Violation de données cryptographiques Revolut, attaque contre des utilisateurs milliardaires

Une bande de hackers affirme avoir volé les données personnelles de 680 clients de Revolut, choisis non pas au hasard, mais parce qu'ils étaient détenteurs d'actifs importants en cryptomonnaies. La fuite de données cryptographiques Revolut, confirmée par la fintech londonienne le 12 septembre dernier, s'est révélée ces derniers jours bien plus sophistiquée qu'une simple tentative de phishing : les attaquants auraient utilisé l'identité d'une agence gouvernementale italienne pour convaincre la banque de remettre des informations confidentielles sur ses clients les plus riches.

Points clés

• Les pirates affirment avoir téléchargé les données personnelles de 680 comptes crypto des clients Revolut fortunés.
• Les cibles seraient sélectionnées via analyse de la blockchain pour identifier les comptes disposant d’importantes réserves de crypto-monnaie.
• La majorité des clients concernés viennent de Suisse et de France, mais les données couvrent également les résidents de 31 autres pays, dont le Royaume-Uni, l'Allemagne et l'Espagne.
• Les demandes frauduleuses transiteraient par le système de courrier certifié italien PECla police postale travaille actuellement sur l'affaire.
• Revolut affirme n'avoir pas été contacté par les attaquants et n'avoir reçu aucune demande de rançon.

Une attaque ciblée sur de gros actifs cryptographiques

Les assaillants n’ont pas frappé au hasard. Le groupe aurait utilisé leanalyse de la blockchain pour identifier quels comptes Revolut détenaient des actifs significatifs en cryptomonnaies, sélectionnant ainsi 680 profils définis comme « baleine », c'est à dire de grands investisseurs. L'enquêteur crypto ZachXBT, qui a rendu public la notification reçue de Revolut, a parlé d'un incident contenu dans les chiffres mais clairement orienté vers les utilisateurs fortunés.

La répartition géographique des clients concernés raconte une histoire européenne : la majorité réside en Suisse et en France, mais la liste s'étend à 31 autres pays, dont le Royaume-Uni, l'Allemagne et l'Espagne. Il ne s’agit donc pas d’une attaque locale, mais d’une campagne qui a traversé une grande partie du continent en utilisant le même canal de demande de données.

Parmi les informations qui se sont retrouvées entre les mains des pirates, selon la notification envoyée aux clients et les intégrations de ZachXBT, figurent les dates de naissance, les adresses postales et électroniques, les numéros de téléphone, les copies de documents d'identité tels que les passeports et les permis de conduire, ainsi que d'éventuels selfies de vérification, les relevés bancaires et l'historique des transactions. Les IBAN, les historiques de retrait, les professions professionnelles et les données relatives aux activités Bitcoin auraient également été exposés.

Le mécanisme du vol : le PEC et la fausse identité des policiers

Le cœur de l’histoire réside dans la manière dont les escrocs ont convaincu Revolut de collaborer. Les pirates auraient demandé à plusieurs reprises des détails confidentiels de compte – adresses, numéros de téléphone, historiques de transactions – en affirmant qu’ils étaient destinés à un travail d’enquête en cours auprès des forces de l’ordre. Les communications échangées avec Revolut montreraient un échange de données avec ce qui semblait être une articulation du ministère italien de l'Intérieur, qui aurait eu lieu via E-mail certifiéle système PEC.

PEC est le réseau sécurisé utilisé en Italie par les autorités, les entreprises et les citoyens pour la correspondance officielle et juridique : l'équivalent numérique du courrier recommandé, avec une valeur juridique équivalente à celle du papier. C'est précisément ce statut officiel qui en faisait un outil crédible pour ceux qui voulaient se faire passer pour un organisme d'État.

Les enquêtes italiennes ont identifié le compte compromis comme étant celui de Préfecture de Reggio de Calabrequi a par la suite nié avoir envoyé des demandes à Revolut. Cela laisse la question centrale ouverte : la boîte de réception PEC a-t-elle réellement été piratée par une personne externe, ou quelqu'un d'autre en avait-elle déjà le contrôle ? Là Police postale L'Italien enquête pour accès non autorisé à un système informatique et fraude informatique, comme le rapporte l'agence ANSA.

Le cas n'est pas isolé. L'agence italienne de cybersécurité CERT-AGID avait déjà signalé en juin le risque lié à l'abus du système PEC, avertissant que la certification garantit l'acheminement d'un message mais pas l'identité réelle de la personne vérifiant la boîte aux lettres. Depuis début 2026, l'agence a géré plus de 650 cas de comptes PEC abusés ou créés à des fins illicites, un chiffre qui place l'affaire Revolut dans un problème plus large déjà connu des autorités.

Un contexte réglementaire déjà tendu pour Revolut

La Fintech arrive à cet épisode après une année compliquée sur le plan réglementaire en Italie. L'Antitrust italien avait déjà sanctionné Revolut d'une amende de 11,5 millions d'euros pour diffusion d'informations trompeuses sur les services d'investissement proposés aux clients. Un précédent qui, selon certaines reconstitutions, aurait pu rendre l'entreprise particulièrement exposée à un schéma construit autour de la confiance dans les communications officielles italiennes.

Pourquoi c'est important : Si un canal de communication considéré comme sans ambiguïté digne de confiance – un domaine gouvernemental certifié – peut être exploité pour extraire des données sensibles sans toucher aux systèmes internes de la banque, le problème n'est pas propre à Revolut. Cela concerne toute institution financière qui reçoit des demandes juridiquement contraignantes de la part des autorités publiques et les considère automatiquement comme authentiques simplement parce qu'elles proviennent d'une adresse officielle.

Menaces de rançon et ligne Revolut

Les attaquants ont créé un site Web sur lequel ils publient des captures d'écran expurgées des données qu'ils prétendent avoir volées à la banque, menaçant de révéler davantage d'informations si Revolut ne paie pas de rançon.

Revolut, de son côté, maintient une position claire : il n'a pas été contacté par les responsables de la fuite de données cryptographiques Revolut et n'a reçu aucune demande de rançon. La société a déclaré avoir bloqué l'adresse de l'expéditeur dès qu'elle avait identifié le stratagème frauduleux et en avait informé l'agence gouvernementale concernée, les forces de l'ordre, les autorités de protection des données et les régulateurs financiers. Un porte-parole a qualifié l'incident d'arnaque externe basée sur l'usurpation d'identité, affirmant que les systèmes, les bases de données et les fonds des clients restaient en sécurité.

La société a également confirmé qu'elle avait contacté directement les clients concernés, sans toutefois confirmer publiquement quelle agence gouvernementale avait été usurpée, citant l'enquête policière en cours et les obligations de confidentialité. Même leBureau du commissaire à l'information Les Britanniques ont ouvert un dossier sur cette affaire, ajoutant ainsi une dimension de protection des données à l'enquête pénale italienne.

Quels changements pour les banques et les plateformes crypto

L'incident montre à quel point des données financières sensibles peuvent devenir incontrôlables sans que personne ne viole directement les systèmes d'une banque. Si un attaquant parvient à s'emparer d'un canal de communication gouvernemental jugé fiable, la vérification technique du domaine ne suffit plus à garantir l'authenticité d'une demande. Pour les institutions qui gèrent des comptes exposés au Bitcoin et à d'autres crypto-monnaies, le risque est double : relier les documents d'identité et les données bancaires aux historiques de transactions blockchain peut révéler non seulement l'identité financière d'un client, mais également son lien avec des adresses ou des transactions qui seraient autrement difficiles à retracer jusqu'à une personne spécifique.

L'enquête italienne se concentrera désormais non seulement sur la façon dont le compte gouvernemental a été compromis, mais également sur les contrôles d'authentification que Revolut a appliqués avant de divulguer les données, et si des contrôles supplémentaires étaient nécessaires avant de répondre aux demandes apparemment officielles.

FAQ

Comment les pirates ont-ils localisé les 680 comptes crypto de Revolut ?

Les pirates ont utilisé l'analyse de la blockchain pour sélectionner les comptes Revolut disposant d'importantes réserves de crypto-monnaie.

Quelle méthode les pirates ont-ils utilisée pour obtenir les données confidentielles des clients Revolut ?

Les pirates se sont fait passer pour les forces de l'ordre et ont utilisé le système de messagerie italien certifié PEC pour demander des informations confidentielles sur le compte de Revolut.

Quel est le rôle du système PEC dans la violation de données ?

PEC est le système de courrier électronique certifié utilisé en Italie, qui confère aux messages une valeur légale équivalente au courrier recommandé. Il a été utilisé par des pirates informatiques pour demander des données sous le faux couvert d’une autorité gouvernementale.

Revolut a-t-il reçu des demandes de rançon liées à la violation ?

Revolut affirme n'avoir pas été contacté par les responsables de l'attaque et n'avoir encore reçu aucune demande de rançon.

Contenu créé avec l’aide de l’intelligence artificielle et de la révision éditoriale humaine.