~30+ paesi UE coinvolti
Dati esfiltrati: passaporti, patenti, selfie KYC, indirizzi, IBAN,
estratti conto, cronologia transazioni incluse crypto
Timeline:
- ~marzo 2026: presunto inizio dell'accesso persistente alla PEC
- settembre 2026: Revolut rileva anomalie verificando le richieste
direttamente con le autorità italiane
- weekend pre-17/09/2026: richiesta di riscatto iniziale ~10.000 BTC
- 17/09/2026: riscatto rivisto a ~6.000 XMR (~3M USD), deadline 24h
- 17/09/2026: Polizia Postale italiana avvia indagine formale
Claim non verificato: ulteriori ~147 GB da caselle di polizia italiana
Fonte: Revolut, Security Affairs, Irish Times, riscontri giornalisticiQuelle que soit l’issue de la négociation de la rançon, la leçon de cet incident est déjà écrite : à l’ère de l’analyse blockchain accessible à tous, le périmètre à défendre pour un échange n’est plus seulement son propre datacenter, mais chaque canal institutionnel qui s’est engagé à être à l’écoute lorsqu’une autorité frappe à la porte. Et ce canal, dans ce cas, s’est avéré être le maillon le plus faible de la chaîne.